漏洞扫描采购需求
去年有个客户，漏洞某中型制造企业，扫描被集团一纸通报批评。采购原因很直接：一台对外提供测试服务的需求服务器，被人扫出OpenSSH 7.4的漏洞漏洞，而那个漏洞早在三年前就公开了。扫描IT主管委屈——他们每年都做等保，采购测评报告里没提这个。需求等保测评和漏洞扫描是漏洞两码事，很多人到出事才分得清。扫描
漏洞扫描采购，采购买的需求不只是软件。
先看扫描能力。漏洞市面上主流产品分两类：基于漏洞库匹配的扫描，和基于插件模拟攻击的采购。前者快，但误报率能到30%以上，尤其对自研系统基本瞎猜。后者慢，可准确性高。某银行科技部的人跟我聊过，他们内部测试时用某国产扫描器扫一个自研OA，报了47个漏洞，人工复核后实际只有6个。误报消耗的是运维的信任，报三次假的，第四次真的也没人理了。采购时让对方现场扫你指定的三个IP，看报告质量，别只看PPT。
扫描频率和授权数量是隐藏成本。很多报价单写“不限IP”，小字里却限制并发扫描数或任务数。一个C段256个IP，按每周扫一次算，一年就是一万三千多次任务。如果产品按任务数计费，这账要提前算。某电商公司吃过亏，买了“无限IP”版本，结果每次扫描只能跑50个IP，全量扫完要分五批，运维半夜爬起来手动触发。采购前问清楚：并发数多少，任务队列怎么排，能不能定时自动跑。
漏洞库更新速度决定这工具是不是废铁。CVE每年新增两万多个，高危的也有几千。国内厂商的库通常滞后国外两周到一个月，这不是技术问题，是流程问题。有个做金融的客户，要求扫描器能对接CNVD和CNNVD的接口，实时拉取。厂商说“我们每周更新一次”，客户直接换了供应商。金融、能源这类行业，滞后一周可能就够攻击者利用了。合同里要写明漏洞库更新频率和覆盖范围，最好有惩罚条款。
报告功能别忽略。扫描器跑完，出一份给谁看？给运维，要能直接定位到IP、端口、服务、修复建议。给管理层，要有一页纸的风险汇总。给审计，要有历史对比和趋势图。很多产品报告花哨但没用，漏洞描述复制粘贴CVE原文，修复建议写“升级到最新版本”——废话。好的报告会写：该服务运行在CentOS 7.6，受影响的版本区间是X到Y，升级命令是Z，重启影响范围是A。采购时让对方出一份你真实环境的样本报告，别接受演示环境的。
价格从几万到几十万都有。差距不在扫描引擎，在配套：资产发现、漏洞验证、工单联动、API集成。小团队买个基础版够用，大企业要的是能嵌进现有SOC流程的工具。别为用不上的功能买单，也别为省几万块买个每天要手动导数据的半成品。有个客户图便宜买了某开源版商业支持，结果每次扫描完要手动导出CSV再导入Jira，运维干了三个月，自己写了个Python脚本绕过去。这时间成本，早够买商业版了。
最后说一句：漏洞扫描器不是保险箱，它只是手电筒。照得到的地方能看见，照不到的地方照样黑。采购时想清楚你要照哪里，别指望买回来就安全了。