很多企業在評估資安掃描檢測時，常卡在三個名詞：弱點掃描、滲透測試、程式碼掃描。它們看起來相似，其實目標、方法、輸出、時程與費用都不同。
最簡單的記憶方式：
- 程式碼掃描 SAST（Static Application Security Testing｜原始碼靜態分析）/ SCA（Software Composition Analysis｜開源套件成分分析）：發生在開發階段，檢查你寫的程式與使用的套件。
- 弱點掃描 DAST/VA（Dynamic Application Security Testing / Vulnerability Assessment｜動態/弱點評估）：發生在運行中的系統，用工具對網站/服務做自動化檢測。
- 滲透測試 PenTest（Penetration Testing｜滲透測試）：由專家扮演駭客，用人工＋工具的方式實際驗證「能不能被攻破」。
這些服務並不是三選一，而是分工合作，相輔相成。開發期先用 SAST/SCA 左移預防，上線前後用 DAST/VA 例行排雷，重大上線/稽核/高風險情境用 PenTest 驗證「真的攻不進來」。
註：「弱點掃描」指對已部署/運行中系統的自動化掃描（DAST/VA）；「程式碼掃描」是開發階段的靜態分析（SAST/SCA），兩者互補、不是上下位關係。
▌弱點掃描、滲透測試、程式碼掃描差異比較表
| 面向 | 程式碼掃描 SAST / SCA | 弱點掃描 DAST / VA | 滲透測試 PenTest |
|---|---|---|---|
| 主要目的 | 提早在原始碼與套件找到弱點/授權風險（SBOM） | 在運行中的系統找已知弱點與錯誤設定 | 以實戰方式驗證可被利用的攻擊路徑與影響 |
| 何時進行 | 開發期、PR/合併前、版本封版前 | 上線前/後的例行檢查、重大變更後 | 高風險上線、年度/標案稽核、雲遷移/重大改版 |
| 方法 | 靜態分析原始碼；比對規則庫與套件版本（CVE） | 自動化掃描網站/API/主機/雲資源 | 專家手動＋工具，鏈接多個弱點形成可利用路徑 |
| 覆蓋範圍 | 原始碼層、相依套件/授權 | Web/App/API/主機/雲設定（視方案） | 以「攻擊者視角」跨層串接，視範圍而定 |
| 輸出 | 原始碼/套件弱點清單、修補建議、合規報告 | 弱點清單（嚴重度/CVSS）、誤報標註、修補建議 | 攻擊路徑重現、業務影響、建議與複測結果 |
| 優點 | 左移、快、可自動化；降低修補成本 | 快速、廣覆蓋；適合例行維運 | 證明「真的打得進/打不進」，最能說服管理層 |
| 盲區 | 無法驗證執行期行為/第三方環境 | 不擅長鏈接多弱點形成實際入侵 | 需專家、費用較高、時間較長 |
| 常見時程 | 幾分鐘～數小時/次（可持續整合） | 幾小時～數天（依範圍） | 2–4 週（含複測，依範圍調整） |
| 驗証範圍 | 明確、針對特定系統或應用程式 | 明確、針對特定系統或應用程式 | 明確、針對特定系統或應用程式 |
▌導入順序建議
- 開發中（Dev）：SAST＋SCA（導入 CI/CD；PR 前自動跑）
- 測試/預備上線（Stage/Pre-prod）：DAST/VA（含 API），重要路徑做負載/壓力測試
- 上線前（Go-Live）：針對高風險功能/金流/敏感資料，執行範圍型 PenTest
- 上線後（Prod）：DAST/VA 例行；重大變更/事件後滲測複測；月/季報追蹤
- 持續監控：把掃描與告警輸出納入 SIEM/MDR，縮短 MTTD/MTTR
▌六種常見情境，怎麼選？
情境 1｜新專案 MVP/POC
- 先做：SAST/SCA（成本最低、立即見效）
- 可選：輕量 DAST（驗基本錯誤設定/認證流程）
- 不一定要：PenTest（除非觸及敏感資料/金流）
情境 2｜重大版本上線（功能大改 / 架構變更）
- 必做：DAST/VA（含重要 API）；關鍵路徑壓測
- 建議：針對變更面做範圍型 PenTest
- 持續：SAST/SCA 留在 CI/CD，阻擋高危 PR 進主幹
情境 3｜有金流 / 隱私 / 醫療等高風險
- 必做：SAST/SCA＋DAST/VA＋PenTest（含業務流程濫用）
- 補強：WAF 規則/Rate limit（降低風險暴露面）
情境 4｜年度稽核 / 標案 / 客戶要求
- 必做：DAST/VA 報告、PenTest 報告（附複測）
- 補充：SAST/SCA 記錄、修補證據（工單/PR/提交 ID）
情境 5｜API 對接 / 第三方整合
- 必做：DAST for API（認證流程/權限檢查/速率限制）
- 建議：針對敏感動作做 PenTest；SAST/SCA 持續跑
情境 6｜遭遇異常流量/可疑活動
- 立刻：DAST 快速健康檢查＋日誌分析
- 短期：範圍型 PenTest 驗證攻擊路徑，修補後複測
- 長期：納入 MDR/SIEM 持續監控，建立 Playbook
▌常見問答（FAQ）
1. 做了滲透測試，還需要弱掃或 SAST 嗎？
需要。滲測是「實戰驗證」，弱掃/SAST 是「持續預防」。三者分工不同、互相補位。
2. 弱點掃描會不會影響系統？
一般設定下影響很低；仍建議在非尖峰時段執行，並與 WAF 規則協調白名單/速率。
3. SAST/SCA 會拖慢開發嗎？
把重大（Critical/High）當 Fail Gate；中低風險改成警示或定期修復，並用差異掃描提高效率。
4. 滲透測試一定要全站嗎？
不一定。以「高風險範圍」為主（例如金流、身分切換、敏感資料流程），範圍型滲測更有效率。
5. 何時需要複測？
修補完成後應安排複測，確認高風險弱點已移除，這也是稽核與客戶最在意的部分。
6. 與 WAF / MDR 的互補關係
WAF（Web Application Firewall）：在應用層擋下已知攻擊手法與濫用（SQLi、XSS、Bot、Rate limit），能降低 DAST/滲測暴露面，但不能取代檢測與修補。
MDR（Managed Detection and Response）：把掃描輸出、端點/雲端事件納入 24×7 監控與威脅獵捕，縮短 MTTD/MTTR，並用月報推動持續改善。
預約 Cloudmax 匯智資安顧問，針對您的需求情況，提供評估建議與規劃，協助您完成資安掃描需求。
匯智官方 LINE （https://line.me/R/ti/p/@cloudmax）
歡迎轉載！請見：轉載原則。
Image by Brian Penny from Pixabay
