漏洞评估是对系统进行扫描，查找已知漏洞。它并非渗透测试。渗透测试旨在利用系统漏洞，而漏洞评估则识别并列出这些漏洞。评估结果以报告的形式呈现，报告按严重程度对发现的漏洞进行排序。组织可以据此决定修复哪些漏洞以及何时修复。漏洞评估比渗透测试速度更快、成本更低，因此执行频率更高。季度扫描很常见，持续扫描也正逐渐成为标准做法。

工具种类繁多。网络扫描器（例如 Nessus 和 OpenVAS）会探测主机上的开放端口、过时的软件和缺失的补丁。Web 应用程序扫描器（例如 Burp Suite 和 OWASP ZAP）会爬取网站以查找注入漏洞、身份验证失效和配置错误。云安全态势工具会根据基准检查配置。每种工具都有其盲点。扫描器会产生误报，并且会遗漏需要人工分析的逻辑缺陷。漏洞评估只是一个起点，它告诉你应该从哪里入手，但并不能告诉你攻击者实际会做什么。将评估与渗透测试相结合，才能获得更全面的信息。扫描可以发现漏洞，而渗透测试则可以验证哪些漏洞至关重要。

脆弱性评估步骤

• 明确范围和库存资产
• 运行自动扫描
• 验证结果并剔除假阳性
• 按严重程度和上下文确定优先级
• 修复并重新扫描以确认

仅仅运行扫描程序，而不进行任何修复，只是例行公事。真正的价值在于问题修复。