任何電腦系統、網路或應用程式都會有漏洞會被小心人士利用，今天不管是攻擊還是防護都需要知道漏洞的存在才能做出相應對策。弱點掃描就是必不可少的工具，不知道各位有沒有聽過呢？

與弱點掃描相似的還有滲透測試，滲透測試的部分我們明天會再提到並與弱點掃描相互做比對分析各自的優缺點。

什麼是弱點掃描？

弱點掃描(Vulnerability Scanner)又能被稱漏洞掃描或漏洞掃描器，是漏洞管理的程式。約近90%的攻擊都是建立在系統或程式的漏洞之上，而弱點掃描的存在就像我們做身體的健康檢查一樣，檢查資安相關狀況和漏洞來做進一步的防護和處理。

提到弱點掃描就必須要稍微了解CVE和CVSS。弱點掃描工具基本上根據CVE公布的弱點資訊建立檢測方式，並依照CVSS的標準去給予弱點評分標準。

CVE

CVE(Common Vulnerabilities and Exposures)是一個維護全球主要弱點資料的組織，每一個經過CVE確認的弱點都會賦予其編號。目前CVE弱點資訊成為全球大部分的弱點參考標準。

CVE並不是唯一個弱點資料的來源，像是微軟MS也同樣有弱點資料。進行弱點掃描時所發現的弱點並不一定會具有CVE編號，這時候會認定其為未知威脅(Unknown threat)。

CVSS

CVSS(Common Vulnerability Scoring System)為目前全世界最主要的弱點評分標準。CVSS的評分由0分到10分各別是未發現弱點的0分和最高風險等級的10分，在CVSS v3的版本裡將弱點掃描等級分成五個等級。

參考資料

漏洞掃描器
什麼是弱點掃描？
怎樣找到你最需要的弱點工具