弱點掃描不是一次性工作，而是依時機與風險切分：開發中、上線前、上線後例行，以及重大變更或事件發生時。在實務應用上，每個專案都建議至少掃描 2 次（初掃與複掃），初掃完成後取得修補建議報告，於完成修補建議後複掃，確認風險均己排除，才算完整完成專案。
▌弱點掃描常用方法
- SAST（Static Application Security Testing｜原始碼靜態分析）：在不啟動程式的情況下檢查原始碼，找出不安全寫法與邏輯缺陷。
- DAST（Dynamic Application Security Testing｜運行中掃描）：在實際運作的網站／API上，以外部視角測試可被利用的弱點與錯誤設定。
- SCA（Software Composition Analysis｜開源元件檢查）：盤點專案用到的開源套件與版本，對照已知漏洞與授權風險並提供更新建議。
- IaC 設定檢查（Infrastructure as Code｜Kubernetes／雲資源設定）：檢查基礎設施與雲服務的設定檔與權限，找出過度開放與不合規的組態。
- CSPM（Cloud Security Posture Management｜雲帳號安全態勢）：持續掃描雲帳號層級的資源與權限狀態，指出未加密、對外公開與權限過大等風險。
另外 Secrets / 憑證掃描 = 找程式與設定中的密鑰外洩；容器映像掃描 = 檢查容器基底套件漏洞；主機弱點掃描（Host-VA）= 盤點伺服器作業系統與套件漏洞，也是常見的需求。
在評估與討論導入弱點掃描服務方案時，觀念重點：先定時機與頻率，再談工具細節；每次掃描都要修補、覆測、留證，才能通過合規與真正降低風險。
註：SAST 嚴格來說不歸屬於弱掃的分類中，但實務溝通上，容易一起討論，因此本文將其列入一併討論。
▌弱點掃描應用時機
1. 依產品生命週期的時機
開發中（寫程式 / 送審時）
- 做 SAST（原始碼靜態分析）：先抓不安全寫法與邏輯缺陷。
- 做 SCA（開源元件檢查）：建立 SBOM、追蹤高風險 CVE 與授權風險。
- 目的：早點發現＝更省時省錢，避免上線前才大修。
上線前（可運作的測試 / 預備環境）
- 做 DAST（運行中掃描）：從外部視角測試網站／API 的實際風險。
- 有基礎設施變更時做 IaC 設定檢查（Terraform／K8s／雲設定）。
- 目的：在正式曝光前確認暴露面沒有明顯缺陷或錯誤設定。
上線後（例行）
- 對外服務：每月～每季做一次弱掃（視風險調整）。
- CSPM（雲帳號安全態勢）：持續或每週檢查雲資源與權限變動。
- 目的：持續防守，避免改動間接引入風險。
2. 依事件 / 變更的時機
- 重大版本或架構改動前後：先做 DAST 與（如有）IaC 檢查，變更完成後復掃。
- 新增或更新第三方套件 / 框架：同步做 SCA，必要時針對受影響模組加做 SAST。
- 新對外服務 / 新子網域：上線前做 DAST，並建立後續例行頻率。
- 雲端權限或網路設定大變動：立即做 CSPM 與 IaC 檢查。
- 可疑活動 / 事件通報：先針對暴露面做 DAST 與主機／容器快掃；視需要安排滲透測試（人工驗證）。
3. 依風險與業務情境的時機
- 高風險業務（個資、金流、醫療、金融）：SAST＋DAST＋SCA 為基本盤，關鍵功能加滲透測試。
- 大型檔期 / 流量尖峰前：DAST＋設定審視（存取限制、Rate limit、錯誤處理）。
- 對外 API 串接或新合作方導入：做 DAST（含 API 測項），並要求對方提供近期掃描或測試報告。
4. 依合規與外部要求的時機
- 投標 / 稽核 / 年度審查：於時程前完成 SAST / DAST / SCA 的可稽核報告與覆測證據；雲環境補上 CSPM 報告與改善紀錄。
- 併購或供應商導入：先全盤盤點（弱掃 + SCA + CSPM / IaC），再依風險安排修補與復掃。
▌弱點掃描方式快速選型對照（情境 → 方法）
| 情境 | 建議方法 |
|---|---|
| 要上線了 | DAST（運行中掃描） + 視需要 IaC 檢查 |
| 剛換套件 / 升級框架 | SCA（開源元件檢查） + 受影響模組的 SAST |
| 雲端權限剛調整 | CSPM（雲帳號安全） + IaC 檢查 |
| 要接外部 API | DAST（含 API 測項） + 最小必要的存取限制審視 |
| 高風險產業或關鍵交易 | SAST + DAST + SCA，關鍵功能加滲透測試 |
| 看到可疑行為 / 收到通報 | 先 DAST 快排查暴露面，主機 / 容器快掃；必要時啟動事件監控與應變 |
延伸閱讀：
安全掃描與檢測有哪些種類？｜https://blog.cloudmax.com.tw/vulnerability-scanning-types
弱掃 vs 滲透 vs 程式碼掃描怎麼選｜https://blog.cloudmax.com.tw/vulnerability-scanning-vs-penetration-testing-vs-sast
▌弱點掃描建議頻率（可視風險調整）
- 對外服務：每月～每季弱掃；重大變更前後各一次。
- 內部系統：每季～每半年。
- 雲帳號與設定（CSPM / IaC）：持續或每週。
- 高風險系統：納入季度性重點檢查，必要時安排滲透測試。
*每次掃描請記得：產出問題 → 排優先序 → 修補 → 覆測 → 留證（報告與工單），否則很難通過合規與內部稽核。
▌一張「時序圖」快速看弱點掃描流程
時間 → 開發中 → 上線前 → 上線後（例行） → 重大變更／事件
- 開發中：SAST（原始碼）＋ SCA（套件） → 修補 → 覆測
- 上線前：DAST（網站／API）＋（如有）IaC 檢查 → 修補 → 覆測
- 上線後：按頻率例行弱掃；CSPM 持續或每週檢查 → 修補 → 覆測
- 重大變更／事件：DAST 快排查、主機／容器快掃；高風險功能做滲透測試 → 修補 → 覆測 → 留證
▌常見問答（FAQ）
依風險而定。對外且高敏感度的服務建議每月～每季；內部系統每季～每半年；雲帳號與設定建議持續或每週檢查。
視專案特性來評估。弱掃偏自動化、廣而快；滲透測試由專家驗證是否真的能被利用與影響大小，特別適合高風險功能與重大上線前。
規劃妥當就不會。建議在測試 / 預備環境進行，對正式環境的例行掃描採離峰時段與保守配置。
可以，但要更保守。先針對外網暴露面做基本檢查，並把掃描時段、範圍與強度事先約定好；有條件還是建議建立最小可行的測試環境。
Cloudmax 匯智提供的弱點掃描服務包含資安顧問服務，由專職資安團隊工程師先為企業看過弱點掃描報告結果，並將報告整理為企業能看得懂的樣式，再與企業說明該針對哪些部份進行修補；一般報告通常需保存到下一次稽核 / 年度審查。
先確認是否受影響（用 SCA 看套件、用主機 / 容器快掃），短期採暫時降低風險的做法（例如加上 WAF 規則、限制來源），再排程修補與覆測。
工具只檢查設定與回應，不會擅自擷取資料；若涉及敏感資料，會採遮罩與最小必要權限。正式掃描前會有授權與範圍確認書。
可以。DAST（運行中掃描）可涵蓋 API；行動 App 通常搭配API 檢查＋後端服務檢查，前端元件再視需要做額外測試。
預約 Cloudmax 匯智資安顧問，針對你的專案與雲環境，規劃可實行的弱點掃描組合方案
匯智官方 LINE （https://line.me/R/ti/p/@cloudmax）
歡迎轉載！請見：轉載原則。
Image by AI-generated via ChatGPT / DALL·E
