弱點掃描
Vulnerability Scanning
資訊安全領域中，「弱點掃描 (Vulnerability Scanning)」是一項至關重要的防護措施
透過自動化或手動的偵測機制，能夠在早期發現系統、網路或應用程式的安全缺陷，並及時進行修補，避免駭客利用這些弱點取得未授權存取或造成服務癱瘓。
為什麼需要弱點掃描？
- 弱點往往是駭客滲透系統的主要入口，定期掃描能夠先一步發現潛在風險並及時處理。
- 弱點若遭到惡意利用，可能導致資料外洩或服務中斷，進而造成財務損失與商譽受損。
- 定期檢測與修補能確保組織重要資產的安全性。
- 許多產業或法規（如 GDPR、HIPAA、ISO 27001 等）都要求企業具備資安防護機制或定期進行安全檢測，以確保使用者與客戶資料不會暴露在風險之中。
- 比起事後進行大規模系統重建或付出法律、賠償成本，定期掃描與修補能以較低的預算與人力投入，確保系統在正常軌道運作。
怎麼做弱點掃描？
明確掃描的範圍，如 IP 清單、網段、網頁 URL、伺服器或設備類型。
確認測試時間、頻率及是否需要事先與相關負責人溝通與核准。
選擇合適的弱點掃描工具（商業版或開源版），若必要可配置虛擬環境或沙箱進行測試。
確保工具版本與漏洞資料庫已更新至最新狀態。
根據設定好的範圍與參數，啟動弱點掃描流程。
視系統規模與流量狀況，掃描可能需要數十分鐘至數小時不等。
檢視工具產出的掃描報告，對各項發現的弱點進行風險分級 (Critical、High、Medium、Low)。
判斷是否存在誤報、遺漏或需更深入調查的項目。
根據優先級與建議措施，安排技術人員進行系統或程式碼修補，更新套件或調整設定。
重新掃描或人工驗證已修補的弱點，確保問題真正被解決。
建議定期或在重大系統更新後重新執行弱點掃描，保持長期安全性。
也可與監控系統（如 SIEM / SOC）結合，進行更即時的異常偵測與警示。
弱點掃描並非一次性的任務，而是持續保護系統與資料安全的長期策略。定期執行掃描能協助企業及早發現並處置安全風險，同時藉由多方位的技術與人員協作，強化組織資安防禦。建議結合滲透測試、資安顧問服務與監控平台，形塑一個完備且具彈性的資安架構，在面對不斷演變的網路威脅時，依舊能穩步運行、安心成長。
FAQ 專區
Hiii 的建議搭配：
弱點掃描（Vulnerability Scan）是使用專業工具（如 Nessus、Qualys、Burp Suite Pro）自動掃描系統，比對「已知漏洞資料庫」（CVE / CWE）找出可能有問題的項目。
三者差別：
| 服務 | 執行方式 | 深度 | 費用 | 頻率 |
|---|---|---|---|---|
| 弱點掃描 | 工具自動掃 | 廣度優先 | NT$ 3-15 萬 | 每季/每半年 |
| 滲透測試 | 人工模擬攻擊 | 深度優先 | NT$ 15-80 萬 | 每年 1 次 |
| 資安健診 | 綜合評估（含前兩者+管理面） | 全面 | NT$ 30-100 萬 | 首次或每 2-3 年 |
Hiii 的建議搭配：
- 一般企業：年度弱點掃描 × 2 + 弱項再深入滲測
- 合規客戶：季度弱點掃描 + 年度完整滲測
- 首次評估：先做資安健診找出全貌，再依風險選後續服務
時程：從掃描啟動到收到報告，一般 半天到 3 個工作天。
- 快速版（掃 1 個網站/系統）：半天內完成，NT$ 3-8 萬
- 標準版（多個網站 + 內部主機）：1-3 天，NT$ 8-15 萬
- 企業版（全公司內外網 + 雲端資產）：3-5 天，NT$ 15-40 萬
Hiii 弱點掃描的內容：
- 使用 2-3 種國際級工具交叉掃描（避免單一工具盲點）
- 排除誤判（False Positive）— 由顧問人工複核
- 產出繁體中文報告（多數同業只提供英文或機器翻譯）
- 附「修補優先順序建議」
注意：純工具跑報告 vs 顧問人工複核價差可達 2-3 倍。Hiii 走「顧問複核路線」，因為原始工具輸出約 40-60% 是誤判，直接給客戶會浪費時間。
每次掃描典型結果（Hiii 顧問複核後）：
小型網站：10-30 個漏洞（含各風險等級）
中型網站：30-80 個
大型系統：80-200 個
風險分級（依 CVSS 3.1）：
| 等級 | CVSS 分數 | 建議修補時程 |
|---|---|---|
| 🔴 Critical | 9.0-10.0 | 72 小時內 |
| 🟠 High | 7.0-8.9 | 30 天內 |
| 🟡 Medium | 4.0-6.9 | 90 天內 |
| 🟢 Low | 0.1-3.9 | 下次改版時 |
Hiii 的作法：
報告會列「Top 10 優先修補清單」（風險 × 修補難易度加權）
每個漏洞附「修補指引 + 參考連結」
提供 1 場 30 分鐘線上簡報會議，讓 IT 團隊直接問修補問題
別擔心漏洞多：Hiii 客戶中，首次掃描平均有 5-8 個 Critical 漏洞，經過 3-6 個月循環修補後，第二次掃描通常降到 0-1 個。
一般情況不會。Hiii 採用以下措施降低風險：
- 掃描前風險評估：討論哪些端口、服務不掃（例如生產環境的登入 API）
- 掃描強度調整：低流量時段可用「深度模式」、營業時段用「快速模式」
- 緊急停掃機制：若掃描造成 log 暴增或系統告警，可立即停止
特別注意的掃描類型：
- 密碼暴力破解（多數會排除或限制次數）
- SQL Injection 深度測試（可能寫入測試資料）
- Fuzzing（模糊測試，會產生大量無效請求）
Hiii 建議：正式站掃描時可安排在離峰時段（如凌晨），並請 IT 團隊在旁待命 2-4 小時。多數客戶反映「掃描期間網站流量沒受影響」。
依風險等級建議三種節奏：
| 情境 | 建議頻率 | 對應方案 |
|---|---|---|
| 一般公司網站 | 每半年 1 次 | 年約制（含 2 次掃描） |
| 含會員/金流的系統 | 每季 1 次 | 年約制（含 4 次掃描） |
| 上市櫃 / 金融 / 高頻迭代 | 每月 1 次 或 持續性掃描 | 年約制 + 監控服務 |
額外建議做掃描的時機：
- 重大版本上線後 1-2 週內
- 加入新第三方套件 / 服務後
- 資安事件發生後（找出攻擊路徑）
- 通過 ISO 27001 前的準備階段
Hiii 的年約方案（推薦）：
- 4 次弱點掃描 + 1 次年度滲透測試 + 免費回測
- 預算比單次採購省約 20-30%
- 有專責顧問對接、資料累積
Hiii 的修補支援分兩個層級：
- 報告內建的修補指引（免費，服務內含）
- 每個漏洞都附修補步驟、程式碼範例、官方修補文件連結
- 通常 IT 團隊按照指引就能自行修補
- 修完可請 Hiii 做 1 次免費回測確認
- 代修服務（加購）
- 適合「內部無人力」或「涉及深度架構修改」
- 依實際工時報價（一般每漏洞 NT$ 2-20 萬）
- 修完自動含回測 + 更新報告
Hiii 的立場：多數客戶會選擇「自己修 + Hiii 回測」。這樣不僅省錢，內部 IT 也能累積資安 know-how。
特殊情境：
若漏洞涉及第三方套件（如 Log4j、Struts），Hiii 會協助溝通 vendor
若漏洞需重大架構改動，我們可提供「臨時性補丁建議」（如 WAF 規則）先擋，之後再做完整修補
兩者都需要，但要求不同：
ISO 27001:2022
- 要求「定期執行技術評估」（弱點掃描屬於此範疇）
- 沒明文規定頻率，但外部稽核員通常會問「多久掃一次」
- Hiii 觀察：客戶主流做法是「每季 1 次」
PCI-DSS（信用卡支付產業合規）
- 明確要求：每季 1 次外部弱點掃描 + 內部弱點掃描
- 且必須通過 ASV（Approved Scanning Vendor）
- 重大變更後 30 天內必須重掃
其他規範：
- 醫療電子病歷交換：健保署 / 衛福部有相關要求
- 金融業：金管會相關規範
- 公部門標案：多數要求「近半年內弱點掃描報告」
Hiii 的年約制設計時已考量到主流合規要求，可直接對接 ISO 27001 / PCI-DSS 稽核。
兩者定位不同：
| 弱點掃描 | 資安健診 |
|---|---|
| 「找出技術漏洞」 | 「找出技術 + 管理 + 人員綜合資安狀態」 |
| 適合「已知有系統要掃」的客戶 | 適合「不確定從哪開始」的客戶 |
| 每次專案制 | 首次盤點 or 每 2-3 年重做 |
| NT$ 3-15 萬 | NT$ 30-100 萬 |
Hiii 推薦搭配：
- 首次接觸資安服務：先做「資安健診」，找出全公司資安地圖與優先順序 → 再依健診建議選後續服務（弱掃/滲測/ISO 導入等）
- 已有基本資安意識：直接做「弱點掃描」開始技術面盤點 → 依結果決定下一步
- 有合規壓力（如 ISO 27001）：兩者都做 — 資安健診補管理面、弱掃補技術面
不確定選哪個？聯絡 03-360-7799 /[email protected]，我們可提供 20 分鐘免費諮詢釐清需求。
