駐點在某客戶處，該客戶原本在執行上述作業時各有使用付錢版本的軟體。
網頁弱掃：WebInspect
主機弱掃：Nessus
源碼檢測：Audit Workbench
前兩項是合約內提供的服務，第三項是自行購買，明年到期。
在新維護合約中已明確知道不再提供那兩項服務，但是客戶一定又會「要求」駐點的工程師去尋找免費版本，所以想請問諸位先進，是否有具公信力的免費軟體可以使用呀？
頭痛中。
謝謝！
已邀請的邦友 {{ invite_list.length }}/5
如果免費的可以做到跟商業版相同功能, 請問還有誰要買商業版?
這些都免費的, 不過要先問問看客戶: 承不承認用這些工具掃出來的報表?
https://geekflare.com/online-scan-website-security-vulnerabilities/
其他各種商業或免費的版本在此:
https://owasp.org/www-community/Vulnerability_Scanning_Tools
感謝雷神大大的回覆。
你知道，我知道，甲方一定也知道，但是要「省錢」呀！
最慘的是，當可能找到產品，然後又會要我們掛保證跟商業版有相同的水準。
嘆~～～～
你知道，我知道，甲方一定也知道，但是要「省錢」呀！
省錢就是...報得高高的讓客戶砍得爽爽的xd
最慘的是，當可能找到產品，然後又會要我們掛保證跟商業版有相同的水準。
就沒有辦法回答客戶..."目前市面上真的找不到"嗎?
努力找了真的還是找不到...客戶會怎樣嗎?(終止合約?)
因為該主管也是個「用功」的人，也會自己上網去找，若是真的這樣回答，到時候他提出幾個，被打臉就慘了。
然後合約報價，就是因為已經砍到無法提供這類付錢的服務，該主管才會想要坳現場的駐點人員，業務？上層主管？他們也使不上力。
嘆~～～～
其實關鍵並不在要不要付費, 而是:
客戶承不承認你們掃出來的結果?
像政府單位幾乎一面倒都認 Acunetix 報表, 這套軟體一年授權要 20 萬起跳
如果你找了一套免費軟體, 結果掃出來的報表, 客戶不認帳, 叫你重做, 那不就白做工?
所以首要先確認: 客戶願意收哪一套軟體掃出來的報表?
因為該主管也是個「用功」的人，也會自己上網去找，若是真的這樣回答，到時候他提出幾個，被打臉就慘了。
怎麼會慘呢....!?
該主管願意把自己當成助理來幫你上網找資料不是很好嗎? 雖然不提供服務了但他還出力，要肯定他的努力與貢獻，由衷的感謝他並讓他知道他幫了大忙。
等他找到了以後你再依據他想要的部分做評估與測試，就算找不到合適的那也是他親自找過的結果，這樣不是皆大歡喜嗎
被打臉? 別這麼想....就大方的承認自己對於搜尋免費的資源這部分真的不在行嘛~
人本來就各有專精，這位主管找資料能力讓人佩服，雖然小工程師沒啥能幫得上，但評估測試部分就請交給小工程師了~
最後完成測試，記得不可居功要將功勞都歸給該主管啦~
換個想法其實也沒那麼糟糕.....想想看是否不小心被預設立場的思維模式制約了呢
認真來說，我還真希望你這位主管是很「用功」去找這些資訊。
這樣才能突顯出來你的用心及我們的說詞。
問題在於不是該主管「用不用功」
而是你「用不用心」去探討這問題。
不要想「免費弱點掃描」這件事情。
就算真的有免費的，你會信任它掃出來的結果嗎？
有多少錢就作多少事；
必須要作，就拿出經費；
沒有經費，就承擔風險。
該主管就是想要一方面省錢，一方面又能做出績效呀！
嘆~～～～
canchang
熱心是好事，但只要牽扯到責任，真的就只能劃分清楚。
舉個例子：
免費的身體健康檢查，跟付錢的身體健康檢查；
兩個檢查的項目數量，肯定是付錢的項目多，對吧！
作免費的檢查，檢查出來都說健康、良好，但是沒多久之後身體不適，再去作精密的檢查時，發現身體健康狀況有問題，且是之前免費健檢沒檢查到的，這難道要怪免費健康檢查？
換個思維，會作弱點掃描表示客戶真的會擔心駭客攻擊，那麼弱點掃描這件事情是不是格外重要？
身體健康檢查你可能都會花個幾千塊錢好好檢查看看有無病症，沒事都健康，花錢就當作買心安，那麼公司系統呢？
真的放的下心用「免費的弱點掃描」？
最後，你只是駐點工程師啊！客戶真的會提這樣的需求，交情好的就跟他說明為什麼不要用免費的弱掃，交情一般就說沒辦法提供不包含在維護合約內的服務。
不然出事了，客戶可以推說是你建議用免費弱掃軟體的；你公司也會推說是你個人因素跟公司無關，這樣你不就兩面都不是人？
對吧？
該主管就是想要一方面省錢，一方面又能做出績效呀！
這不是該主管應該要去煩惱的事情嗎? 為什麼變成你的煩惱了呢?
除非他可以打你的考績....
免費的軟體很多。不過如果還要有公信力。就已經不是軟體的問題了。
公信力其實是人給的。人調整的。
一般免費軟體只是給你功能。如何掃描及規則判斷，大多是要自行去調整及處理的。
而這些行為則也是得看是誰處理的。才會產生所謂的公信力。
一般免費的掃描，其目的也只是為了一般的檢核而已。
你說：你知道，我知道，甲方一定也知道，但是要「省錢」呀！
我說：
不要再為客戶省錢或為自己想賺錢打轉，有錢無錢雖都可以做，一旦與違反工程規範及良心相背事情，記著，人在江湖做事情需自保，不為賺錢險路走，勿天真，以為雙方白紙黑字簽名你撇刑責，當你參與便已共犯，怎麼做你應該就清楚了，無論吃人頭路或接案要保護自己。
我幾次為賺錢險路走而且最上游是政府，某個新北活動案子，替客戶免費弱點掃描出包，被上游放暗箭，判賠錢且要還原商業版掃描，後來經老友開導上頭粗體字，日後不依照工程規範走的案子內容，皆向業主說清楚講明白，責任你我擔不了，請回規範或另請高明；吃人頭路向你長官講明白，責任你和我皆擔不了，請您或我們一同和客戶談清楚，請回規範或另請高明。
正路走得長久，信用方可以長長久久，上天絕不虧待你。
免費的永遠最貴，尤其是資安這件事
而且便宜沒好貨，尤其是資安這件事
所有的相關軟體認證都要錢，都要定期審查，這些都要錢，便宜的，IOBIT最便宜，但你敢用 ?
一台機器一年十鎂而已，問題是沒有任何的認證，只說口碑最好，出事了沒有人可以負責，損失算誰的，就算告，十鎂賠百倍好了，也才一千鎂，資安損失有時候都是幾百萬甚至幾千萬，萬一被告，就不是錢可以解決的，可能還有刑責問題，真的免費跟便宜真的沒好貨
我的想法也是，免費軟體這種東西，
是只能當作練功的工具，不要拿出檯面上使用，
要使用的客人，請自行承擔責任。
是的，這才是正確的方向。
我工作上是甲方，在資安要應付稽核我會用開源自己去做，但要花錢我一定要求該花的錢就花，但效果一定要有。
客戶一定又會「要求」駐點的工程師去尋找免費版本。
這種要求根本無理取鬧，直接拒絶，不必客氣。
我想不出來，我為什麼要幫您找免費軟體？
我遇到的情況通常是，客戶嫌我報價貴，
我就跟他說，市面上也有一些免費的軟體，您可以自己去 googel，自己去安裝，不必付錢給我。
我做的是稅務軟體，客戶嫌貴時，我就給他財政部的下載網址，上面都有類似功能的軟體，我請他自己去下載安裝使用，有問題自己打去財政部問，不干我事（財政部寫的東西，我要怎麼負責？）。
再舉另一個淺顯例子，excel 和 word 都不便宜，客戶如果不想買，我們可以跟他說有很多免費的辦公室軟體，可以取代 excel 和 word , 但，也僅止於此，我們沒必要幫他下載和安裝。
依我之見，您就把雷大提供的兩個網址，轉交給客戶，請他自己去挑一個使用。
以前我也遇過類似的事情
基本上公司是傳產，做散熱模組的，老闆開了子公司專門處理FinTech
結果公司內的軟體基本上都是所謂的破解版
包括Word Excel
還有專業演算法軟體藏在內網沒有連到internet
我只感覺，想用人家的東西，就花錢買，不然老闆做的散熱模組也免費給人家用好了
然後幫母公司的人建置service也是這個不想花那個不想花
後來不爽硬起來掀了公司一輪之後就離職了，薪水更高，過得更爽
然後聽說老闆身價十億，住在松壽路，結果是用這種方法在賺錢
所以也不用對他們太客氣
想用就打在合約上，然後花錢
想用又不想花錢就打在合約上幫他找open source，上班時間多少就幫他做多少
然後用open source出事就你家的事，這種東西就一分錢一分貨
nessus跟網頁弱掃用的acunetix我筆電有正版授權 可以幫你掃 有需要可私訊
想要免費資安幾乎都是些腦包主管的想法
他們聽到什麼名詞 弱點掃描 滲透測試
就想要找到免費隨便找人下去做，然後在跟老闆秀公司的資安多好
這類不想花錢不尊重專業的人，觀念上也都是救不回來了
其實被亂搞該走就要走了
不要搞到自己擔責任
業界太多這樣的事 而且會這樣搞的公司基本上資安都是做到差到了極點
只是沒有被引爆過讓他們知道事情嚴重性
我是公司員工我會幫公司做
https://wizardforcel.gitbooks.io/kali-linux-web-pentest-cookbook/content/ch5.html
當然要告知老闆我盡力了
沒掃到也沒辦法
如果是客戶就請客戶自行 Google 然後請客戶寫入合約
客戶自己選的如沒效果那是客戶自己選的怪不了別人
有很多老闆就是叫人用盜版的
那不要客氣直接錄音 被抓到 就交出錄音檔
例如office 可以用免費的 LibreOffice
不然用ms web 版也可 不然用 google sheet docs
慢或不相容 那就買正版呀
具公信力的免費軟體
要求公信力，可能要找商業軟體的免費社群版本，但就是要看功能或機器數量限制，可以參考
Qualys Community Edition
https://www.qualys.com/community-edition/
Nessus essential Edition (限16個IP)
https://www.tenable.com/products/nessus/nessus-essentials
或者是使用CISA清單上列出的工具/服務，說服對方這是具有一定公信力的產品/服務結果
https://www.cisa.gov/free-cybersecurity-services-and-tools
依我的看法，即使用免費的Nessus essential Edition一次16個IP慢慢掃，自己整合結果，會花上無數的時間(和精力)，如此會壓縮你進行其他工作的時間；而且vulnerability management其中一個要點是發現弱點之後，需要花多長時間處理。若光是掃描和產生報表就要花很多時間，可能報告還沒生出來，或是還沒開始處理弱點，新的弱點又會被發現，這樣報告根本無法結案
iThome鐵人賽
看影片追技術