弱點掃描是用自動化工具比對已知弱點的資料庫，找出網站、主機與內部網路裡過時的軟體版本、缺少的修補與錯誤的設定。美國國家標準與技術研究院（NIST）的測試指南指出，掃描雖然高度自動化，誤判率卻可能很高，結果要由熟悉網路與作業系統安全的人判讀。企業在理解弱點掃描時，要分清楚三件事：掃的是哪一層（網站應用程式、對外主機或內網設備）、報告裡的風險等級怎麼對應到自己的環境，以及找到弱點後由誰修補、怎麼確認修好。多久掃一次沒有固定答案，可依系統變更、新弱點公告與風險高低安排；委託外部單位時，先寫清楚範圍與授權。
弱點掃描是什麼：比對已知弱點的自動化檢測
NIST 的資訊安全測試與評估技術指南說明，弱點掃描可以協助找出過時的軟體版本、缺少的修補與設定錯誤。掃描器靠弱點資料庫比對，所以 NIST 建議每次執行前，先完成弱點資料庫的更新；挑選工具時，資料庫的更新頻率也應列為主要考量。
掃描的定位是「找出可能的問題」。NIST 指出，掃描器只檢查弱點是否可能存在，要確認能不能真的被利用，屬於滲透測試的範圍。因此掃描結果是修補清單的起點，而不是網站安不安全的結論。
弱點掃描工具的四種類型
選擇弱點掃描工具前，先確認要檢查的是哪一層，類型不同，看到的問題也不同：
- 網站應用程式掃描：Open Worldwide Application Security Project（OWASP）說明這類工具通常從外部掃描網站，常稱為動態應用程式安全測試（DAST）。
- 網路與主機掃描：NIST 說明掃描器可以從網路對主機執行，也可以安裝在主機本機執行，本機掃描能看到較細的弱點。
- 帶憑證的掃描：部分網路型掃描器會使用主機的管理員層級憑證登入檢查，涵蓋範圍較廣，但帳號要妥善保管、用完收回。
- 軟體組成分析（SCA）：檢查程式使用的套件與函式庫。以 OWASP 的旗艦專案 Dependency-Check 為例，它會找出專案的相依套件，比對是否有已公開揭露的已知弱點。
做弱點掃描工具比較時，可以看弱點資料庫的更新頻率、是否支援登入後掃描、報告能否匯出受影響資產與建議，以及誤判標記的方式。OWASP 也聲明，它列出的掃描工具不代表背書。
掃描範圍：網站、對外主機與內部網路
同一次委託可能涵蓋不同範圍，每種範圍要準備的事也不同：
| 範圍 | 掃描對象 | 常見發現 | 事前準備 |
|---|---|---|---|
| 網站應用程式 | 網址、表單、參數與登入後頁面 | 跨網站指令碼、注入類弱點、不安全的伺服器設定 | 測試帳號、排除會寄信或扣款的功能 |
| 對外主機 | 對外開放的服務與連接埠 | 過時版本、缺少的修補、設定錯誤 | 確認位址屬於自己，查主機商的掃描規範 |
| 內部網路 | 伺服器、員工電腦與網路設備 | 未更新的作業系統與服務 | 資產清冊、約定時段與聯絡窗口 |
| 程式相依套件 | 網站使用的套件與函式庫 | 含已知弱點的套件版本 | 原始碼或套件清單 |
網站放在雲端時，以 Google Cloud 為例，測試要遵守可接受使用政策與服務條款，並確保只影響自己的專案。
弱點掃描報告怎麼判讀：等級、CVE 與誤判
一份可用的弱點掃描報告，至少要看得出受影響的資產、弱點名稱與編號、風險等級、判斷依據與修補建議；向廠商索取弱點掃描報告範本時，可以先確認有沒有這些欄位。判讀時注意：
- CVE 編號：每筆有專屬的識別編號、描述與至少一則公開參考，對應已公開的弱點，可用來查原廠公告與修補版本。
- CVSS 等級：FIRST 維護的通用弱點評分系統，把分數對應為無、低、中、高、嚴重五個等級。規格也說明使用者應以威脅與環境指標補充基本分數，同一個弱點在對外系統與內部測試機上的優先順序可能不同。
- 是否已被利用：美國網路安全暨基礎設施安全局（CISA）維護已遭實際利用的弱點目錄（KEV），建議組織把它作為修補排序的依據之一。
- 誤判：核對實際安裝的版本、設定與報告是否一致，確認是誤判就註明理由，不要直接刪除，下次掃描才有紀錄可比對。
多久掃一次：依變更、新弱點與風險判斷
NIST 指南提到評估頻率依風險而定，資源也常是限制頻率的因素。與其只訂一個固定週期，不如把下列情況都列為掃描時機：
- 變更之後：網站改版、新增會員或付款功能、更換主機或大量更新外掛後。
- 新弱點公告時：使用中的軟體出現重大弱點公告，或被列入 KEV 目錄時，針對受影響的系統加掃。
- 例行基準：在變更之外再訂固定週期，對外系統的週期可以比內部系統短。
- 修補之後：複掃確認問題已解決。
若受支付卡產業標準或資安法規規範，頻率另有規定；委外報價的組成與法規要求的頻率，可參考弱點掃描費用的估算方式。
修補流程：從排序到複掃
NIST 的企業修補管理指南把弱點的風險回應分成接受、減緩、轉移與避免四種，修補流程可以依此安排：
- 確認與分派：排除誤判後，替每個弱點指定負責人，例如主機管理、網站程式或外掛維護。
- 排出順序：已被實際利用、位在對外系統、等級較高的先處理。
- 選擇處理方式：能更新就更新；修補還沒推出或暫時無法更新時，可採用 NIST 列出的減緩方式，先停用有弱點的功能，或加上額外的安全控制，例如以 WAF 防火牆暫時擋下已知攻擊；不再使用的功能直接移除，消除攻擊面；決定暫時接受風險的，要記錄理由與檢討日期。
- 確認生效：NIST 提醒修補要確認已安裝並生效，例如外掛更新後檢查實際版本、伺服器設定修改後重新載入。
- 複掃與結案：以同樣的範圍再掃一次，把結果與處理紀錄存檔。
自行掃描或委外：企業端要準備什麼
不論自己用工具掃描或委託外部單位，企業端都要先處理好這幾件事：
- 授權：只掃描自己擁有或取得書面授權的系統，租用主機先確認主機商的規範。
- 資產清單：列出網域、子網域、主機位址、後台網址與使用的套件，沒列進去的就不會被掃到。
- 備份與時段：掃描前完成備份，選在使用量低的時段，並約好可以隨時中止的聯絡窗口。
- 修補人力：報告出來後誰負責主機、誰負責網站程式與外掛，事先分好，才不會讓報告停在信箱裡。
常見問題
掃描結果沒有高風險，代表網站很安全嗎？
不代表。掃描比對的是已知弱點與可觀察到的設定，權限設計錯誤、商業流程漏洞這類問題不一定掃得出來，需要搭配功能測試或滲透測試確認。
免費的弱點掃描工具可以用嗎？
可以用來做日常檢查，例如 OWASP 的開源專案；但要確認工具的弱點資料庫持續更新，結果也要有人判讀並排定修補，而且只能掃描自己擁有或取得授權的系統。
弱點掃描會讓網站變慢嗎？
有可能。NIST 提醒掃描可能佔用頻寬、拖慢回應，部分測試也可能讓系統意外停止回應，所以要約定時段、事先備份，並準備好能隨時中止掃描的聯絡方式。
主機商說會幫忙掃描，還需要另外安排嗎？
先確認主機商掃的是主機層還是網站程式，以及報告會不會交給你。若只涵蓋主機環境，網站程式、外掛與後台設定仍要由網站管理者另外安排檢查。
會員中心與後台也要納入掃描嗎？
有登入功能時建議納入。未登入的掃描只看得到公開頁面，提供測試帳號後才能檢查登入後的功能；掃描結束要停用測試帳號，並檢查是否產生測試資料。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
安排弱點掃描前，先列出網站網址、子網域、主機與使用的外掛和套件，並決定修補由誰負責。掃描本身可委託專業的資安檢測單位；京采的技術 SEO 與網站健檢服務可以協助整理網站與 DNS 的資產清單，並針對報告中與網站程式、外掛、主機設定相關的項目進行更新與修正，再配合委託單位複掃確認。想先了解網站現況，歡迎與我們聯繫。
