top of page

防範資安漏洞該使用什麼弱點掃描工具?比較原碼掃描、網站弱掃、主機弱掃


隨著數位化時代的到來,網路安全已成為組織、企業以至個人所需重視的議題之一。防範資安漏洞非常重要,而弱點掃描工具是防範資安漏洞初步重要一環。然而,在眾多的弱點掃描工具中,該如何選擇適合的工具呢?本文將介紹三種主要的弱點掃描工具:原始碼掃描、網站弱點掃描、主機弱點掃描,並提供比較及建議,讓讀者能夠更了解各種工具的優缺點,以及選擇合適工具的重要性。




常見弱點掃描種類與工具


原碼掃描 (Source Code Scanning)

  • 通過檢查程式碼來發現程式碼的錯誤和安全漏洞。

  • 可以發現各種類型的漏洞,包括SQL注入、跨站腳本攻擊等。

  • 無法檢查到運行狀態的漏洞。

  • 通常是開發階段進行。

  • 也稱為白箱掃描。


原碼掃描有助於在程式碼被投入生產之前就發現漏洞,其中最具代表性的就是Fortify,為全球使用率座高的原始碼檢測工具,由於支援高達十幾種的程式語言,故擁有強大的靜態代碼分析功能,能夠有效地找出程式碼中的漏洞。

另一個常見的工具為Checkmarx,採用CxQL專利查詢技術,並讓使用者可以自定義規則。兩者都是採OWASP為基準,判斷程式漏洞風險,完成掃描後,Fortify會依照風險級別分別產出報告與統計圖表的pdf文件,修改建議包含程式碼位置與上下文,方便工程師進行修改,整體較為全面;Checkmarx的報告文件則是成列出風險最關鍵的部分與處理方式,相對較為簡潔;價格方面,Checkmarx會比Fortify更有優勢。


主機掃描(Host Scanning)

  • 通過檢查目標主機的設定和服務來發現安全漏洞。

  • 可以檢查到運行狀態的漏洞,但無法檢查到程式碼的漏洞。

  • 通常在正式環境、生產階段進行。


主機掃描有助於發現目標系統的配置錯誤和漏洞。在業界中Nessus可以說是獨占鰲頭,它涵蓋了高達73,000+的常見漏洞,並提供預先建立的稽核掃描範本。同時能利用現有的掃描資料和新的插件更新找出弱點,提供即時的能見結果。在管理上,Nessus預建了1100+ 個合規與設定範本 (CIS、DISA STIG、HIPAA、PCI DSS、USGCB、FDCC等),客戶也能根據自訂檢視畫面量身打造產出的報告內容,是目前最受使用者歡迎的工具。




動態掃描(Dynamic Scanning)

  • 通過實際執行代碼來檢查安全漏洞。

  • 能夠發現運行狀態的漏洞,但是無法檢查到程式碼的漏洞。

  • 通常是正式環境、生產階段進行。

  • 常用於網站弱點掃描。

  • 網站弱點掃描工具通常可以自動化測試,節省時間和人力成本。

  • 也稱為黑箱掃描。


動態掃描有助於發現目標系統存在的漏洞和安全,最廣為人知的工具是WebInspect,除了支援大量的應用程式與網頁技術(包括.NET、Java、PHP、Ruby on Rails等),並且可以根據網頁架構進行智慧型掃描,也能自動處理許多繁瑣的掃描過程,以檢測出網頁應用程式的各種安全漏洞(SQL注入、跨站腳本XSS、遠程命令執行、身份識別等),最大化漏洞檢測效率。

WebInspect同時遵循法規管理,納入PCI DSS、OWASP Top 10、ISO 17799、ISO 27001、HIPAA 等安全合規標準,提供的報告也相當完整,可以方便地將掃描結果報告給安全專家和管理員。

Acunetix是另一個常見的工具,專為小型到中型企業所設計,特別強調快速、簡單、方便的操作方式。一樣也提供了多種安全檢測功能,包括網站應用程式漏洞掃描、網路掃描等,幫助客戶快速發現網站的弱點以及提出修復建議,便於企業進行網站安全改進。兩者相比,WebInspect支援的網站與技術更廣泛,掃描功能更全面;Acunetix則更著重於動態測試功能(例如模擬駭客攻擊),價格也相對較低。




網站系統動態弱點掃描可以有更好的選擇


OKWASP弱點掃描是一套在2019年由飛象資訊與資策會資安所共同開發的動態掃描工具,並於而2022年起結合知名弱點掃描服務,運用與WebInspect相同的技術,最全面、最精確的查核所有弱點類別,透過自動動態應用程式安全性測試,快速找到弱點,將安全風險調校至最佳化效能。同時亦遵循法規管理,滿足主要的安全合規標準,包含PCI DSS、DISA STIG、NIST 800-53、ISO 27K、OWASP 和 HIPAA等,並且提供數據報告,讓企業能夠監控系統的弱點趨勢,管理整體企業的應用程式安全風險。同時針對國內產業提供使用便利、價格實惠的中文版線上掃描平台與弱點診斷報告,獲得客戶的高度肯定。


此外,OKWASP弱點掃描平台具備了更多友善的使用體驗:

  • 雲端輸入網址,一鍵掃描,不需安裝軟體(上述所有提到的工具都需要下載軟體、安裝)

  • 介面中文,適用臺灣產業

  • 可設定自動排程,減少人力

  • 符合OWASP TOP 10 2021規範

  • 提供複掃服務,僅再次掃描被掃出的弱點,有效掌握弱點修復情況

  • 提供第三方認證加購服務,與第三方資安認證單位合作,可提供工具報告解讀與認證

  • 服務與報告符合多數臺灣標案需求

想要了解更多OKWASP的相關方案嗎?請至OKWASP官網


bottom of page