- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
整本手册
本章节下载 (2.76 MB)
H3C SecPath SysScan-S[M][A][V]漏洞扫描系统
典型配置举例
Copyright © 2020新华三技术有限公司版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。
除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。
本文档中的信息可能变动，恕不另行通知。
本文档介绍漏洞扫描系统典型配置举例
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
漏洞扫描系统属于网络旁路设备，可以部署在核心交换机上（原则上可达即可扫），并对应不同的网络分配不同的网口地址，定期地对网络中多个不同的网段的主机进行全面、深入的检测，同时生成相应的漏洞解决方案，用户根据这些解决方案来对目标系统和应用做相应的加固和防护，及时将网络的安全风险降到最低。
通过【扫描】>【新增任务】创建一个主机扫描任务。
图3-2 新建任务
基本参数，配置任务名称，其他参数默认。
配置路径：【扫描】>【新增任务】>【基本配置】>【基本参数】。
图3-3 配置基本参数
主机扫描，输入扫描目标，显示认证设置配置功能。
配置路径：【扫描】>【新增任务】>【基本配置】>【主机扫描】。
图3-4 配置主机扫描
点击【手动添加】，弹出新增认证界面窗口。
图3-5 新增认证
配置扫描认证参数，选择目标、协议（支持SMB、SSH、TELNET、SNMP四种协议认证）、端口、用户名、密码。
图3-6 新增认证
点击确定，完成新增认证配置
图3-7 完成配置
点击右上角【保存】按钮，即完成主机递进扫描任务创建
(1) 新建主机扫描任务，未配置认证参数，其他参数与主机递进扫描任务一致。
(2) 扫描结束，2个任务扫描结果，进行对比分析。
(3) 正常情况下扫描出来的主机递进扫描任务结果比未配置认证参数的扫描任务多。
图3-8 验证配置
图4-1 配置组网图
弱口令检测可以使用系统默认的模板也可以自定义弱口令模板，弱口令破解协议支持大部分常用协议如SSH/SMB等。
新建自定义用户和密码字典。
配置路径：【模板】>【数据字典】>【新建字典】。
图4-2 新建字典
通过【扫描】>【新增任务】创建一个主机扫描任务。
图4-3 新增任务
基本参数，配置任务名称，其他参数默认。
配置路径：【扫描】>【新增任务】>【基本配置】>【基本参数】。
图4-4 配置基本参数
主机扫描，输入扫描目标，策略模板选择<账户密码检测>。
配置路径：【扫描】>【新增任务】>【基本配置】>【主机扫描】。
图4-5 主机扫描
破解参数，勾选SMB密码破解，密码字典和用户字典选择步骤（1）创建的字典。
配置路径：【扫描】>【新增任务】>【主机扫描参数】>【破解参数】。
图4-6 破解参数
点击右上角【保存】按钮，即完成主机弱口令扫描任务创建
在账户页面可以看到弱口令账户密码信息。
图4-7 验证配置
图5-1 配置组网图
WEB cookie录制后可以记录页面授权信息，扫描结果更详细全面，可用于扫描需要登录验证的web网页。
通过【扫描】>【新增任务】创建一个WEB扫描任务。
图5-2 新增任务
基本参数，配置任务名称，扫描类型选择WEB扫描，其他参数默认。
配置路径：【扫描】>【新增任务】>【基本配置】>【基本参数】。
图5-3 配置基本参数
WEB扫描，输入扫描目标，点击添加。
配置路径：【扫描】>【新增任务】>【基本配置】>【WEB扫描】。
图5-4 Web扫描
打开内置浏览器，在地址栏输入要录制cookie的目标URL，回车并在网页上输入正确用户名密码登录。
图5-5 录制cookie
点用户登录目标站点进行扫描录制，点击【完成并复制】按钮。
图5-6 完成并复制
将保存好的录制粘贴到下表对应的cookie录制项下。
图5-7 粘贴到cookie录制项
点击右上角【保存】按钮，即完成扫描任务创建，注意：扫描过程不要关闭内置浏览器，关闭会影响扫描结果
1、新建WEB扫描任务，未进行cookie录制，其他参数与cookie录制扫描任务一致。
2、扫描结束，2个任务扫描结果，进行对比分析。
3、查看2个任务对比结果，正常情况下扫描出来的cookie录制扫描任务结果比未配置cookie录制扫描的扫描任务多。
图5-8 验证配置
图6-1 配置组网图
对手动点击提交的URL以及爬虫引擎爬取到的URL进行扫描，主要用于对爬虫引擎做补充。
通讯配置，设置扫描器与产品提供内置端浏览器通信地址，使用当前访问的扫描器IP地址
配置路径：【系统】>【系统配置】>【通讯配置】
图6-2 通讯配置
通过【扫描】>【新增任务】创建一个WEB扫描任务。
图6-3 新建任务
基本参数，配置任务名称，扫描类型选择WEB扫描，执行计划选择“暂不执行”，其他参数默认。
配置路径：【扫描】>【新增任务】>【基本配置】>【基本参数】
图6-4 配置基本参数
WEB扫描，输入扫描目标，点击【添加】
配置路径：【扫描】>【新增任务】>【基本配置】>【WEB扫描】
图6-5 Web扫描
点击右上角【保存】按钮，查看扫描任务列表，点击该扫描任务右侧的【手动爬行】按钮，弹出手动爬行窗口
图6-6 手动爬行
点击【复制】按钮，复制URI内容到剪贴板（一次只限一条）
图6-7 手动爬行
将复制好的URI内容粘贴到内置浏览器的地址栏，并回车；通过内置浏览器用户进行手动点击想要检测页面的URL，点击【提交】按钮，扫描器自动保存所有手动爬行的URL，开始扫描任务。
图6-8 开始扫描
查看扫描结果，目录树显示不只提交的链接扫描，任务在提交链接的基础上，爬行出其他链接进行扫描。
图6-9 验证配置
图7-1 配置组网图
对手动提交的URL进行扫描，只扫描提交的URL，不扫描其余URL。
通讯配置，设置扫描器与产品提供内置端浏览器通信地址，使用当前访问的扫描器IP地址。
配置路径：【系统】>【系统配置】>【通讯配置】。
图7-2 通讯配置
通过【扫描】>【新增任务】创建一个WEB扫描任务。
图7-3 新建任务
基本参数，配置任务名称，扫描类型选择WEB扫描，执行计划选择“暂不执行”，其他参数默认。
配置路径：【扫描】>【新增任务】>【基本配置】>【基本参数】。
图7-4 配置基本参数
WEB扫描，输入扫描目标，点击【添加】；扫描类型选择“被动扫描”。
配置路径：【扫描】>【新增任务】>【基本配置】>【WEB扫描】。
图7-5 Web扫描
点击右上角【保存】按钮，查看扫描任务列表，点击该扫描任务右侧的【被动爬行】按钮，弹出被动爬行窗口。
图7-6 被动爬行
点击【复制】按钮，复制URI内容到剪贴板（一次只限一条）。
图7-7 复制信息
将复制好的URI内容粘贴到内置浏览器的地址栏，并回车；通过内置浏览器，用户手动点击要检测页面的URL，既可以多次点击【提交】按钮进行提交URL，也可以最后一次性提交URL，点击【完成】按钮，扫描器将对所有提交的URL进行漏洞检测。
图7-8 漏洞扫描
查看扫描结果，目录树只显示了提交的链接，扫描任务不进行其他爬行，只对提交的链接进行扫描。
图7-9 验证配置
图8-1 配置组网图
配置认证的数据库扫描结果更加具体详细，扫描的漏洞更全面。
通过【扫描】>【新增任务】创建一个数据库扫描任务。
图8-2 新建任务
基本参数，配置任务名称，扫描类型选择“数据库扫描”，其他参数默认。
配置路径：【扫描】>【新增任务】>【基本配置】>【基本参数】。
图8-3 配置基本参数
数据库扫描，输入扫描目标，显示认证设置配置功能。
配置路径：【扫描】>【新增任务】>【基本配置】>【数据库扫描】。
图8-4 数据库扫描
点击【手动添加】，弹出新增认证界面窗口。
图8-5 手动添加
配置扫描认证参数，选择目标、协议、端口、用户名、密码。
图8-6 配置扫描认证参数
点击【测试连接】，提示“连接成功”。
图8-7 测试连接
点击【确定】，完成新增认证配置。
图8-8 完成配置
点击右上角【保存】按钮，即完成数据库递进扫描任务创建。
(1) 新建数据库扫描任务，未配置认证参数，其他参数与数据库递进扫描任务一致。
(2) 扫描结束，2个任务扫描结果，进行对比分析。
(3) 正常情况下扫描出来的数据库递进扫描任务结果比未配置认证参数的扫描任务多。
图8-9 验证配置
图9-1 配置组网图
基线扫描必须配置扫描目标的认证信息，否则无法扫描出基线漏洞。
通过【扫描】>【新增任务】创建一个基线核查任务。
图9-2 新建任务
基本参数，配置任务名称，扫描类型选择“基线核查”，其他参数默认。
配置路径：【扫描】>【新增任务】>【基本配置】>【基本参数】。
图9-3 配置基本参数
基线核查，输入扫描目标。
配置路径：【扫描】>【新增任务】>【基本配置】>【基线核查】。
图9-4 基线核查
点击【手动添加】，弹出新增认证界面窗口。
图9-5 手动添加
配置扫描认证参数，选择目标、类型、协议、端口、用户名、密码。
图9-6 配置扫描认证参数
点击【测试连接】，提示“连接成功”。
图9-7 测试连接
点击【确定】，完成新增认证配置。
图9-8 完成配置
点击右上角【保存】按钮，即完成基线核查扫描任务创建。
(1) 新建基线核查扫描任务，未配置认证参数，其他参数与配置认证参数基线核查任务一致。
(2) 扫描结束，2个任务扫描结果，进行对比分析。
(3) 正常情况下配置认证参数的基线核查任务结果比未配置认证参数的基线核查任务多，未配置认证参数的基线核查任务一般无法扫描出基线漏洞。
图9-9 验证配置
图10-1 配置组网图
适用于大规模网络的漏洞集中管理。在各级网络中分别部署扫描引擎节点进行漏洞管理，实现高度智能分配资源，引擎节点负载均衡，提高资源利用率，可以有效实现大型网络的统一漏洞管理，提高了漏洞扫描与管理工作的效率。
（1）总节点配置
通过【资产】>【分布式管理器】>【节点管理】，右击本节点，选择节点配置。
功能描述：节点管理主要是对节点树展示、节点配置、节点概览、指定节点安排任务、节点注册、发布通告等功能进行管理。
图10-2 节点配置
图10-3 本机配置
（2）子节点注册
子节点注册需通过配置节点注册，【资产】>【分布式管理器】>【节点管理】
选中节点，右键点击【节点注册】，弹出节点注册界面，填写注册地址和注册授权码，选择相符的网络关系，如下图所示
图10-4 子节点注册
图10-5 节点注册
<注册地址>：填上级的可访问地址；
<注册授权码>：填上级的注册授权码；
<与上级的网络关系>：按实际情况选择；
图10-6 总节点和子节点关联成功
图10-7 配置基本参数
（3）创建分布式任务
通过【扫描】>【新增任务】创建一个分布式任务。
图10-8 新建任务
基本参数，配置任务名称，扫描类型可以选择任意一种扫描类型，以下以主机扫描为例，执行方式选择“负载执行”或“同时执行”，可执行节点选择“按节点属性筛选节点”或“手动指定节点”，其他参数默认。
配置路径：【扫描】>【新增任务】>【基本配置】>【基本参数】。
图10-9 配置基本参数
主机扫描，输入扫描目标，显示认证设置配置功能。
配置路径：【扫描】>【新增任务】>【基本配置】>【主机扫描】。
图10-10 主机扫描
点击右上角【保存】按钮，即完成主机扫描分布式任务创建。
图10-11 分布式任务创建成功
在执行节点环境中查看任务列表，任务列表中会显示由上级节点下发的分布式任务，扫描结束后，扫描结果会上传给上级节点，且下发的任务会自动删除，在上级节点环境中可以查看到扫描结果。
图10-12 执行节点环境查看分布式任务
图10-13 上级节点环境查看分布式任务结果
图11-1 配置组网图
配置告警条件，本地执行和本节点执行的分布式web扫描任务可以进行告警提示。
SMTP设置，设置是用于设置发送告警邮件通知所必须的SMTP服务器信息。
配置路径：【系统】>【任务配置】>【SMTP设置】
图11-2 SMTP设置
通过【资产】>【资产管理器】，新建一个任意扫描类型的资产，以主机资产为例。
图11-3 新建主机资产
资产类型默认为主机，输入资产名称、目标和管理员邮箱，其他参数默认，点击添加保存资产。
图11-4 配置主机资产参数
通过【告警】>【配置】，告警方式默认为页面告警，勾选邮件告警，配置主机漏洞告警条件，从资产中选择告警对象，该告警对象必须已配置邮箱地址，点击确定保存告警条件配置。
图11-5 告警配置
通过【扫描】>【新增任务】创建一个主机告警扫描任务。
图11-6 新建任务
基本参数，配置任务名称，其他参数默认。
配置路径：【扫描】>【新增任务】>【基本配置】>【基本参数】。
图11-7 配置基本参数
主机扫描，输入目标为告警配置中的告警对象。
配置路径：【扫描】>【新增任务】>【基本配置】>【主机扫描】。
图11-8 主机扫描
点击右上角【保存】按钮，即完成主机告警扫描任务创建。
在任务扫描结束后，查看告警界面和告警对象的邮箱，界面会显示符合告警条件的告警记录，邮箱中会接收到告警邮件，查看告警邮件与告警页面中的告警记录一致。
图11-9 页面告警
图11-10 邮件告警
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
