IDC排名这东西，漏洞看个乐呵就行，扫描别太当真。漏洞上个月跟一个做安全服务的扫描朋友吃饭，他掏出手机给我看某机构刚发布的漏洞《中国漏洞扫描市场跟踪报告》，前五名里有两家我连名字都没听过。扫描他笑了笑说，漏洞这家客户去年就买了他们一套扫描器，扫描连资产测绘模块都没开通过。漏洞

漏洞扫描这个赛道，扫描IDC排名基本是漏洞销售额排排坐。谁渠道铺得广，扫描谁OEM卖得多，漏洞谁就能往前站。扫描真正在甲方机房跑过五年的漏洞老工程师，心里那本账跟报告上的顺序经常对不上。

排名靠前的，不一定扫得全

某头部厂商去年拿了个“市场份额第一”。我翻过他们的产品白皮书，支持插件数量写的是“超过十万”。实际部署时，客户内网一台老式工控机跑着Windows CE，扫描器直接跳过，连个“不支持”的提示都没有。十万插件里有多少是重复的、凑数的，只有写规则的人清楚。另一家排名第三的，CVE覆盖确实扎实，但Web漏洞检测弱得离谱。一个简单的SQL注入盲注，扫了三遍没报，手工测两分钟就出来了。IDC报告不会告诉你这些，它只统计License出货量。

真正的分水岭在资产发现

我见过太多项目，扫描器买回来只用了三成功能。甲方安全团队就两三个人，每天被上级催着出报告，哪有时间做全量资产梳理。于是扫描目标列表常年不变，那几十台核心服务器扫了又扫，新上线的测试环境、员工自建的Docker容器、外包团队临时开的端口，全在视野之外。排名第五的那家厂商，资产主动探测做得其实不错，但销售不爱推，因为按IP授权收费，客户一算账觉得贵。反倒是排名第一的那家，按扫描器数量卖，买三台送一台，客户觉得划算，回去发现资产发现模块要单独加钱，最后只当个IP扫描器用。

漏报比误报更致命

误报多，工程师骂两句，手动标记忽略就过去了。漏报不一样。去年某银行被通报，一个两年前的Apache Shiro反序列化漏洞没扫出来，攻击者从外网打进来，横向到核心数据库。事后复盘，他们用的那款扫描器在IDC排名里是第二。厂商解释是“该漏洞需要特定配置才触发”，可客户环境就是那个特定配置。排名靠前的产品，规则更新往往慢半拍，因为要保证大客户环境的稳定性，新POC得先灰度。反倒是几家小厂，漏洞爆出来当天就推规则，扫得准不准另说，至少态度在。

看排名不如看实战

我给甲方选型的建议一直没变：拿你真实环境去测。找十台机器，五台已知有漏洞，五台干净，让厂商来扫。看谁漏报少、误报低、报告能直接交给运维改。至于IDC排名，可以拿来应付采购流程里的“市场地位”要求，但别让它替你做技术决策。我见过一家城商行，照着排名买了第一名的产品，用了半年换掉了，现在用的是榜单上根本找不到的一家小公司。问原因，对方说：“他们家工程师能半夜接电话帮我看误报。”

排名是给老板看的，漏洞是给自己修的。哪个更重要，干这行的人都明白。