漏洞評估是對系統進行掃描，尋找已知漏洞。它並非滲透測試。滲透測試旨在利用系統漏洞，而漏洞評估則識別並列出這些漏洞。評估結果以報告的形式呈現，報告以嚴重程度對發現的漏洞進行排序。組織可以據此決定修復哪些漏洞以及何時修復。漏洞評估比滲透測試速度更快、成本更低，因此執行頻率更高。季度掃描很常見，持續掃描也逐漸成為標準做法。

工具種類繁多。網路掃描器（例如 Nessus 和 OpenVAS）會偵測主機上的開放連接埠、過時的軟體和缺少的修補程式。 Web 應用程式掃描器（例如 Burp Suite 和 OWASP ZAP）會爬取網站以尋找注入漏洞、驗證失效和設定錯誤。雲端安全態勢工具會根據基準檢查配置。每種工具都有其盲點。掃描器會產生誤報，並且會遺漏需要手動分析的邏輯缺陷。漏洞評估只是一個起點，它告訴你應該從哪裡入手，但並不能告訴你攻擊者實際上會做什麼。將評估與滲透測試結合，以獲得更全面的資訊。掃描可以發現漏洞，而滲透測試則可以驗證哪些漏洞至關重要。

脆弱性評估步驟

• 明確範圍和庫存資產
• 執行自動掃描
• 驗證結果並剔除假陽性
• 按嚴重程度和上下文確定優先級
• 修復並重新掃描以確認

僅僅運行掃描程序，而不進行任何修復，只是例行公事。真正的價值在於問題修復。