重点摘要
- 对公司的风险：未修补的网站插件、VPN 或路由器，即使没有任何员工点击链接，攻击者也可能直接入侵。HKCERT 仅在 2026 年第三季就录得 469 宗「有漏洞系统」事故。
- 漏洞扫描是一种自动化检查，把企业系统与公开漏洞数据库比对，并按严重程度排列结果。
- 建议至少每季扫描一次；系统重大变更后，或收到涉及所用软件的安全警报后，应立即补做。
- 扫描重在「广」，找出已知漏洞；渗透测试重在「深」，验证攻击者实际能走多远。多数企业两者都需要。
一家二十人的贸易公司，网站是外判商多年前建的，NAS 存储放着全部报价单，路由器是搬进来那年买的。三样都连着互联网，却没人说得出上次更新是什么时候。漏洞扫描要解决的，正是这些被遗忘的缺口。
什么是漏洞扫描？
漏洞扫描是一种自动化安全检查：工具会把你的网站、服务器、网络设备及云端设置，逐一与公开的已知漏洞数据库比对，再按严重程度生成报告。它好比一位验楼师，拿着「已知有缺陷的门锁型号」清单，逐层检查每一道门。
漏洞是软件或配置上可被滥用的缺陷，例如过时插件、默认密码。大部分漏洞有 CVE（公共漏洞编号），并以 CVSS（通用漏洞评分系统）按 0 至 10 分评定。
漏洞扫描如何运作？
扫描器先找出有哪些系统在线，再识别每台系统运行的软件和版本，与已知漏洞数据库比对，同时检查常见的错误配置，最后评分并输出报告。整个流程可以设置为每周或每月自动运行，无需员工逐台检查。
香港例子：2026 年 10 月 22 日，HKCERT 警告 PHP 出现两个严重漏洞「PHP2Shell」。很多企业网站基于 PHP，而部分网络及存储设备的管理界面也内置 PHP；即使网站已修补，一台被遗忘的设备仍可能成为突破口。找出它，就是扫描的价值。
一次典型扫描的五个步骤
- 发现：找出范围内所有 IP 地址、域名及开放端口
- 识别：确认每台系统运行的软件与版本
- 比对：对照 CVE 数据库及厂商安全公告
- 配置检查：弱加密、默认密码、暴露的管理页面
- 报告：按「严重、高、中、低」排序，并附修复建议
漏洞扫描有哪些类型？
主要类型包括：检查对外系统的外部扫描、检查办公室内网的内部扫描、测试网站漏洞（例如 SQL 注入）的 Web 应用扫描、登录后深入检查的认证扫描，以及云配置扫描。中小企业一般应先做外部扫描和 Web 应用扫描。
| 扫描类型 | 检查内容 | 最先需要的机构 |
|---|---|---|
| 外部扫描 | 从互联网可见的网站、VPN、防火墙、邮件服务器 | 所有企业 |
| Web 应用扫描 | 登录页、表单、插件；SQL 注入等 OWASP 十大风险 | 有网站、网店或客户平台的公司 |
| 内部扫描 | 办公室电脑、文件服务器、打印机、Wi-Fi | 20 人以上或设有机房的公司 |
| 云配置扫描 | 设为公开的存储桶、过宽的权限 | 使用 AWS、Azure、Google Cloud 或 Microsoft 365 的团队 |
如何判断系统可能存在漏洞？
风险信号包括：设备或软件已停止更新、网站几个月没人打补丁、管理页面可从互联网直接访问、路由器或 VPN 已用超过五年，以及公司里没有人能完整列出所有对外系统。只要符合其中一项，就值得安排一次扫描。
旧设备的风险常被低估。HKCERT 引用 VulnCheck 的研究显示，在被实际利用的网络边缘设备漏洞中，42.5% 涉及已停止或可能已停止支持的产品；被僵尸网络利用的漏洞中，这一比例升至 65%。
所有主要入侵途径，而不只是最出名的一种
- 网站及 CMS 插件：WordPress、PHP、网店插件
- 网络边缘设备：VPN、防火墙、路由器、NAS 存储
- 疫情期间开放、之后一直没有关闭的远程访问工具
- 设为公开的云账户及共享链接
- 系统过时的员工电脑和手机
如何防范已知漏洞？
维护一份最新的系统清单、开启自动更新、替换已停止支持的设备、至少每季及每次重大变更后扫描，并优先修复「严重」和「高」风险项目。个人应及时更新手机和电脑；IT 团队则要制定明确的补丁时间表。
个人及每位员工
- iPhone：设置 → 通用 → 软件更新 → 自动更新 → 开启两个选项
- Android（Google Pixel）：设置 → 系统 → 软件更新；Samsung：设置 → 软件更新 → 下载并安装
- Windows：设置 → Windows 更新 → 开启「在最新更新可用时立即获取」
以上路径整理于 2026 年 11 月，不同型号及系统版本的选项名称可能略有差异。
中小企业及 IT 团队
- 建立资产清单：每个域名、IP 地址、设备及云账户都要有指定负责人
- 至少每季做一次外部扫描；网站上线、系统大改或收到 HKCERT 警报后立即补做
- 「严重」漏洞要在几天内修复，不要拖到下次季度会议
- 管理页面只允许指定 IP 访问，并启用多重认证
处理信用卡付款的公司，PCI DSS 要求每季由认可供应商做外部扫描。第 653 章（2026 年 1 月 1 日生效）下的指定营运者，据 Tanner De Witt 律师行整理，每年风险评估须包含漏洞评估和渗透测试。
公司情境：假「扫描不合格」账单
骗徒也会借扫描行骗。财务同事收到假冒 IT 供应商的邮件：「网站本月扫描不合格，今天内支付 18,000 港元紧急修复费。」随后「老板」在 WhatsApp 上催促付款。两者都是假的。
公司规则：「紧急安全修复」付款前，财务必须用公司存档的号码致电供应商和老板核实。
【员工通知｜网络安全】
1. 不会有人通过邮件或 WhatsApp 要求你为「紧急修复」付款。
2. 向安全供应商付款前，必须用公司已有的电话号码核实。
3. 请今天开启手机和电脑的自动更新；有疑问先转给 IT。扫描发现严重漏洞后应该怎么做？
先确认结果，几天内安装补丁或采用厂商的临时缓解措施；暂时无法修补的系统应先与互联网隔离。随后检查是否已被入侵，例如新增的管理员账户、异常登录或被改动的文件。如怀疑已被入侵，应向 HKCERT 报告。
- 立即修补，或按厂商建议采取临时措施；就 PHP2Shell，HKCERT 建议先隔离无法即时修补的对外应用
- 修补后重新扫描，确认问题已解决
- 检查入侵迹象：陌生账户、配置变更、异常流量
香港求助渠道
- HKCERT 事故热线 8105 6060，或使用网上事故报告表格
- 如涉及假供应商或付款要求，致电反诈骗协调中心「防骗易」热线 18222，并可先用防骗视伏器查核电话及链接
- 如客户或员工的个人资料可能外泄，评估是否通报个人资料私隐专员公署，并记录决定
漏洞扫描与渗透测试有什么区别？
漏洞扫描是自动化、重广度的检查，能快速、低成本地列出大量系统的已知弱点；渗透测试则由道德黑客人工执行，尝试把多个弱点串联起来，验证攻击者实际能走多远。常见做法是每季扫描，加上每年一次渗透测试。
| 漏洞扫描 | 渗透测试 | |
|---|---|---|
| 方法 | 自动化工具 | 专业测试人员，辅以工具 |
| 覆盖 | 广：一次检查大量系统 | 窄：针对指定目标 |
| 深度 | 已知漏洞及错误配置 | 串联攻击及业务逻辑漏洞 |
| 频率 | 每月至每季 | 每年，或重大系统上线前 |
赶在别人之前找到缺口
漏洞扫描是像消防演习一样的例行工作。造成损失的，往往不是最新的漏洞，而是那台没人记得的设备。
60 秒自我检查清单
- 公司里有没有人能说出所有对外的网站、VPN 和路由器？
- 所有员工的手机和电脑都已开启自动更新？
- 每个对外系统在过去三个月内都做过扫描？
- 有没有设备已过厂商支持期？
- 财务部是否会先致电核实「紧急安全修复」付款？
获取一份清晰的修复清单
UD 工程师使用商用级工具扫描你的网站、服务器及云端资产，逐项剔除误报，并用浅白语言解释每项发现，让你的团队清楚知道应先修复什么。
常见问题
漏洞扫描大概要多少钱？
费用取决于扫描范围内的网站、IP 地址和服务器数量，以及扫描频率。一般来说，小型企业网站的外部扫描远比渗透测试便宜，建议按实际范围索取报价，而不是只比较单一价格。
扫描会不会拖慢网站或导致网站宕机？
配置得当的扫描会采用低负载模式，并可安排在非办公时间执行。较旧或较脆弱的系统，可以先在测试环境试扫。
可以用免费扫描工具吗？
可以。OpenVAS 等免费工具适合做内部初步检查，代价是误报较多、需要员工花时间解读；而 PCI DSS 要求外部扫描由认可供应商执行。