弱點掃描工具推薦：Nessus、OpenVAS 等免費與付費工具比較

弱點掃描工具是自動比對系統版本、設定與已知弱點資料庫的軟體，常見的有 Tenable Nessus、Greenbone OpenVAS、Qualys，以及專掃網站的 ZAP。選工具前要先確認三件事：要掃的是主機網路還是網站、商業用途的授權是否合法，以及誰來判讀結果。

很多 IT 人員下載免費版後才發現，掃描數量有限、授權不能商用，報告裡一半是誤報。以下比較主流工具的定位與限制，並說明什麼情況自己掃就好、什麼情況交給弱點掃描服務比較划算。

一句話結論：有 Linux 能力、只想先摸清內網狀況，用 Greenbone 社群版加 ZAP；要做客戶或稽核會看的正式掃描，選 Nessus Professional 或 Qualys 這類商業工具，或直接委外。

弱點掃描工具有哪幾種？先分主機與網站

弱點掃描工具大致分三類：主機與網路掃描器（Nessus、OpenVAS、Qualys）、網站應用程式掃描器（ZAP、OpenText DAST），以及裝在端點上回報弱點的代理程式（如 Microsoft Defender 弱點管理）。三者看的面向不同，不能互相取代。

主機網路掃描器擅長找作業系統缺修補、過時服務與危險連接埠；網站掃描器會實際送出請求，測試表單、Cookie 與安全標頭。搜尋「弱掃工具 Fortify」的人常把兩件事混在一起：Fortify Static Code Analyzer 是檢查原始碼的工具（SAST），現已更名為 OpenText SAST，不是弱點掃描器。

選定類型後，還要決定掃描器放在哪裡。放在公司內網的掃描器能看到內部伺服器與員工電腦；從網際網路往內掃，則只看得到對外開放的服務，結果最接近攻擊者的視角。兩種位置看到的弱點不同，正式的弱點掃描通常內外各做一次。

弱點掃描工具比較表：Nessus、OpenVAS、Qualys、ZAP

下表整理主流工具的版本與授權。授權限制最容易被忽略，Nessus 的免費版就不能用在公司環境。

搜尋「windows 弱點掃描工具」時，多數企業其實已經有答案：若公司買了 Defender for Endpoint Plan 2，裝置上的弱點清單就在資安入口網站裡，不必另外買掃描器；但它只看裝了代理程式的電腦，看不到防火牆、印表機與網站。

免費弱點掃描工具夠用嗎？三個限制

免費工具適合學習與小範圍自我檢查，用在正式環境有三個限制：授權、漏洞庫與判讀。

授權方面，Tenable 官網寫明 Nessus Essentials 最多掃 5 個 IP，且僅限非商業用途，公司拿來掃自家伺服器並不符合授權。漏洞庫方面，Greenbone 說明企業版漏洞庫是社群版的超集合，另含 CIS 等合規檢查政策，社群版也沒有原廠支援。判讀方面，開源工具的報告通常只有原始結果，誤報要自己一筆一筆查。

第一次掃描也要小心老舊設備。實務上，舊型印表機、網路攝影機與工廠控制設備承受不了大量探測，可能當機或重開機；建議先把這類設備排除，或在非營業時間以較低速度分開掃描。

另一個常見問題是只做未登入的掃描。實務上，沒有提供帳號的掃描只能從外面看服務版本，很多缺修補的套件根本看不到；要掃得準，應建立專用的唯讀掃描帳號，並在掃描後停用。

自己掃還是委外？依人力與用途判斷

自己掃適合想頻繁檢查、內部有人能判讀的企業；委外適合需要正式報告、沒有專責資安人力，或必須符合法規頻率的單位。依《資通安全責任等級分級辦法》，A 級特定非公務機關的全部核心資通系統每年須辦理二次弱點掃描。

我們看過最多的情況，是 IT 自己用免費工具掃完，拿到上百頁報告卻不知道先修哪一項，最後整份擱置。工具不是瓶頸，判讀和修補管理才是。報告怎麼排優先順序，可以參考弱點掃描報告的判讀步驟；兩種做法的完整比較，見弱點掃描指南。

選擇建議：依情境挑弱點掃描工具

最省力的做法是混合使用：平常用工具自己掃，年度或重大變更時委外做一次完整掃描與複掃。下表依常見情境整理建議。

不論選哪一種，掃描前都應取得系統負責人的書面授權，並避開營運尖峰；掃到外部雲端服務時，也要先確認服務商的掃描政策。

下次掃描前，先準備哪三件事？

先列出要掃的 IP 與網址清單，標出哪些是正式環境；再準備掃描用的唯讀帳號；最後約好誰負責看報告、多久內完成修補。這三件事比挑哪一套工具更決定掃描有沒有用。

如果不確定自家環境該用哪種工具，或想先做一次完整掃描當基準，可以先請顧問看一下現況。

弱點掃描工具常見問題

免費弱點掃描工具夠用嗎？

用於小範圍自我檢查夠用，用於正式稽核或對客戶出具報告通常不夠。Nessus Essentials 僅限非商業用途且最多 5 個 IP；Greenbone 社群版可免費使用，但漏洞庫較企業版少、沒有原廠支援，報告也需要自行判讀與整理。

掃描結果誤報怎麼辦？

先確認受影響的版本是否真的存在，例如登入主機查套件版本，或確認廠商是否已回溯修補（backport）。確認是誤報後，在工具中標記為例外並寫下理由與日期，下次掃描才不會重複出現；無法判斷的項目，應交給熟悉該系統的人或顧問驗證。

Nessus 和 OpenVAS 差在哪？

兩者都是主機與網路弱點掃描器，OpenVAS 最初就是從 Nessus 早期開源版本分支出來。差別在於授權與維運：Nessus 是 Tenable 的商業產品，安裝與報告較簡便，正式使用需購買 Professional；OpenVAS 由 Greenbone 維護，社群版開源免費，但安裝、更新漏洞庫與判讀都要自己負責。

參考資料

1. Tenable Nessus Essentials – 免費版最多 5 個 IP、僅限非商業用途；Professional 定價見同站產品頁。Tenable
2. Greenbone Enterprise Feed and Community Feed in Comparison – 社群版與企業版漏洞庫差異。Greenbone
3. ZAP Ownership – ZAP 的治理、授權與「ZAP by Checkmarx」名稱說明。ZAP Core Team
4. Qualys Community Edition – 免費版資產探索與弱點掃描。Qualys
5. Compare Microsoft Defender Vulnerability Management plans and capabilities – Defender 弱點管理方案比較。Microsoft
6. 資通安全責任等級分級辦法 – 各級機關弱點掃描辦理頻率。數位發展部 · 民國 115 年 1 月 7 日修正