从端口扫描到智能识别
早些年，做网络安全检查就像拿着手电筒在黑屋子里找老鼠。那时候的漏洞扫描工具，基本靠扫端口、看服务版本来判断有没有风险。比如发现服务器开了23端口跑Telnet，就知道明文传输密码，大概率存在安全隐患。这种基于特征匹配的初级手段，在小规模网络里还行得通。
但随着系统越来越复杂，Web应用层出不穷，光靠端口和服务识别已经跟不上节奏了。一个电商平台可能每天上线十几个接口，微服务架构下服务自动启停，传统扫描器还没完成一轮扫描，环境就已经变了。
动态与被动扫描并行
现在主流的漏洞扫描开始分两条路走：一种是主动发包探测，模拟攻击行为去触发响应，比如发送SQL注入载荷看数据库是否报错；另一种是被动监听流量，通过分析HTTP请求中的异常参数来推测潜在风险。后者对系统影响小，适合生产环境长期部署。
像一些大型金融企业的内网，就采用探针+中心引擎的模式，各分支节点抓取流量后脱敏上传，统一做漏洞聚类分析。这种方式不仅能发现已知漏洞，还能捕捉到异常调用链，比如某个后台接口突然被高频访问，可能是爬虫试探，也可能是0day利用前兆。
AI开始介入漏洞判定
最近两年，越来越多厂商把机器学习模型嵌入扫描引擎。不是简单地匹配CVE数据库，而是训练模型识别“像漏洞”的行为模式。比如同一个API路径，正常用户提交的数据长度集中在10~50字符，如果突然出现大量超长参数，模型会标记为可疑输入。
有家电商公司在测试环境中做过对比，传统规则引擎漏报了37%的逻辑类漏洞，比如越权访问订单详情页。而加入行为建模后的扫描系统，通过分析用户角色与资源访问之间的关系，成功检出其中82%的问题。
<?xml version="1.0"?>
<scanner-config>
<target>https://example.com</target>
<scan-type>active</scan-type>
<plugins>
<plugin>sql_injection</plugin>
<plugin>xss_reflected</plugin>
<plugin>misconfig_tls</plugin>
</plugins>
<ai-detection enabled="true"/>
</scanner-config>上面这段配置文件显示，现代扫描工具已经支持开启AI检测模块。虽然不能完全替代人工审计，但在处理海量资产时能快速缩小排查范围。
云原生带来新挑战
容器化普及之后，扫描目标变得短暂且动态。一个Kubernetes Pod可能只存活几分钟，传统扫描器还没完成握手，目标就已经被调度销毁了。于是出现了运行在集群内部的轻量级扫描代理，借助Service Mesh获取东西向流量，在服务间通信过程中实时评估风险。
某互联网公司就在Istio的Sidecar里集成了漏洞探针，每次服务调用都会检查Header是否携带危险函数名，比如php://、system(等关键词。一旦发现立即记录并告警，同时将上下文信息推送给SOC平台。
现在的漏洞扫描不再是定期跑一遍报告那么简单。它更像是一套持续监控机制，融合了资产发现、威胁情报、行为分析等多个环节。工具本身也在进化——从单机脚本变成分布式系统，从静态规则走向动态学习，甚至开始参与自动化修复流程。