H3C SecPath SysScan-I系列漏洞扫描系统

典型配置

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

1 网络配置举例

1.1 简介

在网络配置功能模块，管理员可以对漏扫设备的各个网络接口进行管理和配置DNS 服务器。所谓网络接口，就是设备用于与其他设备交换扫描结果数据并相互作用的部分，其功能就是完成设备之间的数据交换。物理接口真实存在、有相应的硬件支持，如漏扫系统支持的GE0/0口、GE0/1口GE0/10口等。

1.2 配置思路

(1) 进入系统管理-配置-网络-本机网口配置模块，点击编辑。

(2) 输入相应参数后点击确定。

1.3 配置步骤

1. 进入系统管理-配置-网络-本机网口配置模块，点击编辑

如下图所示，进入系统管理-配置页面，在本机网口配置模块相应接口处，点击按钮。

图1-1 相应接口编辑

2. 输入相应参数后点击确定

如下图所示，输入相应参数后，点击<确定>按钮。

图1-2 编辑保存确定

参数如下表：

参数	说明
接口名称	接口的名称，不能修改。
IPV4 地址	接口的 IPV4 地址。
IPV4 子网掩码	接口的 IPV4 子网掩码。
IPV4 网关	接口的 IPV4 网关说明：如果需要跨网段进行扫描，则必须正确配置网关地址
缺省网关	是否启用 IPV4 缺省网关。
IPV6 配置方式	IPV6 地址的配置方式，可选项有：手动配置和自动获取。
IPV6 地址	接口的 IPV6 地址。仅当配置方式选择“手动配置”时需要手动配置接口的 IPV6 地址。
IPV6 前缀长度	接口的 IPV6 地址前缀长度。说明：IPV6 地址中的前缀相当于 IPV4 地址中的网络 ID，前缀长度即 IPV6 地址中用于表示路由的位数。设备间想要不经过路由器直接通信，要求前缀相同。
IPV6 网关	接口的 IPV6 网关。说明：如果需要跨网段进行扫描，则必须正确配置网关地址。
缺省网关	是否启用 IPV6 缺省网关。
网卡模式	设置接口的网卡模式。可选项有：auto、半双工、全双工

3. 配置完成后效果图

如下图1所示，配置成功后效果如下图。

如下图2所示，页面已成功配置。

图1-3 配置成功效果图

图1-4 配置结果

2 评估任务举例

2.1 简介

评估任务可以对扫描目标进行漏洞扫描和主机的配置扫描，能够发现扫描目标中存在的漏洞（系统漏洞）以及主机配置不合规信息。同时评估任务可以将网络安全评估结果发送至指定邮箱或 FTP 服务器中，提醒管理员进行修复。并支持直接输出任务报表，方便管理员下载后分析资产风险。

2.2 配置思路

(1) 进入新建任务-评估任务。

(2) 配置参数点击确定。

2.3 配置步骤

1. 点击新建任务-评估任务

如下图所示，进入到新建评估任务页面。

图2-1 评估任务页面

2. 配置参数

扫描目标确定后，系统会自动定义任务名称，用户也可以自行定义任务名称。取值范围为 1~256 个字符。如下图所示，配置各种基本参数。

图2-2 基本选项参数

基本参数

参数	描述
扫描目标	支持通过如下方式配置扫描目标设备，最多可输入 10000 行扫描目标信息。  IP 地址：多个 IP 范围或独立 IP 之间使用“,”、“;”、回车、空格分隔。如果 IP 地址前加“!”，表示不扫描该 IP 或 IP 段。具体请参见界面的。  域名：域名格式如 www.example.com，多个域名之间使用“,”、“;”、回车、空格分隔。扫描的域名都指向同一个 IP 地址，还需选中“虚拟主机”。具体请参见界面的。  资产树导入：单击【从资产树导入】，在弹出的对话框中选择扫描目标。  文件导入：单击【浏览】按钮，选择导入文件，单击【导入】按钮，完成从文件导入扫描目标信息。支持导入 txt 文本和 excel 文件中的 IP 地址，DAT格式，txt 文本内容的格式同 IP 地址，excel文件内容的格式请参见导入资产。
任务名称	扫描目标确定后，系统会自动定义任务名称，用户也可以自行定义任务名称。取值范围为 1~256 个字符。
执行方式	 立即执行：即时评估任务。需要立即进行网络安全评估时，可以下达即时评估任务。  定时执行：定时评估任务。需要避开业务高峰期对网络进行安全评估时，可以下达定时评估任务。  每天一次、每周一次、每月一次（按日期）或每月一次（按星期）：周期评估任务。需要定期（每天、每周或每月）对网络系统做安全评估时，可以下达周期评估任务。  高级配置：配置【周期时间】，单击图标，选择多个时间段执行周期扫描任务。
扫描时间段	无论任务是何种执行方式，漏洞扫描系统只能在该时间段内执行扫描任务。
调度优先级	漏洞扫描系统根据调度优先级数值和后台算法判断执行任务的顺序。
任务说明	 在漏洞扫描系统不能直接登录目标主机时，可以使用跳转主机进行扫描，需要预先配置跳转主机的认证信息。  需要保证跳转主机能够连接到目标主机。  只有在通过 SSH、Telnet 方式登录目标主机时，才能配置主机跳转功能。
登录验证	该扫描任务的备注信息

图2-3 任务报表参数

参数如下表：

参数	说明
报表类型	生成报表的类型，支持 HTML、Word、Excel、PDF 格式。
报表内容	l 综述报表：从整体上对评估任务进行综合分析、风险描述和分类展示，并根据不同视角出具漏洞统计图表、操作系统分布、帐号信息和评估标准等。 l 主机报表：针对单个主机进行风险分析和详细描述。包括单个主机的扫描数据的统计信息、各种 Profile 信息、漏洞列表与解决方案等。若需要分析扫描任务中出现的问题，请生成主机报表。
综述/主机报表模板	如果没有合适的报表模板，可以单击“报表模板管理”链接，进入报表模板页面后，添加报表模板
自动生成报表	l 启用后，任务结束时，生成指定类型的离线报表，并根据配置发送报表。此外，生成的离线报表将保存至报表列表中。 l 无论是否启用“自动生成报表”，任务结束时，都自动生成 HTML 格式的在线报表
FTP 上传	只有启用“自动生成报表”参数后，才可以配置该参数。启用：扫描任务完成后，自动将离线报表上传到指定的报表 FTP 服务器。此时需要配置报表 FTP 服务器，具体操作请参见任务配置中的 FTP 服务器设置。
发送报表	只有启用“自动生成报表”参数后，才可以配置该参数。启用：扫描任务完成后，自动向指定的电子邮箱发送离线报表，此时需要配置邮件服务器，具体操作请参见任务配置中的邮件服务器设置。 l 报表类型：报表文件的格式。 l 邮箱地址：接收报表的电子邮箱地址，支持配置 5 个以内的电子邮箱地址，多个电子邮箱地址之间使用“,”、“;”、回车、空格分隔。

图2-4 高级选项参数

高级参数

功能	参数	描述
端口扫描	端口扫描测策略	标准端口扫描：只扫描端口列表中记录的端口。快速端口扫描：只扫描 1~1024 端口。指定端口范围：只扫描指定的端口。
	端口扫描速度	扫描速度越慢，获取的端口开放信息也将会越准确，同时花费时间可能就会越长。
	TCP端口扫描方式	CONNECT：通过直接建立完整的 TCP 连接来判断端口开放情况，此方法快而准确。 SYN：向目标端口发送 SYN 包，依据对方是否回复 ACK 报文来判断端口开放情况。
	UDP扫描	只有选中此项，在端口列表中定义的 UDP 端口才会被扫描。启用 UDP 扫描将会大大增加扫描时间，因此不建议选择此项。
主机存活测试	主机存活测试	勾选启用后，还需设置存活测试使用的具体方法和测试端口，可选方法有：ICMP PING、UDP PING 和 TCP PING。
扫描限制	扫描深度	设置评估任务的扫描深度，值越大，插件获取的信息可能就越多，扫描时间越长。建议使用缺省配置。
	插件超时扫描	单个插件在指定时间内如果未正常结束，将会被调入引擎终止。单位为秒，取值范围为 1～300 秒。
	Socket超时限制	从网络层读数据时，等待的最大超时值。此选项对扫描速度和准确度有较大影响，局域网建议 5 秒， ADSL 建议 15 秒。可视网络速度情况设置 Socket 超时限制，若网速慢，则Socket 超时限制需要设置得久一些。
其他	危险插件扫描	此类插件可能导致系统崩溃或服务中断，通常情况下不建议使用，只有在特定情况下启用（例如：产品评测）。
	扫描前提示被扫描主机	勾选后，在扫描前将在主机中弹出提示信息，用户可按照需要修改提示信息的内容。被扫描主机开启 Messenger 服务才能收到扫描通知消息。
	深度扫描重要网络设备	启用此功能可能导致某些特定型号的网络设备在扫描中出现故障，请谨慎启用。
	扫描调度忽略插件依赖关系	通常情况下，不建议选择此项。漏洞扫描系统内部不同插件有不同分工，例：1 号插件负责判断目标操作系统类型，2 号插件负责扫描 Windows 系统的某一漏洞，那么如果2 号插件依赖于1 号插件的扫描结果，则在 1 号插件发现目标系统不是Windows时引擎可以直接跳过对2 号插件的调度，从而提高扫描速度和扫描准确度。
	启用 oracle 漏洞深度扫描	不勾选：漏洞扫描系统只报出 oracle 相关服务识别和原理扫描漏洞。勾选：漏洞扫描系统报出所有漏洞，包括本地 oracle 漏洞。此时需要新建认证信息，启用并配置漏扫策略的 Oracle 相关参数。
	调试模式	预防出现扫描任务异常时，可以配置该参数。记录扫描任务的执行信息，当任务执行异常，导出异常信息并发送给新华三的技术支持人员进行错误分析。
语言编码	目标系统使用的语言编码。	目标系统使用的语言编码，可选项有：简体中文（GBK）和Unicode（UTF-8）。

3. 点击确定

单击【确定】按钮，进入任务的提示信息页面，如下图所示。

图2-5 任务提示页面

4. 配置完成后效果图

如下图1所示，页面列表已成功展示。

点击任务名称，可进入到任务详情，如下图2所示。

图2-6 任务列表效果图

图2-7 任务详情

3 口令猜测任务举例

3.1 简介

使用模板管理 > 密码字典 > 密码字典中的用户名和密码登录目标主机，若登录成功说明目标主机

中存在脆弱帐号。

3.2 配置思路

(1) 进入新建任务-口令猜测任务。

(2) 配置参数点击确定。

3.3 配置步骤

1. 点击新建任务-口令猜测任务

如下图所示，进入到新建口令猜测任务页面。

图3-1 口令猜测任务页面

基本参数表

参数	描述
扫描目标	支持通过如下方式配置扫描目标设备，最多可输入 10000 行扫描目标信息。  IP 地址：多个 IP 范围或独立 IP 之间使用“,”、“;”、回车、空格分隔。如果 IP 地址前加“!”，表示不扫描该 IP 或 IP 段。具体请参见界面的。  域名：域名格式如 www.example.com，多个域名之间使用“,”、“;”、回车、空格分隔。扫描的域名都指向同一个 IP 地址，还需选中“虚拟主机”。具体请参见界面的。  资产树导入：单击【从资产树导入】，在弹出的对话框中选择扫描目标。  文件导入：单击【浏览】按钮，选择导入文件，单击【导入】按钮，完成从文件导入扫描目标信息。支持导入 txt 文本和 excel 文件中的 IP 地址，DAT格式，txt 文本内容的格式同 IP 地址，excel文件内容的格式请参见导入资产。
任务名称	扫描目标确定后，系统会自动定义任务名称，用户也可以自行定义任务名称。取值范围为 1~256 个字符。
执行方式	 立即执行：即时评估任务。需要立即进行网络安全评估时，可以下达即时评估任务。  定时执行：定时评估任务。需要避开业务高峰期对网络进行安全评估时，可以下达定时评估任务。  每天一次、每周一次、每月一次（按日期）或每月一次（按星期）：周期评估任务。需要定期（每天、每周或每月）对网络系统做安全评估时，可以下达周期评估任务。  高级配置：配置【周期时间】，单击图标，选择多个时间段执行周期扫描任务。
扫描时间段	无论任务是何种执行方式，漏洞扫描系统只能在该时间段内执行扫描任务。
调度优先级	漏洞扫描系统根据调度优先级数值和后台算法判断执行任务的顺序。
任务说明	 在漏洞扫描系统不能直接登录目标主机时，可以使用跳转主机进行扫描，需要预先配置跳转主机的认证信息。  需要保证跳转主机能够连接到目标主机。  只有在通过 SSH、Telnet 方式登录目标主机时，才能配置主机跳转功能。
登录验证	该扫描任务的备注信息

口令猜测参数表

参数	描述
服务类型	选择需要口令猜测的协议，标准模式是用户名和密码使用同一个字典，组合模式是用户名字典和密码字典组合使用。单击【密码字典管理】，可以对默认密码字典进行编辑。口令猜测顺序以密码字典里的用户名或密码顺序为准，先猜用户自定义密码字典，然后猜系统默认密码字典。启用口令猜测有可能导致某些主机账户因扫描中多次登录失败而被锁定，请谨慎启用。
口令猜测时间	一个口令猜测插件的最长运行时间，达到设定的时间则该插件终止运行。
口令猜测频率	对相同目标的相同协议的相邻口令猜测的时间间隔。
猜测次数	对单个资产设备进行口令猜测的次数，0 表示不限制猜测次数。
最大并发线程数	对单个服务进行口令猜测时的并发线程个数。值越大，探测速度越快。

高级参数表

功能	参数	描述
端口扫描	端口扫描测策略	标准端口扫描：只扫描端口列表中记录的端口。快速端口扫描：只扫描 1~1024 端口。指定端口范围：只扫描指定的端口。
	端口扫描速度	扫描速度越慢，获取的端口开放信息也将会越准确，同时花费时间可能就会越长。
	TCP端口扫描方式	CONNECT：通过直接建立完整的 TCP 连接来判断端口开放情况，此方法快而准确。 SYN：向目标端口发送 SYN 包，依据对方是否回复 ACK 报文来判断端口开放情况。
	UDP扫描	只有选中此项，在端口列表中定义的 UDP 端口才会被扫描。启用 UDP 扫描将会大大增加扫描时间，因此不建议选择此项。
主机存活测试	主机存活测试	勾选启用后，还需设置存活测试使用的具体方法和测试端口，可选方法有：ICMP PING、UDP PING 和 TCP PING。
扫描限制	扫描深度	设置评估任务的扫描深度，值越大，插件获取的信息可能就越多，扫描时间越长。建议使用缺省配置。
	插件超时扫描	单个插件在指定时间内如果未正常结束，将会被调入引擎终止。单位为秒，取值范围为 1～300 秒。
	Socket超时限制	从网络层读数据时，等待的最大超时值。此选项对扫描速度和准确度有较大影响，局域网建议 5 秒， ADSL 建议 15 秒。可视网络速度情况设置 Socket 超时限制，若网速慢，则Socket 超时限制需要设置得久一些。
其他	危险插件扫描	此类插件可能导致系统崩溃或服务中断，通常情况下不建议使用，只有在特定情况下启用（例如：产品评测）。
	扫描前提示被扫描主机	勾选后，在扫描前将在主机中弹出提示信息，用户可按照需要修改提示信息的内容。被扫描主机开启 Messenger 服务才能收到扫描通知消息。
	深度扫描重要网络设备	启用此功能可能导致某些特定型号的网络设备在扫描中出现故障，请谨慎启用。
	扫描调度忽略插件依赖关系	通常情况下，不建议选择此项。漏洞扫描系统内部不同插件有不同分工，例：1 号插件负责判断目标操作系统类型，2 号插件负责扫描 Windows 系统的某一漏洞，那么如果2 号插件依赖于1 号插件的扫描结果，则在 1 号插件发现目标系统不是Windows时引擎可以直接跳过对2 号插件的调度，从而提高扫描速度和扫描准确度。
	启用 oracle 漏洞深度扫描	不勾选：漏洞扫描系统只报出 oracle 相关服务识别和原理扫描漏洞。勾选：漏洞扫描系统报出所有漏洞，包括本地 oracle 漏洞。此时需要新建认证信息，启用并配置漏扫策略的 Oracle 相关参数。
	调试模式	预防出现扫描任务异常时，可以配置该参数。记录扫描任务的执行信息，当任务执行异常，导出异常信息并发送给新华三的技术支持人员进行错误分析。
语言编码	目标系统使用的语言编码。	目标系统使用的语言编码，可选项有：简体中文（GBK）和Unicode（UTF-8）。