什么是漏洞扫描服务
漏洞扫描是授权前提下的自动化安全检测服务，依托海量 CVE、OWASP 等权威漏洞特征库，对网站、服务器、API、小程序等数字化资产进行批量安全探测。
系统自动扫描端口、中间件、代码组件、账号权限等维度，识别已知安全漏洞，例如组件漏洞、弱口令、错误配置、文件泄露等风险。
扫描完成后安全工程师人工复核全部告警，过滤误报，按高危 / 中危 / 低危划分风险等级，输出漏洞扫描报告，附带清晰的修复指引。
该服务多用于资产定期安全巡检、系统上线前安全自查、等保测评前置自查，快速发现已知公开漏洞，提前规避网络攻击、数据泄露风险。
补充提示：漏洞扫描仅识别已知漏洞，无法深度挖掘业务逻辑漏洞、越权、复杂业务缺陷，这类场景建议搭配渗透测试。
CMA / CNAS / CCRC
CMA
检验检测机构资质认定
CNAS
实验室认可
CCRC
信息安全风险评估服务资质
公司资质展示，适用范围按证书及项目核对。
什么时候需要漏洞扫描
主机资产周期性检查
资产变更后定期排查已知漏洞与配置风险。
网站版本更新核对
网站、Web 应用迭代更新，同步核查新增安全风险。
漏洞修复效果复查
漏洞整改完成后，复测确认修复效果，留存闭环证据。
支持检测资产类型
网站 & Web 应用
Web 漏洞、弱口令、挂马篡改风险检测
主机资产
云上 / 本地服务器漏洞、端口风险、影子资产梳理
小程序、API
小程序接口、API 接口安全风险检测
APP、中间件固件
移动应用、中间件、固件安全检测
物联网设备
IoT 设备漏洞与指纹识别检测
等保合规巡检
满足等级保护漏洞风险管理定期检查要求
漏洞扫描实施步骤
从需求与范围确认，到实施验证与资料交付，具体安排结合项目情况确认。
01
资产与授权确认
梳理域名、IP、应用资产，划定测试范围，标记禁止测试对象，确认测试账号权限。
02
确定扫描策略与时间
结合业务运行情况，确定扫描时段、扫描速率，规避业务高峰影响线上业务。
03
扫描执行与人工复核
执行自动化扫描，人工校验告警结果，区分真实漏洞与误报。
04
风险整理与修复建议
合并重复漏洞，划分风险等级，输出清晰可执行的整改建议。
05
漏洞复测与报告交付
漏洞修复后开展复测验证，正式交付漏洞扫描检测报告。
核心服务内容
风险测评
Web 及主机漏洞检测，覆盖 OWASP、CVE 主流漏洞类型，识别组件漏洞、弱口令、配置缺陷。
资产探测
探测主机、端口、中间件、数据库资产，发现僵尸、影子资产，梳理资产安全状态。
服务关键提示
1.扫描前明确资产范围、禁止测试对象，需要登录检测需提供授权测试账号。
2.工具告警必须人工复核，区分真实风险与误报，划分修复优先级。
3.漏洞扫描擅长发现公开已知漏洞；业务逻辑越权、复杂攻击链风险建议搭配渗透测试。
操作系统 应用系统 web程序 APP软件
项目服务流程
-
前期准备
确认扫描资产、测试范围与扫描时间窗口
扫描实施
执行扫描并人工验证漏洞，剔除误报
漏洞复测
执行扫描并人工验证漏洞，剔除误报
成果交付
输出盖章版漏洞扫描报告，项目完结
常见问题
漏洞扫描必须要书面授权吗？
是的。网络安全相关法规要求，未获得资产所有人书面授权，禁止开展漏洞扫描。项目启动前，需要签署授权测试文件，划定扫描范围，规避法律风险。
漏洞扫描会影响线上业务、造成系统宕机吗？
我们会根据业务情况设置低速率扫描策略，避开业务高峰时段。对核心业务资产做风险评估，禁用破坏性扫描插件；但部分重负载扫描仍可能对老旧系统产生压力，测试前会提前沟通确认。
