想像一下：你的船在風平浪靜時就開始漏水——你會怎麼辦？在資安的世界裡，公司就像一艘航行中的大船，弱點就是那些你看不見的裂縫。不先檢查，等到海水灌進來，可能就來不及了。也因此稽核、法規、甚至客戶審查，總會要求：「你們要定期做弱點掃描！」

為什麼要弱點掃描？

很多人以為弱點掃描只是「檢查一下有沒有漏洞」。但在資安工程師眼裡，它其實有幾個關鍵任務：

1. 稽核必備：ISO 27001 與各式資安/合規要求，都要能證明「我們有持續檢測並改善」。
2. 風險評估：先知道洞在哪，才能在年度風險評鑑裡說清楚、排得出優先順序。
3. 決策依據：報告是給主管/老闆評估是否投入資源用的（最後通常還是自己補 ）。
4. 成本控制：事前修補的成本，通常遠低於事件爆發後的處置與商業損失。
5. 意識提升：以報告帶動跨部門的安全討論與改善文化。

這些要素環環相扣，讓弱點掃描不只是例行公事，而是防禦體系的核心。

弱點掃描的分類

弱點掃描依「面向」分門別類；就像看診，要看骨頭會拍 X 光，不會去做胃鏡。

• Web 弱掃（OWASP ZAP、Burp Suite、Acunetix）：
  專攻網站應用程式，找 SQL Injection、XSS 等問題。

• 網路／系統層弱掃（Nessus、OpenVAS／GVM、Qualys/VMDR）：
  從 OS、開放 Port、服務版本、組態下手，一次掃滿整個網段。

  Nessus 定位：主力在主機/網路層；具備基礎 Web/CGI 檢查，但若要做完整 Web 掃描，建議用專業 DAST（ZAP／Burp／Acunetix），或採用 Nessus Expert 的 WAS 模組／Tenable WAS。

• 端點弱掃（EDR／Agent）：
  檢查電腦與伺服器的修補狀態與已知漏洞。

  現在有些 EDR 甚至能直接派送修補的 Patch。

快速對照表：

• 有對外網站服務 → Web 弱掃必跑（例行可用 ZAP，需要更完整可用 Acunetix／Tenable WAS）。
• 內網一堆 Server → 用 Nessus／GVM 或 Qualys 做盤點與定期掃描。
• 擔心員工電腦沒更新 → 用 端點掃描補刀。

開源起步：ZAP、Greenbone Community（GVM 社群版） 安裝不難、教學多、可輸出報告；成本低、社群活躍，很適合小團隊自建。

外包勇者 vs 自建工匠

公司決定要做弱點掃描後，接著就是經典二選一。不管哪種選擇，共通痛點都是：報告再漂亮，修補還是得自己做（除非另購代修服務）。

外包勇者

• 特點：交給資安廠商，拿回厚實完整的 PDF 報告。
• 優點：專業度高、報告精美，稽核官一看就懂。
• 缺點：價格不菲；若未加購代修，仍需自家團隊落地修補。

自建工匠

• 特點：自己買 Nessus Pro 或搭 GVM 規劃週期與範圍；也可採用雲端掃描平台（如 Qualys/VMDR）但由你們自行規劃與執行。

• 優點：彈性大、頻率可控，成本通常較低。

• 缺點：需投入人力維護工具與流程；修補依然在自己身上。

  類似先前說的「布甲 vs 鐵裝」：GVM、ZAP 都是免費開源，安裝不難、教學很多，也能輸出報告；新手跟著官方文件或 YouTube 教程就能上手。

無論選勇者還是工匠，最後都會發現：報告只是序章，真正的挑戰在於「補」。

結語：補洞才是真正考驗

弱點掃描像遊戲裡的「地圖探索」。找到紅點不難，難的是誰要衝進去打怪、誰來收拾戰場。

很多公司停在「我們有做掃描」這一步，卻忘了下一關才是關鍵：

• 排定修補時程
• 依風險分級決定優先順序
• 定期回報改善紀錄

弱點掃描看似帥氣，但資安工程師最常掉的血，不是在掃描那一刻，而是在加班Patch的過程。等系統穩穩的，你會發現：一切都值得。繼續你的資安冒險吧！