如何更准确的进行网络安全漏洞扫描

1. 确保您正在测试的东西是重要的。许多人只专注于检查复选框是否符合要求（即持卡人数据环境），而不是其他东西。我相信，如果漏洞是犯罪黑客能够找到的公平目标，那么它也需要您进行测试。从关键的业务系统开始，然后从那里走出来。

2. 扫描平面网络与扫描复杂的分层或分段网络非常不同，尤其是在涉及多个位置时。即使您需要物理移动扫描系统或在整个网络中添加各种扫描仪传感器，也需要确保正在扫描网络中所有重要的区域。您还需要从整体上看待网络，并牢记您的漏洞和利用程度。仅仅因为一个系统有一个明显的缺陷，并不意味着它会带来巨大的业务风险。我们的许多同行都喜欢声称所有缺陷都是关键问题，因此喜欢黑白两色，但现实世界却并非如此。

3. 您不能无视拒绝服务（DoS）测试。包括DoS检查的扫描程序策略当然会带来风险，但它们还会发现“安全”策略不会发现的缺陷。仅仅因为扫描可能会导致系统崩溃，并不意味着它对企业来说不是问题。多次要求我不要扫描“关键”系统以防止停机。最后，如果某人担心扫描脆弱的系统，请问他们是什么使其他人无法进行相同的扫描，而这又会造成相同的感知风险。总是存在麻烦的可能性，并且不能保证结果，但是如果您对方法聪明，则可以控制这些因素。

4. 网络漏洞扫描程序无法找到所有内容。扫描仪越来越好，但是没有什么可以替代结合训练有素的眼睛的扫描仪了。

5. 除非对所有可能的网络主机（服务器，工作站，数据库等）执行经过身份验证的扫描，否则您不能说您已经查看了所有内容。

6. 对扫描时间敏感。它们只是运行扫描时事物存在方式的快照。威胁，安全操作乃至网络体系结构始终处于不断变化的状态。昨天曾经存在或未曾存在的漏洞今天可能已经完全不同了。

7. 事先做好计划。设定不当的期望是让别人失望并让自己看起来不好的肯定方法。了解您要测试的内容以及何时进行测试，并确保在执行测试的整个过程中与涉及的所有人进行交流。

准确的进行网络安全漏洞扫描的措施有以下这些：

• 确保您正在测试的东西是重要的。许多人只专注于检查复选框是否符合要求（即持卡人数据环境），而不是其他东西。我相信，如果漏洞是犯罪黑客能够找到的公平目标，那么它也需要您进行测试。从关键的业务系统开始，然后从那里走出来。

• 扫描平面网络与扫描复杂的分层或分段网络非常不同，尤其是在涉及多个位置时。即使您需要物理移动扫描系统或在整个网络中添加各种扫描仪传感器，也需要确保正在扫描网络中所有重要的区域。您还需要从整体上看待网络，并牢记您的漏洞和利用程度。仅仅因为一个系统有一个明显的缺陷，并不意味着它会带来巨大的业务风险。我们的许多同行都喜欢声称所有缺陷都是关键问题，因此喜欢黑白两色，但现实世界却并非如此。

• 您不能无视拒绝服务（DoS）测试。包括DoS检查的扫描程序策略当然会带来风险，但它们还会发现“安全”策略不会发现的缺陷。仅仅因为扫描可能会导致系统崩溃，并不意味着它对企业来说不是问题。多次要求我不要扫描“关键”系统以防止停机。最后，如果某人担心扫描脆弱的系统，请问他们是什么使其他人无法进行相同的扫描，而这又会造成相同的感知风险。总是存在麻烦的可能性，并且不能保证结果，但是如果您对方法聪明，则可以控制这些因素。

• 网络漏洞扫描程序无法找到所有内容。扫描仪越来越好，但是没有什么可以替代结合训练有素的眼睛的扫描仪了。

• 除非对所有可能的网络主机（服务器，工作站，数据库等）执行经过身份验证的扫描，否则您不能说您已经查看了所有内容。

• 对扫描时间敏感。它们只是运行扫描时事物存在方式的快照。威胁，安全操作乃至网络体系结构始终处于不断变化的状态。昨天曾经存在或未曾存在的漏洞今天可能已经完全不同了。

• 事先做好计划。设定不当的期望是让别人失望并让自己看起来不好的肯定方法。了解您要测试的内容以及何时进行测试，并确保在执行测试的整个过程中与涉及的所有人进行交流。