内容摘要：漏洞扫描不是越勤越好。这跟体检一个道理——天天抽血化验，人没病也得给折腾出病来。可你要是一辈子不体检，等真出问题了，大概率是晚期。 我见过最极端的案例，某金融机构为了应付监管，把全网的漏洞扫描设成了每

漏洞扫描不是漏洞越勤越好。这跟体检一个道理——天天抽血化验，扫描人没病也得给折腾出病来。周期可你要是漏洞一辈子不体检，等真出问题了，扫描大概率是周期晚期。 我见过最极端的漏洞案例，某金融机构为了应付监管，扫描把全网的周期漏洞扫描设成了每天凌晨自动跑一遍。结果呢？漏洞扫描器半夜把核心交易系统的数据库连接池给打满了，第二天早上开门直接瘫痪两小时。扫描运维老哥顶着黑眼圈跟我抱怨：“这哪是周期扫描啊，这是漏洞拿大炮打蚊子，顺带把自己家墙轰塌了。扫描” 反过来，周期另一家做电商的创业公司，上线一年半没做过一次完整扫描。直到某天用户数据被拖库，黑产把几百万条手机号明码标价挂在了暗网上，CTO才想起来翻日志——那漏洞在系统上线第一天就存在，是个再常见不过的SQL注入点。 所以周期这事儿，得看你的系统在干什么、值多少钱、变化有多快。 核心交易系统、用户数据库、支付接口——这类资产建议每周至少扫一次。原因很简单，它们暴露在公网，攻击面大，而且每次版本迭代都可能引入新问题。我认识的一个安全负责人，他团队的规定是：任何涉及核心链路的代码上线，48小时内必须做一次增量扫描，全量扫描固定每周日凌晨两点——选这个点是经过测算的，交易量最低，且留出了周一早上人工复核的时间。 至于内部管理系统、测试环境、非核心办公网络，月度甚至季度扫描完全够用。你非要对一个没人访问的旧OA系统天天捅咕，除了浪费资源，还可能把里面跑着的定时任务给搅黄了。 但有个例外——重大活动前必须加扫。比如双十一前夜，电商平台会做一轮“终极扫描”，配合渗透测试和应急演练。这种扫描不是例行公事，是带着明确目标的：假设明天就有黑客来搞我，今天我得把所有窗户关死。 还有一点容易被忽略：扫描完之后的修复，比扫描本身更消耗周期资源。你周三扫出20个漏洞，周五之前能修完几个？如果修不完，下周三又扫出30个——漏洞越积越多，团队疲于奔命，最后干脆麻木了，看到报告直接归档。这比不扫还可怕，因为会产生虚假安全感。 我自己的习惯是，把扫描周期和版本发布节奏绑定。系统每次发版后三天内做一次针对性扫描，而不是死守着日历上的固定日期。因为新代码才是漏洞的高发区，老代码该暴露的早暴露了。 最后说句得罪人的话——如果你团队里只有一个人兼职管安全，扫描周期再完美也是摆设。工具是死的，人是活的。扫描器能帮你发现漏洞，但决定不了你哪天有空去修它。把周期定得切合实际，留出修复和复核的时间，比追求“每日一扫”的仪式感有用得多。