弱點掃描工具推薦：Nessus、OpenVAS 等免費與付費工具比較
弱點掃描工具是自動比對系統版本、設定與已知弱點資料庫的軟體，常見的有 Tenable Nessus、Greenbone OpenVAS、Qualys，以及專掃網站的 ZAP。選工具前要先確認三件事：要掃的是主機網路還是網站、商業用途的授權是否合法，以及誰來判讀結果。
很多 IT 人員下載免費版後才發現，掃描數量有限、授權不能商用，報告裡一半是誤報。以下比較主流工具的定位與限制，並說明什麼情況自己掃就好、什麼情況交給弱點掃描服務比較划算。
一句話結論：有 Linux 能力、只想先摸清內網狀況，用 Greenbone 社群版加 ZAP；要做客戶或稽核會看的正式掃描，選 Nessus Professional 或 Qualys 這類商業工具，或直接委外。
弱點掃描工具有哪幾種？先分主機與網站
弱點掃描工具大致分三類：主機與網路掃描器（Nessus、OpenVAS、Qualys）、網站應用程式掃描器（ZAP、OpenText DAST），以及裝在端點上回報弱點的代理程式（如 Microsoft Defender 弱點管理）。三者看的面向不同，不能互相取代。
主機網路掃描器擅長找作業系統缺修補、過時服務與危險連接埠；網站掃描器會實際送出請求，測試表單、Cookie 與安全標頭。搜尋「弱掃工具 Fortify」的人常把兩件事混在一起：Fortify Static Code Analyzer 是檢查原始碼的工具（SAST），現已更名為 OpenText SAST，不是弱點掃描器。
選定類型後，還要決定掃描器放在哪裡。放在公司內網的掃描器能看到內部伺服器與員工電腦；從網際網路往內掃，則只看得到對外開放的服務，結果最接近攻擊者的視角。兩種位置看到的弱點不同，正式的弱點掃描通常內外各做一次。
弱點掃描工具比較表：Nessus、OpenVAS、Qualys、ZAP
下表整理主流工具的版本與授權。授權限制最容易被忽略，Nessus 的免費版就不能用在公司環境。
| 工具 | 類型 | 免費版本與限制 | 付費版本 | 適合 |
|---|---|---|---|---|
| Tenable Nessus | 主機、網路 | Essentials：最多 5 個 IP，僅限非商業用途 | Professional 年費 4,790 美元（官網定價）；Expert 加上網站與外部攻擊面掃描 | 企業內部 IT、顧問 |
| Greenbone OpenVAS | 主機、網路 | 社群版開源免費，使用社群漏洞庫 | 企業版漏洞庫與合規政策，需搭配 Greenbone 設備 | 有 Linux 能力的團隊 |
| Qualys VMDR | 雲端平台 | Community Edition，資產數有限 | 企業方案需洽詢報價 | 多據點、雲端資產多 |
| ZAP by Checkmarx | 網站應用 | 開源，Apache 2.0 授權 | — | 網站、API 自我檢查 |
| Microsoft Defender 弱點管理 | 端點代理 | Defender for Endpoint P2 含基本功能 | 加購或獨立訂閱取得進階功能 | 已用 Microsoft 365 的企業 |
搜尋「windows 弱點掃描工具」時，多數企業其實已經有答案：若公司買了 Defender for Endpoint Plan 2，裝置上的弱點清單就在資安入口網站裡，不必另外買掃描器；但它只看裝了代理程式的電腦，看不到防火牆、印表機與網站。
免費弱點掃描工具夠用嗎？三個限制
免費工具適合學習與小範圍自我檢查，用在正式環境有三個限制：授權、漏洞庫與判讀。
授權方面，Tenable 官網寫明 Nessus Essentials 最多掃 5 個 IP，且僅限非商業用途，公司拿來掃自家伺服器並不符合授權。漏洞庫方面，Greenbone 說明企業版漏洞庫是社群版的超集合，另含 CIS 等合規檢查政策，社群版也沒有原廠支援。判讀方面，開源工具的報告通常只有原始結果，誤報要自己一筆一筆查。
第一次掃描也要小心老舊設備。實務上，舊型印表機、網路攝影機與工廠控制設備承受不了大量探測，可能當機或重開機；建議先把這類設備排除，或在非營業時間以較低速度分開掃描。
另一個常見問題是只做未登入的掃描。實務上，沒有提供帳號的掃描只能從外面看服務版本，很多缺修補的套件根本看不到；要掃得準，應建立專用的唯讀掃描帳號，並在掃描後停用。
自己掃還是委外？依人力與用途判斷
自己掃適合想頻繁檢查、內部有人能判讀的企業；委外適合需要正式報告、沒有專責資安人力，或必須符合法規頻率的單位。依《資通安全責任等級分級辦法》，A 級特定非公務機關的全部核心資通系統每年須辦理二次弱點掃描。
我們看過最多的情況，是 IT 自己用免費工具掃完，拿到上百頁報告卻不知道先修哪一項，最後整份擱置。工具不是瓶頸，判讀和修補管理才是。報告怎麼排優先順序，可以參考弱點掃描報告的判讀步驟；兩種做法的完整比較，見弱點掃描指南。
選擇建議：依情境挑弱點掃描工具
最省力的做法是混合使用：平常用工具自己掃，年度或重大變更時委外做一次完整掃描與複掃。下表依常見情境整理建議。
| 情境 | 建議工具或做法 | 理由 |
|---|---|---|
| 30 人以下、無專責 IT | 委外每季或每半年掃描一次 | 沒人判讀，自己掃價值有限 |
| 有 IT 人員、預算有限 | Greenbone 社群版＋ZAP | 開源免費，需自行維護與判讀 |
| 已訂閱 Defender for Endpoint P2 | 先用 Defender 弱點管理看端點 | 已付費，補上網路與網站掃描即可 |
| 軟體公司、客戶要求報告 | Nessus Professional 或委外 | 報告格式與授權都站得住 |
| 多據點、雲端主機多 | Qualys 這類雲端平台 | 集中管理多地資產 |
| A、B 級特定非公務機關 | 委外並保留報告與複掃紀錄 | 法定頻率與稽核佐證 |
不論選哪一種，掃描前都應取得系統負責人的書面授權，並避開營運尖峰；掃到外部雲端服務時，也要先確認服務商的掃描政策。
下次掃描前，先準備哪三件事？
先列出要掃的 IP 與網址清單，標出哪些是正式環境；再準備掃描用的唯讀帳號；最後約好誰負責看報告、多久內完成修補。這三件事比挑哪一套工具更決定掃描有沒有用。
如果不確定自家環境該用哪種工具，或想先做一次完整掃描當基準，可以先請顧問看一下現況。
弱點掃描工具常見問題
免費弱點掃描工具夠用嗎？
用於小範圍自我檢查夠用，用於正式稽核或對客戶出具報告通常不夠。Nessus Essentials 僅限非商業用途且最多 5 個 IP；Greenbone 社群版可免費使用，但漏洞庫較企業版少、沒有原廠支援，報告也需要自行判讀與整理。
掃描結果誤報怎麼辦？
先確認受影響的版本是否真的存在，例如登入主機查套件版本，或確認廠商是否已回溯修補（backport）。確認是誤報後，在工具中標記為例外並寫下理由與日期，下次掃描才不會重複出現；無法判斷的項目，應交給熟悉該系統的人或顧問驗證。
Nessus 和 OpenVAS 差在哪？
兩者都是主機與網路弱點掃描器，OpenVAS 最初就是從 Nessus 早期開源版本分支出來。差別在於授權與維運：Nessus 是 Tenable 的商業產品，安裝與報告較簡便，正式使用需購買 Professional；OpenVAS 由 Greenbone 維護，社群版開源免費，但安裝、更新漏洞庫與判讀都要自己負責。
參考資料
- Tenable Nessus Essentials – 免費版最多 5 個 IP、僅限非商業用途；Professional 定價見同站產品頁。Tenable
- Greenbone Enterprise Feed and Community Feed in Comparison – 社群版與企業版漏洞庫差異。Greenbone
- ZAP Ownership – ZAP 的治理、授權與「ZAP by Checkmarx」名稱說明。ZAP Core Team
- Qualys Community Edition – 免費版資產探索與弱點掃描。Qualys
- Compare Microsoft Defender Vulnerability Management plans and capabilities – Defender 弱點管理方案比較。Microsoft
- 資通安全責任等級分級辦法 – 各級機關弱點掃描辦理頻率。數位發展部 · 民國 115 年 1 月 7 日修正
