Qualys

服务商概述

Qualys 成立于 1999 年，总部位于美国加州福斯特城（Foster City, CA），是全球领先的云端安全与合规解决方案提供商。Qualys 是最早将漏洞管理作为 SaaS 服务交付的厂商之一，通过其 Cloud Platform 提供漏洞管理（VM）、Web 应用安全扫描（WAS）、合规评估（PCI DSS）、资产发现和威胁情报等服务，服务全球 10,000+ 企业客户（包括 80% 以上的财富 100 强）。

Qualys 的核心理念是"安全即服务"——通过统一的云平台，让企业无需部署复杂的本地硬件即可完成安全评估和合规审计。其 Cloud Agent 技术可以部署在服务器和云工作负载上，实现对内部资产的持续监控。在 安全方案选型中，Qualys 与 Tenable 是漏洞管理市场的两大领导者。

核心优势

• SaaS 交付零硬件门槛：基于云平台交付，无需部署本地扫描硬件或管理扫描基础设施。通过浏览器登录 Qualys Cloud Platform 即可发起全网的漏洞扫描和合规评估，扫描目标覆盖数百万 IP 地址。对于需要快速建立安全评估能力的组织来说，Qualys 的开通速度远快于自建漏洞管理体系。
• 内置多套合规模板：平台内置 PCI DSS v4.0、HIPAA、GDPR、ISO 27001、NIST CSF、SWIFT 等主流合规框架的评估模板，自动生成合规报告。PCI DSS ASV（Approved Scanning Vendor）扫描是 Qualys 的核心特色之一，符合持卡人数据环境的外部扫描合规要求。报告格式支持 PDF、HTML、XML 和 CSV，满足不同审计场景。
• Web 应用深度扫描：Qualys Web Application Scanning（WAS）提供自动化 Web 漏洞检测，支持认证扫描（登录后扫描后台页面）、API 测试和客户端攻击检测。扫描引擎覆盖 OWASP Top 10 和 CWE/SANS Top 25 安全风险，支持 零信任架构环境下的 Web 应用安全评估。与 CDN 安全防护方案配合，可实现从边缘到应用的完整安全评估闭环。
• 可操作的漏洞优先级：Qualys TruRisk 评分系统综合 CVSS v3 基础分、威胁情报、资产价值和利用状况等因素，为每个漏洞计算风险分数和修复优先级。帮助安全团队在大量漏洞中聚焦真正需要优先修复的高风险项。结合 监控报警能力，可在扫描完成后自动通知相关责任人。

产品生态

Qualys Vulnerability Management (VM)

Qualys 的核心产品，提供自动化资产发现和漏洞评估。通过 26+ 个全球扫描节点发起外部扫描，或通过 Cloud Agent 实现内部资产的持续监控。扫描覆盖操作系统、数据库、Web 服务器、网络设备、容器等多种资产类型。结果通过 Cloud Platform 统一聚合和分析。

Qualys Web Application Scanning (WAS)

专业的 Web 应用漏洞扫描产品，支持静态分析的爬虫模式和动态分析的扫描模式。覆盖 SQL 注入、XSS、远程代码执行、不安全的反序列化等 OWASP Top 10 风险。提供认证扫描功能，可深入测试登录后的功能页面。在 WAF 安全策略的评估中，WAS 可验证 WAF 规则的覆盖率和有效性。

Qualys PCI Compliance

专为处理支付卡数据的企业设计的合规管理产品，提供自动化的 PCI DSS 合规评估和 ASV 扫描。从资产范围界定、漏洞扫描到合规报告生成的全流程支持，帮助企业持续满足 PCI DSS 合规要求。

Qualys Cloud Agent

轻量级代理程序部署在服务器或云实例内部，实现对内部资产的持续漏洞监控和合规审计。支持 Windows、Linux、macOS 和容器环境，代理自动更新，无需人工维护。对于 环境部署在私有网络中的资产，Cloud Agent 是 Qualys 的核心推荐方案。

不足之处

• 高级功能需要升级套餐：Qualys 的定价分层较为明显，容器安全、攻击面管理（CyberSecurity Asset Management）、CI/CD 管道集成（TotalCloud）等功能需要在高级套餐中解锁，增加了扩展使用的成本。
• 国内用户延迟较高：Qualys 云平台部署于 AWS 全球区域（us-east-1 等），中国大陆用户访问控制台和发起扫描时延迟较高。建议中国用户评估本地化替代方案，如 Tenable 的国内部署方案。
• 扫描覆盖依赖网络可达性：外部扫描只能覆盖面向公网暴露的资产，内网资产需要部署 Cloud Agent 或虚拟扫描设备，增加了部署复杂度。建议在 需求分析阶段明确扫描范围和部署策略。
• 报告模板灵活性有限：合规审计报告模板相对固定，有高度定制化报表需求的团队可能需要进行二次开发或使用 Qualys API 自行构建。

适用场景

• 云安全评估与合规审计（★★★★★）：Qualys 是 SaaS 交付的漏洞管理和合规评估标杆方案，尤其适合需要 PCI DSS 合规的企业。
• Web 应用安全扫描（★★★★）：WAS 覆盖 OWASP Top 10 的全面扫描能力，适合开发团队作为上线前的安全卡点。建议与 WAF 方案配合使用实现纵深防御。
• 大型企业漏洞管理（★★★★）：TruRisk 评分系统帮助大型安全团队高效管理海量漏洞，聚焦高风险项。
• 持续合规监控（★★★★）：内置多套合规模板，自动生成审计报告，适合需要定期提交合规证明的组织。
• 中小型企业（★★★）：功能覆盖全面但定价偏高，中小企业可评估 Nessus Professional 或 OpenVAS 等替代方案。

价格参考

注：以上为参考价格，实际报价根据资产规模、合同期限和套餐级别确定。建议联系 Qualys 销售获取准确报价。

常见问题

• Qualys 和 Tenable 怎么选？ 两者都是漏洞管理市场的领导者。Qualys 的优势在于 SaaS 原生交付和 PCI DSS 合规深度集成；Tenable 的优势在于 Nessus 扫描引擎的检测广度和容器安全能力。建议根据需求分析评估具体使用场景，选型参考 网站安全最佳实践。
• Qualys 扫描会影响业务性能吗？ 外部扫描时通过互联网发起，通常不会影响业务系统性能。Cloud Agent 的资源占用率控制在 1% CPU 以下，扫描流量也经过速率控制，对生产环境影响极小，安全实践参考 网站安全清单。
• Qualys 支持容器和 Kubernetes 环境扫描吗？ 支持。通过 Qualys Container Security 模块（需升级套餐），可以实现容器镜像的漏洞扫描和 Kubernetes 集群的合规评估，容器安全参考 容器安全最佳实践。
• Qualys 的扫描覆盖多少个 CVE？ Qualys 的漏洞知识库覆盖超过 200,000 个 CVE 和 50,000+ 个安全配置检查项，每日更新，威胁态势参考 网络安全威胁态势。