漏洞扫描、渗透测试、代码审计三者之间有什么差异？

　　在学习网络安全或者从事网络安全相关工作的时候，大家肯定都听说过也接触过漏洞扫描、渗透测试、代码审计，这是三种不同的安全评估类型，在网络安全保障体系中起到了十分重要的作用。那么漏洞扫描、渗透测试、代码审计有什么区别?以下是详细的内容介绍。

　　漏洞扫描：指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用漏洞的一种安全检测行为。

　　渗透测试：指经过用户授权后，安全服务人员以模拟黑客的方式对目标系统进行入侵，找出系统存在的漏洞。

　　代码审计：指由具备丰富编码经验并对安全编码原则及应用安全具有深刻理解的安全服务人员对系统的源代码和软件架构的安全性、可靠性进行全面的安全检查。

　　三种安全评估手段本质上都是针对信息系统找出潜在的安全漏洞，但存在着区别：

　　漏洞扫描是利用扫描工具在网络设备中发现潜在漏洞的形式，比如防火墙、路由器、交换机、服务器等。整个过程是自动化的，专注于网络或者应用层上的潜在以及已知的漏洞。这种方式能够快速发现风险，但发现的漏洞不全面，是企业和组织进行信息系统合规度量和审计的一种基础手段。

　　渗透测试需要具有丰富经验的安全服务人员进行作业，这种安全评估方式在应用层面或网络层面都可以进行，也可以针对具有功能、部门或者某些资产。渗透测试工作往往作为风险评估的一个重要环节，为风险评估提供重要的原始参考数据。相对于漏洞扫描而言，渗透测试的花销更高，因为渗透在漏扫的基础上能挖掘更深层次的漏洞，时间也多于漏扫。

　　相较于前面说的两种方式，代码审计比渗透测试和漏洞扫描在发现漏洞的问题上，能够更加全面些。

　　总体来讲，漏洞扫描通过自动扫描工具能够快速发现存在风险，渗透测试、代码审计则是通过人工验证，发现的漏洞会更加深入和全面。