免費&開源都有！15款超有用的漏洞掃描工具，建議收藏
和做體檢一樣，通過漏洞掃描工具，定期對計算機系統、軟件、應用程序或網絡接口進行掃描，能夠發現企業信息安全存在的潛在威脅，從而及時采取補救措施。因此，漏洞掃描工具對企業安全人員來說就非常關鍵。目前，市面上也有很多付費，免費或者是開源的不同漏洞掃描工具。這期《微步一周薦讀》為大家梳理了一批開源、免費的漏掃工具，希望對你有幫助。
Trivy開源漏洞掃描器
Trivy是一個開源漏洞掃描程序，能夠檢測開源軟件中的CVE（公開漏洞列表）。這款工具針對風險提供了及時的解釋，開發人員可自行決定是否在容器或應用程序中使用該組件。常規的容器安全協議使用的是靜態鏡像掃描來發現漏洞，Trivy則是將漏洞掃描工具無縫合并到集成開發環境（IDE）當中。
另外，由于背靠龐大的開源社區，許多的集成及附加組件都支持Trivy，例如使用Helm圖表能夠將Trivy安裝到Kubernetes集群，借助Prometheus導出器能夠提取漏洞指標。
工具地址：https://www.aquasec.com/products/trivy/
OpenVAS
OpenVAS是一款功能全面的免費開源漏洞掃描器和管理系統。它得到了GNU通用公開許可證 (GPL)授權許可，支持包括多個Linux發行版在內的不同操作系統。OpenVAS利用了可自動更新的社區來源的漏洞數據庫，涵蓋5萬多個已知網絡漏洞測試。也就是說，它能非常細致地查看整個系統，并對已經或未經身份驗證的協議進行測試。而實施過的漏洞測試也相當細致，會深入分析計算機及服務器受保護的程度。
同時，OpenVAS也提供黑客視角，從外部服務器進行操作，從而識別暴露的服務或端口，并快速對暴露資產進行處理。
工具地址：https://www.openvas.org/
Clair
Clair是基于API的漏洞掃描程序，可對開源容器層的任何已知安全漏洞進行檢測，更加便于創建持續監控容器并查找安全漏洞的服務。Clair能定期從各個來源收集漏洞元數據，對容器鏡像索引，并提供用于檢索鏡像發現的特征的API。漏洞元數據一旦更新，用戶就會收到提醒，這樣就能從之前掃描的鏡像中及時發現新的漏洞。另外，Clair還提供了可用于查詢特定容器鏡像漏洞的API。
工具地址：https://github.com/quay/clair
Anchore
Anchore是一款開源Docker容器策略合規與靜態分析的工具。激活之后，Anchore會自動執行容器內容的鏡像掃描、分析及評估。最終結果會針對每個鏡像進行策略評估，并判定是否符合業務要求。Anchore主要是通過分析容器鏡像的內容，發現隱藏的漏洞。同時，它也會掃描已知漏洞并確保鏡像遵循了最佳安全標準與最佳行業實踐。最重要的是，Anchore集成了容器注冊表和CI/CD工具。
工具地址：https://anchore.com/opensource/
Sqlmap
Sqlmap屬于滲透測試工具，但具有自動檢測和評估漏洞的功能。該工具不只是簡單地發現安全漏洞及利用漏洞的情況，它還針對發現結果創建了詳細的報告。Sqlmap利用Python進行開發，支持任何安裝了Python解釋器的操作系統。它能自動識別密碼哈希，并使用六種不同方法來利用SQL注入漏洞。此外，Sqlmap的數據庫非常全面，支持Oracle、PostgreSQL、MySQL、SQLServer 和Access。
工具地址：https://sqlmap.org/
OpenSCAP
OPenSCAP的SCAP，即安全內容自動化協議（Security Content Automation Protocol，SCAP），該協議由美國國家標準與技術研究所（NIST）在維護。OpenSCAP這款工具有多個組件，可用于安全工具、策略執行以及標準合規。它的這些開源工具，均滿足實施SCAP標準。另外，它有一個漏洞掃描模塊，能夠自動進行漏洞掃描，最大限度地降低安全團隊的手動工作量。
工具地址：https://www.open-scap.org
Nmap
Nmap是一款開源網絡掃描工具，應用場景包括端口掃描、服務指紋識別以及操作系統版本識別。Nmap通常被視為網絡映射及端口掃描工具，但因為其帶有Nmap腳本引擎 (NSE)，也有助于對錯誤配置問題和安全漏洞進行檢測。另外，Nmap具備命令行界面 (Command-Line Interface，CLI) 以及圖形用戶界面 (Graphical User Interface ，GUI)。（注：寫該內容時，該工具版本為7.90.）
工具地址：https://nmap.org/
Nexpose 社區
Nexpose社區是一個通用的開源漏洞評估工具，其漏洞引擎由Rapid7開發，掃描漏洞近68000個，進行了超過16.3萬次網絡檢查。針對Windows及Linux系統的社區版免費，但僅限32個IP地址，以及一個用戶。雖然沒有Web應用程序掃描，但Nexpose涵蓋自動漏洞更新以及微軟補丁星期二漏洞更新。
工具地址：https://www.rapid7.com/products/nexpose/download/
Retina CS 社區
Retina CS也是一個通用的開源漏洞評估工具。它是基于Web的控制臺，可以免費簡化并集中管理漏洞，可打補丁資產達到256項。Retina CS能對服務器、工作站、移動設備、數據庫、應用程序和Web應用程序自動進行漏洞評估。這款開源應用程序為VMware環境提供了全方位支持，包括在線與離線虛擬鏡像掃描、虛擬應用程序掃描，以及與vCenter集成。
工具地址：https://www.beyondtrust.com/
Burp Suite 免費版
Burp Suite免費版是開源的Web應用程序漏洞掃描器，該版本屬于軟件工具包，涵蓋了對Web應用程序手動安全測試所需的所有東西。它可以使用攔截代理，針對瀏覽器和目標應用程序之間的流量進行檢查與修改；還能利用可感知應用程序的Spider抓取應用程序的內容及功能；此外，使用中繼器工具能夠處理并重新發送單個請求，也可訪問針對分析及解碼應用程序數據的一系列實用程序。
工具地址：https://portswigger.net/burp
Nikto
Nikto是一款開源Web服務器掃描程序，主要針對Web服務器執行多項全面測試，包括超過6700項潛在危險文件及程序。同樣，它還能對1250多臺服務器的過時版本及270多臺服務器上的版本特定問題進行檢查。
此外，Nikto也能對服務器配置項進行檢查，比如是否存在多個索引文件及HTTP服務器選項，并識別已安裝的Web服務器與軟件。Nikto的掃描項目和插件會經常更新，且能自動更新。
工具地址：https://cirt.net/Nikto2
OWASP Zed Attack Proxy (ZAP)
OWASP ZAP是用于查找Web應用程序漏洞的集成工具，作為Paros代理工具（基于java的web代理，用于評估web應用程序漏洞）的一個分支，ZAP提供自動掃描器以及用于手動查找安全漏洞的工具。目前ZAP團隊在積極開發當中，并得到了包括OWASP、微軟和谷歌在內的機構和企業的支持。
工具地址：https://owasp.org/www-project-zap/
Powerfuzzer
Powerfuzzer是一款高度自動化、完全可定制的Web工具（基于HTTP協議的應用程序工具）。它能識別跨站腳本（XSS）、注入（SQL、LDAP、代碼、命令、CRLF和XPATH）、HTTP 500狀態（通常意味著可能出現錯誤配置/安全漏洞，例如緩沖區溢出）等問題。
工具地址：https://www.powerfuzzer.com/
Qualys 社區版
Qualys社區版替代了舊有的Qualys FreeScan，屬于基于云的免費服務。Qualys社區版提供了適用于小型企業的Qualys Cloud Platform精簡版，涵蓋16項內部資產、三項外部資產以及一個URL的無限制掃描。基于對每年超過30億次漏洞掃描的信息利用，Qualys社區版具有整套工具的大部分功能。而Qualys社區版的優勢之一，就在于它能搜索掃描結果并創建靈活性強的報告。另外，這款工具的界面設計也很吸引人。
工具地址：https://www.qualys.com/community-edition/#/freescan
Nessus Essentials
Tenable的Nessus可以算是漏洞評估工具里面老大哥。1998年，Renaud Deraison（被稱為Nessus漏洞掃描器之父）創立Nessus。2005年，Nessus從開源項目變成閉源項目，并以Tenable作為產品對外提供服務。目前，Nessus有免費的Nessus Essentials和商業版Nessus Professional兩個版本，Deraison則繼續作為Tenable的CTO參與到將Tenable作為Nessus插件的研究。目前，Tenable 已發布近 15萬個插件。NessusEssentials（原名Nessus Home）可對環境進行掃描，每個掃描程序最多16個IP地址。
工具地址：https://www.tenable.com/products/nessus/nessus-essentials
漏洞掃描設備是信息安全人員的必備工具。在選擇掃描工具時，建議參考其可靠性、行業口碑、功能滿足度、易用性及可擴展性等不同維度能力進行篩選。需要注意的是，對于沒有接觸過漏洞掃描的企業業務部門而言，漏掃可能是一種新的嘗試。因此，建議信息安全人員在執行漏洞掃描前，落地ITIL（Information Technology InfrastructureLibrary）變更管理流程，在保證信息安全的同時，最小化可能產生的負面影響。
此外，漏洞掃描的最終目的在于發現漏洞并及時補救，企業通過微步在線威脅感知平臺TDP接入內網橫向流量后，同樣能夠及時發現攻擊者內網掃描、漏洞利用、爆破等一系列內網滲透行為，有效避免對企業造成真正損害。
