2026 漏洞扫描与 Microsoft 365 安全审计定价

一句话结论： 漏洞扫描和 Microsoft 365 安全审计的定价逻辑不同，因为它们衡量的对象不同。扫描按资产、地址或 Web 应用的数量定价；Microsoft 365 审计按租户里的人数定价。Brocent 的 Microsoft 365 审计是公开的一次性价目：1–10 人 450 美元起，76–150 人 2,900 美元，不含税。本文说明如何比较这两类服务的报价，以及购买前该问什么。

如果您正在为今年的安全工作做预算，大概搜过 Microsoft 365 安全审计定价和漏洞扫描定价，得到的结果都差不多：多数服务商的回答是“请联系销售”。本文不打算给出一张覆盖全市场的价格表。这类服务的价格随范围而变，从别家网站摘来的区间表很快就会过时，也难以核实。本文改为说明每项服务的价格由什么决定、怎样正确比较报价，以及公开价格在哪里。

这是涵盖两类产品的采购概览。如果您只关心 Microsoft 365 部分，请看Microsoft 365 安全审计要多少钱，那里对各档位有更深入的说明。本文的数据已于 2026 年 11 月 4 日核对。

您实际在为哪一种服务定价？

比较任何数字之前，先弄清眼前是哪种产品。市场上有三种东西常用相近的名字出售，价格差距多半反映的是您得到的东西不同。

工具授权。 您自己运行的软件，您付授权费，也由您自己解读结果。例如 Tenable 在其产品页上标示 Nessus Professional 一年授权为 4,790 美元（页面注明价格含增值税）。那是软件价格而不是服务价格，不包含报告或整改计划。
交付式扫描或评估。 服务商运行工具、剔除误报、对发现排序，并交给您一份报告。您付的是工作和判断。
配置审计。 由人对照公开的基线，审查系统是如何设置的。对 Microsoft 365 来说，这是对租户设置的审查，而不是扫描软件漏洞。

买家常常把工具授权与交付的报告相比，然后觉得其中之一“很贵”。这两者并不是同一种购买。请向每家服务商确认，他们报的是三者中的哪一种。

什么决定漏洞扫描的价格？

漏洞扫描检查系统中的已知弱点，例如缺失的补丁和暴露的服务。价格随扫描对象的规模和形态而变。

资产或地址的数量。 服务器、终端或公网 IP 越多，要扫描的越多，要复核的发现也越多。
外部还是内部。 外部扫描看的是从互联网能触及的部分；内部扫描从网络内部查看，需要接入该网络。
认证还是非认证。 登录系统后，对缺失补丁的判断远比从外面观察准确，但准备工作也更多。
Web 应用。 扫描网站或 API 通常与扫描基础设施分开界定范围、分开定价。
一次性还是持续。 一份报告是项目；带月度报告的持续扫描是服务，按服务定价。
复测。 修复后的重新扫描是否包含在内，对实际成本的影响往往超出买家预期。

有一条提醒值得重复：漏洞扫描和渗透测试是两种不同的产品。扫描自动发现已知弱点，渗透测试则加上了人工尝试利用这些弱点。如果一份“渗透测试”的报价和扫描差不多，它很可能就是扫描，请问清楚到底有什么人工工作。

Brocent 当前的漏洞扫描价目，请见漏洞扫描定价页。我们把数字放在那里，而不在文章里重复，这样价格变化时不会出现不一致。

什么决定 Microsoft 365 安全审计的价格？

Microsoft 365 安全审计是对租户配置的审查：身份与登录设置、邮件防护、设备与应用控制、共享与保留。它读取的是设置，不是邮件或文档。它的价格驱动因素与扫描不同：租户的规模，通常以用户数计。

原因在于工作量由租户本身决定，而不是由发现了多少问题决定。按人数的固定价格便于比较，也避免出现“越认真的审计人员反而越吃亏”的情形。我们在固定价格还是按小时计费：如何界定 Microsoft 365 安全审计范围中有详细说明。

内置分数的陷阱

Microsoft 安全分数（Secure Score）内置于 Microsoft Defender 门户，是个有用的起点，但它不是审计。它反映的是 Microsoft 选择衡量的设置和建议，并不涵盖公认基线中的每一项控制。CIS Microsoft 365 Benchmark 是被广泛采用的基线，其中包含任何自动化分数都读不到的手动控制项。三种常见做法的对比见安全分数、CIS 基准与 ScubaGear 的区别。如果一份“审计”只是安全分数的打印件，价格也应相应对待。

Brocent 的公开价目

Brocent 的 Microsoft 365 CIS 基准审计按人数定价，一次性、美元计价、不含税：

1–10 人： 450 美元
11–25 人： 990 美元
26–75 人： 1,800 美元
76–150 人： 2,900 美元
150 人以上： 报价

每个档位的范围相同：对照 CIS Microsoft 365 Benchmark 的一级和二级（含手动控制项），覆盖 Entra ID、Defender、Purview、Exchange、SharePoint 和 Teams。您会得到旨在用作常见网络保险问卷和 Cyber Essentials 问题证据的材料、带工作量估算并按优先级排序的路线图，以及一次汇报沟通。授予只读访问后 5–7 个工作日交付报告。当前价目见 Microsoft 365 安全审计定价页。

另有按每用户每月 6–10 美元的管理型方案，包含季度复审。整改由 Brocent 完成时，修复后的复审已包含在内；由客户自行修复后再复审，则按档位价格收费。

扫描与 Microsoft 365 审计如何对比？

它们回答不同的问题，多数组织最终两者都需要。下面把对比放在一处。

漏洞扫描与 Microsoft 365 审计

衡量什么： 扫描衡量系统与应用中的已知弱点；Microsoft 365 审计衡量云租户对照基线的配置情况。
价格由什么决定： 扫描按资产、地址或应用的数量及频率定价；Microsoft 365 审计按用户数定价。
需要您提供什么： 扫描需要范围清单，内部或认证扫描还需要网络或凭据访问；Microsoft 365 审计需要对租户的只读访问，由全局管理员一次性同意。
您会得到什么： 扫描返回按严重程度排序的弱点清单；审计返回对照基准的差距，以及带工作量估算、按优先级排序的路线图。
频率： 扫描通常按月或按季重复；租户审计常为每年一次，管理型方案下为每季一次，重大变更后也应进行。
它不做什么： 两者都不能替代渗透测试，也都不授予或保证认证或保险承保。

如果必须先选一个，就按您被问到的问题来选。保险公司或客户问的是补丁和暴露服务，指向扫描；问的是 MFA、邮箱转发和管理员角色，则指向 Microsoft 365 审计。问题如何对应，见网络保险问卷：Microsoft 365 的证据。

如何比较两份报价？

这类服务的报价很难对齐，因为各家对范围的描述方式不同。请对每家服务商问同样的问题。

这是哪种产品？ 工具授权、交付式扫描，还是配置审计。
具体范围是什么？ 扫描看资产数量与类型；Microsoft 365 看用户数和服务。
基线是什么？ 对 Microsoft 365，问清用的是哪个 CIS Benchmark 版本和级别，是否含手动控制项。
我会收到什么？ 索取示例报告，查看是否有优先级和工作量估算，而不只是一份清单。
是否包含复测？ 条件是什么。
需要什么访问权限？ 只读还是可写，由谁同意。审计应用的情况，可参考只读审计应用会申请哪些权限，批准前逐项核对。
哪些不包含？ 整改通常另计，应单独报价，而不是藏在小时费率里。
价格是否固定，是否含税？ Brocent 的价目为一次性，不含税。

示例报告是最好的比较依据。我们的报告拆解见 Microsoft 365 安全评估报告应包含什么。

一个合理的预算大概是什么样？

只用公开价格来算，数字才诚实。一家 12 人、一个 Microsoft 365 租户的公司，属于 11–25 人档，审计 990 美元。60 人的公司属于 26–75 人档，1,800 美元。140 人的公司属于 76–150 人档，2,900 美元。超过 150 人则需报价。

对扫描而言，合理的做法是先数一数您面向互联网的地址和服务器，决定只需要外部扫描还是内部也要做，然后要求报价按这些口径写明范围。整改要另外预算：扫描或审计告诉您哪里有问题，却不会为纠正这些问题买单。

本文这次改了什么？

本文早先的版本发布过一张竞争对手价格表，以及美国、英国、欧洲、中国、亚太和中东的地区价格区间，数据采集于 2026 年 7 月。本次更新中我们把它删除了：这些数字无法对照一手来源重新核实，而在采购指南里，未经核实的价格不如没有。我们还把 Brocent 早先的 Microsoft 365 审计档位换成了上文的现行公开价目，并把 Microsoft 365 审计费用的详细讨论移到专门的费用文章中，避免两篇文章争夺同一个问题。

保留下来的唯一一个第三方价格，即 Nessus Professional，是 2026 年 11 月 4 日从 Tenable 自己的产品页读取的。价格会变化，依赖任何数字之前请向厂商确认。