主动扫描与被动扫描：主要区别

企业安全团队人手紧张，而攻击面却在不断扩大。残酷的事实是：如果您不进行漏洞扫描，就无法看到全貌；而看不到，就无法阻止。本指南摒弃冗余信息，直接比较两种强大的方法：主动扫描与被动扫描。您将清楚了解哪种方法适用于哪种环境、如何将两者结合使用，以及构建一套真正能保护您网络的扫描策略需要具备什么条件。要点概览：

• 主动扫描直接与设备交互以识别已知漏洞；适用于渗透测试和合规工作，但可能干扰敏感系统。
• 被动扫描通过监测现有流量来发现风险，不会增加网络负载；非常适合持续监控和发现影子 IT。
• 与其在两种扫描方法中二选一，不如结合两者的优势，从而减少盲区，在风险检测与运行稳定性之间取得平衡，并获得更准确的洞察。
• FireMon 将主动扫描与被动扫描的洞察整合到统一平台中，以强化漏洞管理，帮助企业确定威胁优先级、随时准备好接受审计并保持网络合规。

什么是主动扫描

主动扫描是通过直接与端点、节点和网络基础设施交互来识别漏洞的过程。它会生成测试流量并分析系统对这些探测的响应，从而帮助发现：

• 配置错误
• 过时的软件
• 弱凭据
• 安全缺口

由于主动扫描会与设备直接交互，它可以深入洞察特定资产，并实时提供可付诸行动的信息。该方法尤其适用于合规审计、渗透测试，以及需要全面、有针对性分析的环境。

主动扫描的工作原理

主动扫描器生成测试流量并将其发送至设备或网络，观察各自的响应情况。通过分析这些响应，扫描器可检测出漏洞和潜在弱点。这种方法可以模拟攻击场景，类似于渗透测试，也可在事件发生后用于评估系统完整性并制定修复计划。主动扫描最适合“覆盖面窄、挖掘深”的场景。

什么是被动扫描

被动扫描采用非侵入式的漏洞检测方式，通过分析现有网络流量，而不是生成新的探测或请求。它监控端点、节点和服务之间的通信，以发现网络中的问题，包括：

• 配置错误的迹象
• 过时的系统
• 未经授权的活动

由于不会干扰网络运行或设备性能，被动扫描非常适合在敏感或高可用性环境中进行持续监控。这种方式可提供实时可见性，同时将干扰降至最低，因而在检测非法资产、观察影子 IT 以及保护遗留系统方面尤为有用。

被动扫描的工作原理

被动扫描器从端点和系统之间的实时流量中收集信息，而不与其主动交互。由于不引入新的流量，它们可以持续运行，且干扰风险极低。这使其能够有效提供广泛的可见性——有人称之为“一英里宽、一英尺深”的扫描。

主动扫描与被动扫描有何区别

主动扫描与被动扫描以不同的方式实现识别漏洞这一目标。二者在功能上的差异带来了各自不同的使用场景和实施理由。下面我们来比较这两种扫描方法：

主动扫描的优势

主动扫描可为企业组织带来广泛的益处，尤其是在需要聚焦于特定网段、满足合规截止期限或主动发现高风险漏洞。通过直接与设备交互并生成定向流量，主动扫描可提供详细洞察，这些洞察通常对以下方面至关重要：

• 深入调查
• 监管报告
• 战略性风险削减

以下是使主动扫描成为任何企业安全计划中重要组成部分的几项关键优势：

检测范围广泛的已知漏洞

主动扫描会生成流量以测试每个网络端点。这种直接交互使主动扫描能够发现大量设备及攻击者可能利用的漏洞，例如配置错误、软件版本过旧、未修补的软件或弱口令。

提供实时、可执行的洞察

通过直接测试和分析网络中的设备，主动扫描可实时提供高质量的洞察与建议。除漏洞之外，这些洞察还可为总体安全态势提供背景信息，并为合规工作提供支持。

有助于合规与审计准备

定期开展主动扫描可为组织的合规工作提供关键细节。对照漏洞数据库进行扫描并执行合规测试，还能通过提供满足行业框架（如HIPAA、WCAG 和 ISO）的建议，帮助团队为即将到来的审计做好准备。正如皇家理工学院的一项研究所发现的，具备高级凭据的主动扫描可检测出多达 80% 的合规与审计问题。

实现主动的风险识别

利用主动扫描提前测试漏洞和高可能性的利用途径，有助于组织在安全缺口发生之前将其识别并修复。主动的风险识别实践不仅有助于降低风险，还能使团队确定优先处理哪些风险。

支持自动化与计划任务

如今的主动扫描器可设置为按固定间隔或在非工作时段运行。这样便可对所有网络端点保持全面、深入的漏洞分析，而无需长期投入人力。

被动扫描的优势

被动扫描非常适合持续监控，在网络规模庞大、端点数量众多的环境，或不能、不宜承受网络流量增加的环境中表现尤为出色。以下是被动扫描在企业安全战略中的主要优势：

不影响系统性能

被动扫描器不会（像主动扫描器那样）向端点发送测试流量，因此不会使网络不堪重负或导致速度下降。这可确保被动扫描器不会干扰设备或中断关键业务运行。

持续监控网络流量

被动扫描器全天候监控网络流量，使安全团队能够随时掌握任何新出现的漏洞或更新，并轻松交叉核查潜在风险。

适用于敏感环境或遗留环境

某些数字环境（例如医疗设备或陈旧但关键的软件套件）无法承受大量网络流量或主动探测，否则就会发生故障。被动扫描可在不中断这些系统的情况下识别漏洞。

检测未授权资产或非法资产

在梳理漏洞时，一个重要环节是准确地记录非法资产或影子 IT。这些未纳入清单的设备会与网络通信，因此被动扫描器能够持续地发现它们。佐治亚州立大学与桑迪亚国家实验室的一项研究发现，对于大型组织而言，仅凭被动扫描即可发现多达 2/3 的非法无线接入点。

在后台静默运行

被动扫描是一种静默的机制。在遭受攻击的情形下，被动扫描器不会触发入侵检测装置，也不会让攻击者察觉扫描活动。对于漏洞监控而言，它是一种安全、隐蔽且稳定的选择。

主动扫描与被动扫描方法的挑战和局限

主动扫描和被动扫描都是不可或缺的攻击面管理工具，但在某些用例中，或当安全团队聚焦于特定类型的资产时，两者各自都存在一些问题。

资产扫描面临的挑战

主动扫描虽能提供深入洞察，但也并非没有缺点。以下挑战凸显了安全团队在仅依赖主动扫描时必须考虑的局限：

• 用例：主动扫描器的一个缺点在于，其关注范围通常仅限于特定区域或专门的用例。定制或扩展主动漏洞扫描器的监控范围并不容易，这使得主动扫描器最适用于特定用例。
• 扫描延迟或停机：主动式方案会直接向网络节点发送大量数据，这可能给流量庞大的企业系统带来显著压力，导致网络速度下降，甚至可能造成停机。
• 告警疲劳：面对海量涌入的详尽数据，安全人员可能会被数量庞大的漏洞压垮，从而产生告警疲劳。

被动扫描的局限

被动扫描同样存在重要的约束。这些局限会影响您获得的可见性程度、问题被发现的速度，以及可以采取哪些应对措施：

• 信息与可见性深度：被动漏洞扫描器从扫描中收集的信息量有限。这可能使网络安全团队无法全面掌握所有漏洞的情况。
• 流量隔离：被动扫描器的局限在于，它们要求端点先产生或接收网络流量，因为它们自身无法生成流量。这可能导致检测延迟，因为在设备产生可供扫描的流量之前，该工具无法提供任何信息。
• 感知与修复：被动扫描器是一种感知工具，而非修复工具。被动扫描器会将漏洞情况告知安全团队，但无法自行采取行动。如果设备处于非活动状态且未发送任何流量，被动扫描器将难以提供与之相关的信息。

何时使用主动扫描与被动扫描

主动扫描和被动扫描各有其理想用例和不适用的场景。例如，主动扫描擅长识别合规需求，或在混合型组织中开展深入的、仅限远程的端点分析。常见用例包括为季度审计做准备或运行攻击模拟。对某一组织而言的主动扫描，在另一组织中可能有所不同。相比之下，被动扫描非常适合大规模企业网络，或无法承受受限网络流量水平的敏感网络。常见用例包括 7×24 小时可见性（尤其是在大型组织和受监管行业的机构中），以及检测非法资产。同样，对某一家企业有益的做法，对另一家企业可能完全不同。然而，最佳做法是将主动扫描与被动扫描结合使用，而不是二选一。

结合被动与主动漏洞扫描，构建稳固的安全防护

被动与主动漏洞扫描各有优势和不足。主动扫描与被动扫描单独使用时均具备相应能力，但两者结合使用时可以互相增强，为组织提供更为有力的漏洞管理最佳实践。

覆盖所有资产类型的更广泛可见性

被动扫描和主动扫描分别最适合呈现不同类型的漏洞。被动扫描擅长识别可能不响应探测的资产，例如影子 IT 或遗留系统。主动扫描有助于发现并分析当前活动的设备和实时服务。两者结合可实现更为全面的资产管理。信息科学研究所与科罗拉多州立大学的一项研究探讨了这一主题，发现在总计 2,960 台服务器中，主动扫描发现了 29%，被动扫描发现了 6.3%，而两种方法结合则发现了 65%。

通过数据关联提高检测准确性

被动扫描和主动扫描的输出结果为安全团队提供的分析、洞察与建议各不相同，因为它们源自不同的数据集。利用这两类数据集，网络安全和 IT 部门能够更深入地了解攻击者和恶意行为者如何利用漏洞，验证整体发现结果，并减少误报。

减少漏洞管理中的盲区

如上所述，无论是主动扫描还是被动扫描，单独使用都无法发现所有漏洞。当资产离线或无法承受高强度流量时，主动扫描可能会遗漏漏洞；而被动扫描则可能遗漏无法从可观测网络流量中发现的异常。两种方法配合使用时，可减少漏洞评估中原本存在的盲区。

在全面性与系统稳定性之间取得平衡

主动扫描的优势在于能提供最为全面的信息，但同时也可能挤占网络流量，并可能导致公司设备变慢甚至关停。被动扫描采用低干扰的持续监控方式，为在高质量、高强度信息与稳定、持续的漏洞监控之间取得平衡提供了切实可行的解决方案。

支持基于风险级别的灵活响应策略

自动化的主动扫描固然有用，但在某些场景下，按需发起一次扫描同样具有价值。如果被动扫描在监测网络流量时发现了漏洞，针对该特定漏洞切换为主动扫描，将有助于洞察最佳的修复方案。这种“先发现、后修复”的策略可重复执行，并能适应各种风险场景。

主动与被动漏洞扫描最佳实践

即便拥有完整的攻击面监控工具套件，组织仍需明确的策略，才能从主动和被动漏洞扫描工作中获得最大价值。以下最佳实践有助于确保扫描流程高效、低干扰，并与风险和业务优先级保持一致：

• 维护全面的资产清单：通过呈现所有资产，组织可以减少盲区，掌握影子 IT 的存在情况，并轻松识别和处置存在风险的端点。
• 在持续扫描的同时进行策略性排期：在主动扫描的全面性与被动流程的 7×24 小时防护之间取得平衡至关重要。持续监控可实时发现问题，而在维护窗口期内执行的计划扫描则不会中断任何网络活动。
• 结合两者以确定优先级：利用主动和被动扫描技术所获取的数据，为所有漏洞构建基于安全风险的优先级排序视图。
• 为主动扫描赋予权限：为主动扫描提供带凭据的授权，可为高安全性资产提供关键数据。如果扫描被设置为在维护时段自动运行，赋予主动扫描自动关闭所发现漏洞的能力，将最大限度减少人力需求。
• 将结果与 SIEM 系统和补丁管理相融合： 将被动扫描数据接入 SIEM 工具和补丁系统，可简化工作流程，在攻击者利用漏洞之前迅速加以处置。

借助 FireMon 强化您的系统漏洞扫描策略

FireMon 融合主动扫描与被动扫描各自的优势，提升企业漏洞管理水平。我们的产品套件集成了实时策略监控，可对特定攻击面区域进行深入分析。我们功能强大的自动化持续系统漏洞扫描工具，为安全团队和 IT 团队提供高层次的洞察与建议，在保持合规工作流程的同时，减轻识别和修复潜在漏洞利用的负担。凭借成熟的基于风险的优先级排序方法，并通过直观的仪表板和 API 集成，混合云与多云环境可获得无缝的安全保障。请联系我们的团队，预约演示，了解如何保护您的网络免受复杂漏洞的威胁。