漏洞掃描或漏洞評估是一個系統的過程，該過程可在解決潛在漏洞的任何系統中查詢安全漏洞。
漏洞掃描程式的型別
漏洞掃描程式有自己的工作方式。根據漏洞掃描器的工作方式，我們可以將其分為四種類型。
基於雲的漏洞掃描程式
用於查詢基於雲的系統（如Web應用程式，WordPress和Joomla）中的漏洞。
基於主機的漏洞掃描程式
用於查詢單個主機或系統上的漏洞，例如單個計算機或網路裝置（如交換機或核心路由器）上的漏洞。
基於網路的漏洞掃描程式
用於透過掃描開放埠來查詢內部網路中的漏洞。在該工具的幫助下，在開放埠上執行的服務確定是否存在漏洞。
基於資料庫的漏洞掃描程式
用於查詢資料庫管理系統中的漏洞。資料庫是任何儲存敏感資訊的系統的骨幹。在資料庫系統上執行漏洞掃描，以防止諸如SQL Injection這樣的攻擊。
漏洞掃描工具
漏洞掃描工具允許使用多種方法來檢測應用程式中的漏洞。程式碼分析漏洞工具分析編碼錯誤。稽核漏洞工具可以找到著名的rootkit，後門程式和木馬。
市場上有許多漏洞掃描器。它們可以是免費的，付費的或開源的。大部分免費和開源工具都可以在GitHub上獲得。確定使用哪種工具取決於一些因素，例如漏洞型別，預算，工具更新頻率等。
1。 Nikto2
Nikto2是一個開源漏洞掃描軟體，專注於Web應用程式安全性。Nikto2可以找到大約6700個危險檔案，這些問題會導致Web伺服器出現問題，並報告基於版本的伺服器過時的情況。最重要的是，Nikto2可以在伺服器配置問題上發出警報，並在最短的時間內執行Web伺服器掃描。
Nikto2不提供發現漏洞的任何對策，也不提供風險評估功能。但是，Nikto2是經常更新的工具，它可以覆蓋更廣泛的漏洞。
2。 Netsparker
Netsparker是另一個具有自動功能的Web應用程式漏洞工具，可用於查詢漏洞。該工具還可以在幾個小時內找到數千個Web應用程式中的漏洞。
儘管它是一種付費的企業級漏洞工具，但它具有許多高階功能。它具有爬網技術，可透過爬網到應用程式來發現漏洞。Netsparker可以描述和建議緩解所發現漏洞的技術。此外，還提供用於高階漏洞評估的安全解決方案。
3。 OpenVAS
OpenVAS是功能強大的漏洞掃描工具，支援適用於組織的大規模掃描。您不僅可以使用此工具查詢Web應用程式或Web伺服器中的漏洞，還可以查詢資料庫，作業系統，網路和虛擬機器中的漏洞。
OpenVAS每天接收更新，從而擴大了漏洞檢測的範圍。它還有助於進行風險評估，並針對發現的漏洞提出對策。
4。 W3AF
W3AF是一種免費的開源工具，稱為Web應用程式攻擊和框架。該工具是針對Web應用程式的開源漏洞掃描工具。它建立了一個框架，該框架透過查詢和利用漏洞來幫助保護Web應用程式的安全。該工具以使用者友好性著稱。除了漏洞掃描選項外，W3AF還具有用於滲透測試的開發工具。
此外，W3AF還涵蓋了廣泛的漏洞集合。經常受到攻擊的域（尤其是具有新發現的漏洞的域）可以選擇此工具。
5。 Arachni
Arachni還是Web應用程式的專用漏洞工具。該工具涵蓋了多種漏洞，並定期進行更新。Arachni提供了用於風險評估的工具，併為發現的漏洞提供了提示和對策。
Arachni是一個免費的開源漏洞工具，支援Linux，Windows和macOS。Arachni還可以應對新發現的漏洞，從而幫助進行滲透測試。
6。 Acunetix
Acunetix是一款付費的Web應用程式安全掃描程式（也提供開源版本），具有許多功能。該工具可提供大約6500個漏洞掃描範圍。除了Web應用程式外，它還可以在網路中找到漏洞。
Acunetix提供了自動執行掃描的功能。適用於大型組織，因為它可以處理許多裝置。匯豐銀行，美國宇航局，美國空軍很少有工業巨頭使用Arachni進行漏洞測試。
7。 Nmap
Nmap是許多安全專業人士中著名的免費和開源網路掃描工具之一。Nmap使用探測技術來發現網路中的主機並進行作業系統發現。
此功能有助於檢測單個或多個網路中的漏洞。如果您是新手或正在學習漏洞掃描，那麼Nmap是一個好的開始。
8。 OpenSCAP
OpenSCAP是一種工具框架，可幫助進行漏洞掃描，漏洞評估，漏洞度量，建立安全措施。OpenSCAP是由社群開發的免費開源工具。OpenSCAP僅支援Linux平臺。
OpenSCAP框架支援在Web應用程式，Web伺服器，資料庫，作業系統，網路和虛擬機器上進行漏洞掃描。此外，它們提供了風險評估和對付威脅的支援工具。
9。 GoLismero
GoLismero是用於漏洞掃描的免費開源工具。GoLismero專注於查詢Web應用程式上的漏洞，但也可以掃描網路中的漏洞。GoLismero是一種方便的工具，可以與其他漏洞工具（例如OpenVAS）提供的結果一起使用，然後組合結果並提供反饋。
GoLismero涵蓋了廣泛的漏洞，包括資料庫和網路漏洞。此外，GoLismero有助於發現漏洞的對策。
10。Intruder
Intruder是一款付費漏洞掃描程式，專門設計用於掃描基於雲的儲存。漏洞釋放後，入侵者軟體立即開始掃描。Intruder中的掃描機制是自動的，並且會持續監控漏洞。
入侵者可以管理許多裝置，因此適合企業級漏洞掃描。除了監視雲端儲存之外，入侵者還可以幫助識別網路漏洞，並提供質量報告和建議。
11。 Comodo HackerProof
使用Comodo Hackerproof，您將能夠減少購物車放棄，執行每日漏洞掃描並使用隨附的PCI掃描工具。您還可以利用防偷襲攻擊功能，並與訪問者建立有價值的信任。由於Comodo Hackerproof的優勢，許多企業可以將更多的訪客轉化為買家。
買家在與您的公司進行交易時往往會感到更安全，您應該發現這可以增加您的收入。藉助正在申請專利的掃描技術SiteInspector，您將享有更高的安全級別。
12。Aircrack
Aircrack也被稱為Aircrack-NG，是用於評估WiFi網路安全性的一組工具。這些工具還可以用於網路審計，並支援多種作業系統，例如Linux，OS X，Solaris，NetBSD，Windows等。
該工具將專注於WiFi安全的不同領域，例如監視資料包和資料，測試驅動程式和卡，破解，回覆攻擊等。此工具允許您透過捕獲資料包來檢索丟失的金鑰。
13。Retina CS Community
Retina CS Community是一個基於Web的開源控制檯，它使您能夠製作更加集中和直接的漏洞管理系統。視網膜CS社群具有合規性報告，補丁和配置合規性等功能，因此，您可以評估跨平臺漏洞。
在管理網路安全性方面，該工具非常適合節省時間，成本和精力。它具有針對資料庫，Web應用程式，工作站和伺服器的自動漏洞評估功能。企業和組織將透過虛擬應用程式掃描和vCenter整合等方式獲得對虛擬環境的全面支援。
14。 Microsoft基準安全分析器（MBSA）
由Microsoft建立的完全免費的漏洞掃描程式，用於測試Windows伺服器或Windows計算機的漏洞。在微軟基準安全分析器有幾個重要的功能，包括掃描網路的業務報文，檢查安全更新或其他Windows更新，以及更多。它是Windows使用者的理想工具。
它非常適合幫助您識別丟失的更新或安全補丁。使用該工具在計算機上安裝新的安全更新。中小型企業發現該工具最有用，它的功能有助於節省安全部門的資金。您無需諮詢安全專家來解決該工具發現的漏洞。
15。 Nexpose
Nexpose是一個開源工具，您可以免費使用它。安全專家定期使用此工具進行漏洞掃描。感謝Github社群，所有新漏洞都包含在Nexpose資料庫中。您可以將此工具與Metasploit框架一起使用，並且可以依靠它來對Web應用程式進行詳細掃描。在生成報告之前，它將考慮各種因素。
該工具會根據漏洞的風險級別對漏洞進行分類，並從低到高排序。它能夠掃描新裝置，因此您的網路保持安全。Nexpose每週更新一次，因此您將找到最新的危險。
16。 Nessus
Nessus是Tenable Network Security建立的品牌且已獲得專利的漏洞掃描程式。Nessus可以防止駭客嘗試網路攻擊，並且可以掃描允許對敏感資料進行遠端駭客攻擊的漏洞。
該工具在雲基礎架構，虛擬和物理網路中提供了廣泛的OS，Db，應用程式以及其他幾種裝置。數百萬的使用者信任Nessus的漏洞評估和配置問題。
17。 SolarWinds網路配置管理器
SolarWinds Network Configuration Manager一直受到使用者的高度評價。漏洞評估工具的功能包括解決許多其他選項所沒有的特定型別的漏洞，例如配置錯誤的網路裝置。此功能使其與眾不同。作為漏洞掃描工具的主要用途是驗證網路裝置配置是否存在錯誤和遺漏。它還可以用於定期檢查裝置配置的更改。
它與國家漏洞資料庫整合，並且可以訪問最新的CVE，以識別您的Cisco裝置中的漏洞。它可以與執行ASA，IOS或Nexus OS的任何Cisco裝置一起使用。
漏洞評估可保護您的網路安全
如果攻擊是透過修改裝置網路配置開始的，則這些工具將能夠識別並制止該攻擊。它們可以檢測到流程外的更改，稽核配置甚至糾正違規行為，從而幫助您符合法規要求。
要實施漏洞評估，您應該遵循以下概述的系統過程。
步驟1 –透過記錄文件，確定要使用的一種或多種工具，獲得利益相關者的必要許可來開始流程。
步驟2 –使用相關工具執行漏洞掃描。確保儲存這些漏洞工具的所有輸出。
步驟3 –分析輸出並確定所識別的漏洞可能是潛在的威脅。您還可以確定威脅的優先順序，並找到緩解威脅的策略。
步驟4 –確保記錄所有結果併為利益相關者準備報告。
步驟5 –修復發現的漏洞。
