漏洞扫描价格与规格全解：三种计费口径与版本能力差异

1 三种计费口径，先搞清楚买的是什么

漏洞扫描不是单一产品，而是三种不同形态，计价单位完全不一样。买错口径，要么额度不够用，要么付了钱用不上。

口径一：按服务器台数收版本费（阿里云云安全中心）。买的是"每台服务器一个防护授权"，扫描次数不限，每天自动扫一次。服务器 50 台就买 50 个授权，100 台买 100 个。单价随版本走，高级版 60 元/台/月、企业版 150 元/台/月。

口径二：按资产/次收（腾讯云漏洞扫描服务）。买的是"扫描次数额度"。1 次扫描 1 个资产（1 个 IP 或 1 个二级域名）消耗 1 资产/次。套餐包月给固定额度，比如高级版每月 200 资产/次。额度按月清零，用不完不累积。

口径三：按 CPU 核数收（阿里云防病毒版）。5 元/核/月，按服务器所有 vCPU 总数算。4 核机器就是 20 元/月。这个版本扫描能力有限，主要配给非核心服务器。

怎么判断用哪种？看资产规模和扫描频率。服务器数量稳定、要每天自动扫，按台数买版本更划算（扫描不限次）。资产数量少但扫描需求集中（比如季度性扫描、上线前扫描），按资产/次买套餐可能更省。

4 版本能力差异：哪些漏洞哪个版本能扫

这是采购时最容易踩的坑——版本不同，能扫的漏洞类型完全不同。不是"买了漏洞扫描就能扫所有漏洞"。

阿里云云安全中心的漏洞分五类：Linux 软件漏洞、Windows 系统漏洞、Web-CMS 漏洞、应用漏洞、应急漏洞。不同版本的覆盖范围：

• 企业版 / 旗舰版：五类全扫，手动和自动都是全部范围。
• 高级版：除应用漏洞外的四类。手动扫全部（除应用漏洞），自动也扫全部（除应用漏洞）。
• 防病毒版 / 增值服务版 / 免费版：手动只能扫应急漏洞；自动扫 Linux 软件漏洞、Windows 系统漏洞、Web-CMS 漏洞。应用漏洞完全扫不到。

应用漏洞为什么单独限制？因为它的检测方式不同。系统漏洞靠软件成分分析（SCA）——Agent 采集软件版本和依赖库信息，跟漏洞库比对，被动检测，对业务无影响。应用漏洞靠 Web 扫描器主动验证——从互联网向应用服务发送 POC 请求，模拟攻击行为确认漏洞是否真实存在。这种方式能发现远程命令执行、SQL 注入这类高危漏洞，但需要主动发请求。

所以采购判断很简单：如果合规或实际安全要求覆盖应用漏洞（SQL 注入、命令执行等），必须企业版或旗舰版。高级版不够。这一点在采购前要跟业务方和测评机构确认清楚，别买完才发现差一个版本。

腾讯云这边的版本差异主要不在漏洞类型，而在扫描额度和专家验证。高级版不支持专家漏洞验证，企业版和旗舰版支持——发现高危漏洞后可以提工单让专家确认是否误报。误报率高的环境（比如用了大量自定义框架），专家验证能省掉很多排查时间。

5 扫描次数怎么估

按资产/次计费的模式下，额度估算是核心。估算逻辑：扫描资产数 × 扫描频次 = 月度消耗。

先数资产。1 个资产 = 1 个 IP 或 1 个二级域名。注意二级域名单独算——www.example.com、api.example.com、m.example.com 是三个资产，不是三个都在 example.com 下就算一个。

再定频次。常见几种策略：

• 月度全量扫描一次：资产数 × 1 = 月消耗
• 周度扫描：资产数 × 4 = 月消耗
• 每日扫描：资产数 × 30 = 月消耗
• 重大变更后追加扫描：资产数 × 变更次数

举例：40 个资产（20 个 IP + 20 个二级域名），每周扫一次，一个月 4 次，月消耗 160 资产/次。腾讯云高级版月给 200 次，够用。如果改成每天扫，月消耗 1,200 次，高级版不够，得企业版（1,000 次）再加一个加量包，或者直接旗舰版。

这里就看出两套模式的差异了：同样的 40 个资产、每天扫描的需求，阿里云企业版按 40 台服务器算 40 × 150 = 6,000 元/月，扫描不限次；腾讯云要 10,000 元/月（1,000 次额度，还差 200 次要加包）。服务器数量多、扫描频次高的场景，按台数计费的模式成本优势明显。

反过来，资产少但都是域名（比如只有 5 个网站、20 台服务器），按资产/次算 5 个域名 × 4 次/月 = 20 次，腾讯云高级版 2,800 元/月就够，按台数买 20 台 × 150 = 3,000 元/月，差别不大但额度模式更灵活。

6 必须配的扫描白名单

这一步不做，扫描会失败，而且容易被误判成攻击。采购交付后第一件事就是配白名单。

阿里云云安全中心的 Web 扫描器 IP 段：47.110.180.32/27，即 47.110.180.32 到 47.110.180.63。要加到三处：

• 安全组入方向规则：允许 TCP 协议、端口范围 1–65535、源地址 47.110.180.32/27。
• WAF 白名单：匹配字段选 IP，逻辑选"属于"，匹配内容填 47.110.180.32/27，检测模块选"关闭所有检测"。不配这条，扫描请求会被 WAF 拦掉，应用漏洞扫不出来。
• 自建防火墙 / 网络 ACL：如果用了自建防火墙，同样要放行这个 IP 段。

还有一个细节：POC 验证请求可能带上辅助域名 s0x.cn（用于应用漏洞和应急漏洞检测）。如果这个域名触发了告警，不用处理，或者给它加白名单规则。

不配白名单的后果：扫描器的 POC 请求被安全组或 WAF 拦住，结果就是"应用漏洞和应急漏洞检测不出来"，或者扫描请求被当成攻击记录告警。前者让你误以为系统没问题，后者让安全团队白忙一场。

7 采购前要准备什么

• 资产清单。服务器台数、vCPU 总数（防病毒版要用）、公网 IP 数、二级域名数。域名要按二级域名逐个列，不能按主域名合并。
• 扫描频次要求。合规要求通常写"定期扫描"，具体是月度、周度还是每日，要跟测评机构确认。频次直接决定额度需求。
• 是否覆盖应用漏洞。这是版本选择的分水岭。等保三级、行业监管要求通常覆盖应用层漏洞。
• 是否要容器扫描。上容器的环境要考虑容器镜像扫描（阿里云 0.5 元/镜像/月）或旗舰版。
• 是否有专家验证需求。误报多、安全团队人手紧的环境，专家验证能省时间。腾讯云企业版及以上支持。
• 扫描窗口时间。扫描会占用一定资源，要安排业务低峰期。阿里云支持设置扫描时间窗口（中国大陆 00:00–07:00 UTC+8）。
• 白名单配合方。配扫描白名单要动安全组和 WAF，需要网络或安全团队配合，提前打好招呼。

8 五个降本与提效动作

动作一：把非核心资产降到低版本。开发测试环境、内部工具服务器不需要每天全量扫应用漏洞。这些机器用防病毒版（5 元/核/月）覆盖，核心业务用企业版，混合配置能省一大笔。50 台机器里 30 台是测试环境的话，只给 20 台核心业务买企业版，其余用防病毒版，年费从 90,000 元降到 36,000 + 7,200 = 43,200 元左右。

动作二：按峰值而非平均值估额度。额度按月清零，估少了要临时加包，加包单价 16 元/次比套餐单价贵。估的时候按最忙的那个月算。

动作三：额度需求大时换版本而非加包。需要 1,200 次/月的话，企业版 1,000 次 + 2 个加量包 = 10,000 + 3,200 = 13,200 元/月；旗舰版 4,000 次 = 20,000 元/月。看似加包便宜，但如果额度继续涨到 1,600 次，加包方案 19,600 元/月，跟旗舰版差不多了，还少了专家验证之外的旗舰能力。算清楚临界点。

动作四：把漏洞修复纳入流程。扫描出来不修等于没扫。阿里云高级版及以上无限次修复，防病毒版和增值服务版要单独买修复次数（2 元/次/月，20 次起售）。买版本时把修复能力一起算进去。

动作五：白名单提前配好。这不是省钱，是避免白花钱。白名单没配，扫描器扫不出应用漏洞，等于买了企业版却只得到高级版的效果。

10 相关页面

• 漏洞扫描厂商横向对比与选型：各厂商扫描能力、漏洞库覆盖、报告质量差异。
• 渗透测试价格与规格：人工测试跟自动扫描的分工与计价。
• 堡垒机价格与规格：运维侧漏洞修复的操作审计。
• WAF 价格与规格：扫描白名单要配的 WAF 规则。
• 等保合规咨询与整改：等保对漏洞扫描频次和覆盖范围的具体要求。