我电脑里装了三个扫漏洞软件。扫漏一个叫Nessus，洞软一个叫OpenVAS，扫漏还有个国产的洞软。说实话，扫漏大部分时间它们都在空转，洞软扫出来的扫漏报告动辄几百页，真正需要人工处理的洞软漏洞可能就三五个。但我不敢卸掉它们，扫漏就像家里明明装了防盗门，洞软还是扫漏要在窗台上放几个空酒瓶。

上个月帮朋友处理公司服务器被勒索病毒加密的洞软事故，对方IT主管一脸无辜：“我们每周都扫描，扫漏报告显示高危漏洞只有两个。洞软”我问他扫描策略是扫漏什么，他说默认。问题就出在这——默认策略像用渔网捞针，网眼太大，漏掉的全是致命的。那台服务器被入侵的入口，是三个月前某次更新后遗留的Redis未授权访问，默认策略根本不检测这类配置型风险。

扫漏洞软件有个致命错觉：让你以为“扫过”等于“安全”。实际上，工具只负责发现已知问题，就像体检报告只能告诉你当前指标，不能保证你明天不猝死。更讽刺的是，很多漏洞扫描器自身就有漏洞。去年某知名扫描器被爆出存在远程代码执行漏洞，攻击者可以利用扫描器本身渗透进内网。你拿着盾牌，盾牌上有个洞，你自己不知道。

我见过最搞笑的案例是某银行采购了顶级商业扫描器，部署了整整一个机柜的硬件探针。结果运维人员为了省事，把扫描时间设在凌晨三点——正好是攻击者最爱动手的时段。扫描器运行时占用大量带宽，反而把入侵检测系统的日志给冲掉了。他们花钱买了个盲人，还嫌盲人走路太吵。

真正的漏洞管理，核心不在“扫”，而在“修”。扫描报告只是开始，之后的漏洞验证、优先级排序、修复验证才是重头。但多数人把90%精力花在扫描配置上，剩下10%随便点点“自动修复”。自动修复更不靠谱，补丁打挂系统的案例我至少见过十起。有个客户让扫描器自动修复Weblogic漏洞，结果补丁和他们的定制化中间件冲突，整个业务系统宕机四小时。

工具终究是工具。我有个习惯，每季度手动登录核心资产看一遍关键配置，不依赖任何扫描器。检查SSH是否允许root登录，Redis是否绑定了公网IP，Tomcat管理台密码是否还是默认的admin。这些低技术含量的检查，比那些花里胡哨的扫描报告管用得多。扫描器适合做广度覆盖，人工适合做深度验证。两者结合，才勉强算及格。

说到底，扫漏洞软件就像汽车仪表盘上的故障灯。灯亮了你知道有问题，但具体什么问题还得自己下车看。有人看到灯亮就慌了，有人干脆把灯泡拆了。最聪明的做法是：定期看灯，亮了就赶紧查，没亮也别放松警惕——毕竟仪表盘自己也会坏。