对威胁说“不” 主流漏洞扫描工具遍历 
 
我们都知道，将商业网络连接到互联网来进行自由信息交换是十分重要的商业活动，然而，这种网络连接同时也向恶意攻击者执行安全漏洞攻击敞开了大门。所幸的是，有一种方法可以保护你的网络安全薄弱区域。采用漏洞扫描技术能够找寻安全漏洞并测试系统的安全薄弱点，大多数扫描系统会生成一份关于检测结果的报告，这样公司用户就能够根据报告提供的信息来加强他们的网络安全。虽然经常会被用于扫描互联网连接状态下的网络，漏洞扫描同样可以应用于内部网络审计系统，因为内部网络同样会受到来自流氓软件或者恶意员工带来的安全威胁。 
　　很多企业只是将漏洞扫描作为整个安全审计的一部分来执行，也许只是每年象征性地扫描一次。这是一个很大地错误，因为网络和网络连接更新非常频繁，而且新的漏洞几乎每周都会被发现。对于一个较大地公司，很有必要经常定期进行漏洞扫描，将漏洞扫描作为定期安全分析的重要组成部分。

　　薄弱点Soft Spots

　　攻击者们希望通过使用各种不同的技术获取商务网站的访问权，然而，所有这些攻击者都拥有一个相同点就是他们都希望寻找网络的薄弱点，因为通常他们可以利用薄弱点很轻易的进行攻击。

　　就像生活中的盗贼希望找到没有上锁的房门，或者偷车贼希望找到将车钥匙留在点火器上的车一样，攻击者们会通过搜索多个网络来找寻一个能够帮助他们快速轻松获取访问权的漏洞。攻击者们的这种习惯给网络管理员们带来了特别的挑战，这些网络管理员们要想打击攻击者们的攻击行为，必须把自己想象成攻击者，从他们的角度来思考问题。

　　系统和服务器软件的每一次新的更新都带来了新漏洞的潜在可能，而不管进行了何种程度的更新。虽然这些漏洞通常能够很快地被安全小组发现，并想尽办法加强安全防线以及消除这些安全漏洞，但是黑客和恶意攻击者能够在漏洞发现后最短地时间内得到这些漏洞报告并且迅速制造攻击，这样就使新的漏洞不断产生。

　　扫描器类型

　　主要有三种类型地漏洞扫描器可供商业用户使用来找到他们网络中的薄弱点，这三种扫描器分别是:

　　网络扫描器：通用扫描器，能够搜索整个网络，查找潜在的漏洞.

　　端口扫描器：软件，能够搜索网络中的开放端口，以防止这些开放端口被攻击者利用对网络进行非法访问.

　　Web应用程序安全扫描器：可以让企业用户持续性地执行风险评估，来检查网络应用程序的漏洞是否能够抵挡恶意攻击威胁.

　　扫描器工具

　　企业用户和网络管理员们可以从各种漏洞扫描器工具中选择适合自己的产品，以下是一些比较流行的扫描器工具:

　　Acunetix Web Vulnerability Scanner：该软件套件包括一个网络安全扫描器，检索器，报告分析工具和一个对所有领先的web服务器平道的安全检查数据库。

　　Cenzic Hailstorm：Cenzic公司的应用扫描器可以跨部门、业务单位和地区对网络应用程序的安全状态进行分析。

　　GFI LANguard Network Security Scanner：这个漏洞管理解决方案包括网络漏洞扫描、补丁管理和审计支持。

　　Teneble Nessus 3：该产品能够与不同类型的Unix兼容，能够执行超过900米的远程安全检查并能够对安全问题提出解决方案

　　Nmap：Nmap是一个简单的端口扫描器，作为一个免费的开源工具来帮助进行网络勘探或者安全审计

　　QualysGuard：Qualys公司声称自己是第一个提供托管、为安全风险和合规管理提供按需解决方案的软件供应商.

　　Retina Network Security Scanner：供应商eEye Digital安全公司声称其公司的漏洞扫描器既能够检测已知的漏洞又能够检测出零日攻击漏洞他们的产品还提供了一个安全风险评估，能够帮助商业用户确立最佳安全做法，适用政策执行和处理监管审计。

　　SAINT Network Vulnerability Scanner：这个网络漏洞扫描器是与一个渗透测试工具整合在一起的，能够帮助用户检测已发现的漏洞。

      国内主流漏洞扫描工具：

      启明星辰天镜脆弱性扫描与管理系统：天镜脆弱性扫描与管理系统是启明星辰自主研发的基于网络的脆弱性分析、评估与管理系统，它能够快速发现网络资产，识别资产属性、全面扫描安全漏洞，清晰定性安全风险，给出修复建议和预防措施，并对风险控制策略进行有效审核，从而在弱点全面评估的基础上实现安全自主掌控。

      绿盟科技极光远程安全评估系统：极光远程安全评估系统 （Aurora Remote Security Assessment System， Aurora RSAS）第一时间主动诊断安全漏洞并提供专业防护建议，让攻击者无机可乘，是您身边的“漏洞管理专家”。 

      杭州安恒MatriXay 2.0：MatriXay 2.0(2008版)是一款针对WEB应用的深度风险评估及主动防御工具，采用攻击技术的原理和渗透性测试的方法，对WEB应用进行深度漏洞探测，可帮助应用开发者和管理者了解应用系统存在的脆弱性。

      杭州安恒DAS-DBSCAN：DAS-DBSCAN是在深入分析研究ORACLE数据库典型安全漏洞以及流行的攻击技术基础上，研制开发的一款数据库安全评估工具。专门用于扫描Oracle数据库弱点的软件产品，能够扫描几百种不安全的数据库配置及潜在弱点，并且具有强大的发现弱口令功能。

　　基本要点

　　根据Yankee集团研究公司的最佳安全做法表明，公司应该至少每天或者每周执行一次漏洞管理检查，只有这样才能保证你们公司的安全性。