我国漏洞扫描系统

去年某省级政务云平台的国漏一次内部演练，安全团队用自研的洞扫扫描器在四小时内发现了17个高危漏洞，其中6个是描系0day。这个数字放在五年前，国漏得靠几十号人跑一周的洞扫脚本才能摸到边。漏洞扫描系统这东西，描系说白了就是国漏给网络做CT——不打开皮肤，也能看见骨头里的洞扫裂缝。

国内做扫描器的描系路子跟国外不太一样。Nessus、国漏Qualys那套是洞扫典型的商业闭源逻辑，插件库更新靠厂商推。描系咱们这边，国漏绿盟、洞扫启明、描系安恒这些老牌厂商走的是“合规驱动+行业定制”的路线。等保2.0一出来，扫描器必须支持GB/T 28448的检测项，这就逼着厂商把扫描策略拆得特别细。我见过某银行的采购清单，光“弱口令检测”这一项就要求覆盖Oracle、MySQL、Redis、SSH、RDP等十几种协议，还得支持自定义字典导入。这种颗粒度，国外产品往往得加钱买模块。

开源生态也很有意思。Nmap、Nuclei、Xray在国内安全圈几乎是标配。Xray的社区版被大量白帽子拿来挖SRC，它的POC编写用YAML，比写Python插件门槛低多了。有个做漏洞扫描的朋友跟我说，他们团队现在自研引擎的POC库，三分之一直接参考Xray的模板改的。“不是不想自己写，是人家那个格式确实顺手。”不过这也带来一个问题——很多小厂的扫描器其实就是套壳Nuclei，换个UI就敢卖几十万。去年某地级市招标，三家投标产品扫同一个靶机，结果漏洞列表一模一样，连误报都相同，场面一度很尴尬。

真正拉开差距的是漏洞验证环节。扫描器报个“可能存在Struts2远程代码执行”，跟真正弹个计算器出来，中间差着十万八千里。国内头部厂商现在都在推“无害化验证”——用DNSLog或者回显命令确认漏洞真实存在。绿盟的RSAS在验证Weblogic反序列化时，会往目标发一个带随机数的DNS请求，只有收到回连才标记为“已验证”。这招把误报率从30%压到了5%以下。但代价是扫描速度慢了一截，客户经常抱怨“扫个C段要一晚上”。安全工程师只能苦笑：要快还是要准，自己选。

资产测绘这块，国内玩出了新花样。FOFA、Hunter、Quake三家把全网资产指纹库做得比Shodan还细。一个扫描任务丢进去，它能自动关联出这个IP上跑着什么中间件、什么版本、有没有历史漏洞。某次攻防演练，红队用Hunter搜“body="致远OA" && country="CN"”，十分钟就定位了三百多个目标。蓝队那边还在手动整理Excel资产表。这种降维打击逼得很多企业开始把扫描器和资产管理系统打通——扫之前先问CMDB要一份最新清单，扫完自动回写漏洞状态。流程顺了，但新的麻烦是：CMDB本身的数据经常是错的，扫出来的资产跟台账对不上，运维和安全的扯皮就从这儿开始。

说个具体的坑。国内很多扫描器对国产化环境的支持还停留在“能跑”阶段。麒麟操作系统、达梦数据库、东方通中间件，这些在信创目录里的东西，扫描插件要么缺失，要么检测逻辑照搬Linux+MySQL那套。某次给一个信创云做评估，扫描器把达梦的默认端口5236识别成了“未知服务”，漏洞库直接跳过。后来人工上去一看，弱口令一抓一个准。厂商的解释是“信创版本还在适配中”。这都适配三年了。

漏洞扫描系统的下一步，大概率是往“攻击面管理”方向卷。扫描只是手段，持续发现暴露面、自动验证可利用性、联动防火墙做虚拟补丁，这条链路打通了才算完整。国内几家头部厂商已经在推ASM概念，但落地效果参差不齐。有个客户吐槽说：“买的时候叫攻击面管理，用起来还是漏洞扫描，就是报告封面换了张图。”这话刻薄了点，但戳中了要害——工具再花哨，最终得看能不能帮运维少加两天班。