和做體檢一樣，通過漏洞掃描工具，定期對計算機系統(tǒng)、軟件、應(yīng)用程序或網(wǎng)絡(luò)接口進(jìn)行掃描，能夠發(fā)現(xiàn)企業(yè)信息安全存在的潛在威脅，從而及時采取補救措施。因此，漏洞掃描工具對企業(yè)安全人員來說就非常關(guān)鍵。目前，市面上也有很多付費，免費或者是開源的不同漏洞掃描工具。這期《樂琪科技》為大家梳理了一批開源、免費的漏掃工具，希望對你有幫助。

Trivy開源漏洞掃描器

Trivy是一個開源漏洞掃描程序，能夠檢測開源軟件中的CVE（公開漏洞列表）。這款工具針對風(fēng)險提供了及時的解釋，開發(fā)人員可自行決定是否在容器或應(yīng)用程序中使用該組件。常規(guī)的容器安全協(xié)議使用的是靜態(tài)鏡像掃描來發(fā)現(xiàn)漏洞，Trivy則是將漏洞掃描工具無縫合并到集成開發(fā)環(huán)境（IDE）當(dāng)中。

另外，由于背靠龐大的開源社區(qū)，許多的集成及附加組件都支持Trivy，例如使用Helm圖表能夠?qū)rivy安裝到Kubernetes集群，借助Prometheus導(dǎo)出器能夠提取漏洞指標(biāo)。

工具地址：https://www.aquasec.com/products/trivy/

OpenVAS

OpenVAS是一款功能全面的免費開源漏洞掃描器和管理系統(tǒng)。它得到了GNU通用公開許可證 (GPL)授權(quán)許可，支持包括多個Linux發(fā)行版在內(nèi)的不同操作系統(tǒng)。OpenVAS利用了可自動更新的社區(qū)來源的漏洞數(shù)據(jù)庫，涵蓋5萬多個已知網(wǎng)絡(luò)漏洞測試。也就是說，它能非常細(xì)致地查看整個系統(tǒng)，并對已經(jīng)或未經(jīng)身份驗證的協(xié)議進(jìn)行測試。而實施過的漏洞測試也相當(dāng)細(xì)致，會深入分析計算機及服務(wù)器受保護的程度。

同時，OpenVAS也提供黑客視角，從外部服務(wù)器進(jìn)行操作，從而識別暴露的服務(wù)或端口，并快速對暴露資產(chǎn)進(jìn)行處理。

工具地址：https://www.openvas.org/

Clair

Clair是基于API的漏洞掃描程序，可對開源容器層的任何已知安全漏洞進(jìn)行檢測，更加便于創(chuàng)建持續(xù)監(jiān)控容器并查找安全漏洞的服務(wù)。Clair能定期從各個來源收集漏洞元數(shù)據(jù)，對容器鏡像索引，并提供用于檢索鏡像發(fā)現(xiàn)的特征的API。漏洞元數(shù)據(jù)一旦更新，用戶就會收到提醒，這樣就能從之前掃描的鏡像中及時發(fā)現(xiàn)新的漏洞。另外，Clair還提供了可用于查詢特定容器鏡像漏洞的API。

工具地址：https://github.com/quay/clair

Anchore

Anchore是一款開源Docker容器策略合規(guī)與靜態(tài)分析的工具。激活之后，Anchore會自動執(zhí)行容器內(nèi)容的鏡像掃描、分析及評估。最終結(jié)果會針對每個鏡像進(jìn)行策略評估，并判定是否符合業(yè)務(wù)要求。Anchore主要是通過分析容器鏡像的內(nèi)容，發(fā)現(xiàn)隱藏的漏洞。同時，它也會掃描已知漏洞并確保鏡像遵循了最佳安全標(biāo)準(zhǔn)與最佳行業(yè)實踐。最重要的是，Anchore集成了容器注冊表和CI/CD工具。

工具地址：https://anchore.com/opensource/

Sqlmap

Sqlmap屬于滲透測試工具，但具有自動檢測和評估漏洞的功能。該工具不只是簡單地發(fā)現(xiàn)安全漏洞及利用漏洞的情況，它還針對發(fā)現(xiàn)結(jié)果創(chuàng)建了詳細(xì)的報告。Sqlmap利用Python進(jìn)行開發(fā)，支持任何安裝了Python解釋器的操作系統(tǒng)。它能自動識別密碼哈希，并使用六種不同方法來利用SQL注入漏洞。此外，Sqlmap的數(shù)據(jù)庫非常全面，支持Oracle、PostgreSQL、MySQL、SQLServer 和Access。

工具地址：https://sqlmap.org/

OpenSCAP

OPenSCAP的SCAP，即安全內(nèi)容自動化協(xié)議（Security Content Automation Protocol，SCAP），該協(xié)議由美國國家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）在維護。OpenSCAP這款工具有多個組件，可用于安全工具、策略執(zhí)行以及標(biāo)準(zhǔn)合規(guī)。它的這些開源工具，均滿足實施SCAP標(biāo)準(zhǔn)。另外，它有一個漏洞掃描模塊，能夠自動進(jìn)行漏洞掃描，最大限度地降低安全團隊的手動工作量。

工具地址：https://www.open-scap.org

Nmap

Nmap是一款開源網(wǎng)絡(luò)掃描工具，應(yīng)用場景包括端口掃描、服務(wù)指紋識別以及操作系統(tǒng)版本識別。Nmap通常被視為網(wǎng)絡(luò)映射及端口掃描工具，但因為其帶有Nmap腳本引擎 (NSE)，也有助于對錯誤配置問題和安全漏洞進(jìn)行檢測。另外，Nmap具備命令行界面 (Command-Line Interface，CLI) 以及圖形用戶界面 (Graphical User Interface ，GUI)。（注：寫該內(nèi)容時，該工具版本為7.90.）

工具地址：https://nmap.org/

Nexpose 社區(qū)

Nexpose社區(qū)是一個通用的開源漏洞評估工具，其漏洞引擎由Rapid7開發(fā)，掃描漏洞近68000個，進(jìn)行了超過16.3萬次網(wǎng)絡(luò)檢查。針對Windows及Linux系統(tǒng)的社區(qū)版免費，但僅限32個IP地址，以及一個用戶。雖然沒有Web應(yīng)用程序掃描，但Nexpose涵蓋自動漏洞更新以及微軟補丁星期二漏洞更新。

工具地址：https://www.rapid7.com/products/nexpose/download/

Retina CS 社區(qū)

Retina CS也是一個通用的開源漏洞評估工具。它是基于Web的控制臺，可以免費簡化并集中管理漏洞，可打補丁資產(chǎn)達(dá)到256項。Retina CS能對服務(wù)器、工作站、移動設(shè)備、數(shù)據(jù)庫、應(yīng)用程序和Web應(yīng)用程序自動進(jìn)行漏洞評估。這款開源應(yīng)用程序為VMware環(huán)境提供了全方位支持，包括在線與離線虛擬鏡像掃描、虛擬應(yīng)用程序掃描，以及與vCenter集成。

工具地址：https://www.beyondtrust.com/

Burp Suite 免費版

Burp Suite免費版是開源的Web應(yīng)用程序漏洞掃描器，該版本屬于軟件工具包，涵蓋了對Web應(yīng)用程序手動安全測試所需的所有東西。它可以使用攔截代理，針對瀏覽器和目標(biāo)應(yīng)用程序之間的流量進(jìn)行檢查與修改；還能利用可感知應(yīng)用程序的Spider抓取應(yīng)用程序的內(nèi)容及功能；此外，使用中繼器工具能夠處理并重新發(fā)送單個請求，也可訪問針對分析及解碼應(yīng)用程序數(shù)據(jù)的一系列實用程序。

工具地址：https://portswigger.net/burp

Nikto

Nikto是一款開源Web服務(wù)器掃描程序，主要針對Web服務(wù)器執(zhí)行多項全面測試，包括超過6700項潛在危險文件及程序。同樣，它還能對1250多臺服務(wù)器的過時版本及270多臺服務(wù)器上的版本特定問題進(jìn)行檢查。

此外，Nikto也能對服務(wù)器配置項進(jìn)行檢查，比如是否存在多個索引文件及HTTP服務(wù)器選項，并識別已安裝的Web服務(wù)器與軟件。Nikto的掃描項目和插件會經(jīng)常更新，且能自動更新。

工具地址：https://cirt.net/Nikto2

OWASP Zed Attack Proxy (ZAP)

OWASP ZAP是用于查找Web應(yīng)用程序漏洞的集成工具，作為Paros代理工具（基于java的web代理，用于評估web應(yīng)用程序漏洞）的一個分支，ZAP提供自動掃描器以及用于手動查找安全漏洞的工具。目前ZAP團隊在積極開發(fā)當(dāng)中，并得到了包括OWASP、微軟和谷歌在內(nèi)的機構(gòu)和企業(yè)的支持。

工具地址：https://owasp.org/www-project-zap/

Powerfuzzer

Powerfuzzer是一款高度自動化、完全可定制的Web工具（基于HTTP協(xié)議的應(yīng)用程序工具）。它能識別跨站腳本（XSS）、注入（SQL、LDAP、代碼、命令、CRLF和XPATH）、HTTP 500狀態(tài)（通常意味著可能出現(xiàn)錯誤配置/安全漏洞，例如緩沖區(qū)溢出）等問題。

工具地址：https://www.powerfuzzer.com/

Qualys 社區(qū)版

Qualys社區(qū)版替代了舊有的Qualys FreeScan，屬于基于云的免費服務(wù)。Qualys社區(qū)版提供了適用于小型企業(yè)的Qualys Cloud Platform精簡版，涵蓋16項內(nèi)部資產(chǎn)、三項外部資產(chǎn)以及一個URL的無限制掃描。基于對每年超過30億次漏洞掃描的信息利用，Qualys社區(qū)版具有整套工具的大部分功能。而Qualys社區(qū)版的優(yōu)勢之一，就在于它能搜索掃描結(jié)果并創(chuàng)建靈活性強的報告。另外，這款工具的界面設(shè)計也很吸引人。

工具地址：https://www.qualys.com/community-edition/#/freescan

Nessus Essentials

Tenable的Nessus可以算是漏洞評估工具里面老大哥。1998年，Renaud Deraison（被稱為Nessus漏洞掃描器之父）創(chuàng)立Nessus。2005年，Nessus從開源項目變成閉源項目，并以Tenable作為產(chǎn)品對外提供服務(wù)。目前，Nessus有免費的Nessus Essentials和商業(yè)版Nessus Professional兩個版本，Deraison則繼續(xù)作為Tenable的CTO參與到將Tenable作為Nessus插件的研究。目前，Tenable 已發(fā)布近 15萬個插件。NessusEssentials（原名Nessus Home）可對環(huán)境進(jìn)行掃描，每個掃描程序最多16個IP地址。

工具地址：https://www.tenable.com/products/nessus/nessus-essentials

漏洞掃描設(shè)備是信息安全人員的必備工具。在選擇掃描工具時，建議參考其可靠性、行業(yè)口碑、功能滿足度、易用性及可擴展性等不同維度能力進(jìn)行篩選。需要注意的是，對于沒有接觸過漏洞掃描的企業(yè)業(yè)務(wù)部門而言，漏掃可能是一種新的嘗試。因此，建議信息安全人員在執(zhí)行漏洞掃描前，落地ITIL（Information Technology InfrastructureLibrary）變更管理流程，在保證信息安全的同時，最小化可能產(chǎn)生的負(fù)面影響。

此外，漏洞掃描的最終目的在于發(fā)現(xiàn)漏洞并及時補救，企業(yè)通過微步在線威脅感知平臺TDP接入內(nèi)網(wǎng)橫向流量后，同樣能夠及時發(fā)現(xiàn)攻擊者內(nèi)網(wǎng)掃描、漏洞利用、爆破等一系列內(nèi)網(wǎng)滲透行為，有效避免對企業(yè)造成真正損害。

參考來源：linuxsecurity/breachlock/dnsstuff/pentestmag?