漏洞管理服务-华为云

漏洞管理服务-编辑Windows主机授权:相关操作

相关操作配置主机授权后，您可以取消主机授权，取消主机授权后，将不能完全扫描出主机的安全风险。有关取消主机授权的详细操作，请参见取消主机授权。 Windows主机漏洞扫描依赖于WinRM服务开启，如何开启请参见如何开启WinRM服务。开启WinRM服务后，请将如下IP加入可访问您主机上WinRM（HTTPS是5986端口，HTTP是5985端口）的白名单列表中： 119.3.232.114，119.3.237.223，124.70.102.147，121.36.13.144，124.70.109.117，139.9.114.20，119.3.176.1，121.37.207.185，116.205.135.49，110.41.36.44，139.9.57.171，139.9.1.44，121.37.200.40

漏洞管理服务编辑主机授权

漏洞管理服务-下载扫描报告:移动应用安全扫描报告模板说明

移动应用安全扫描报告模板说明下载扫描报告后，您可以根据扫描结果，对漏洞进行修复，报告模板主要内容说明如下：（以下截图中的数据仅供参考，请以实际扫描报告为准）应用基本信息检测应用检测的基本信息和检测概况。图1 应用基本信息应用漏洞检测您可以参考每个组件扫描出的漏洞详细信息修复漏洞。图2 应用漏洞检测应用隐私合规检测图3 应用隐私合规检测应用权限信息检测图4 应用权限信息应用组件信息检测查看软件的所有组件信息。图5 应用组件信息移动应用安全评测依据图6 移动应用安全评测信息隐私数据清单图7 隐私数据清单

漏洞管理服务

漏洞管理服务-支持的服务版本

支持的服务版本移动应用安全扫描仅支持基础版和专业版，详细内容请参见表1。表1 版本说明服务版本支持的计费方式说明基础版免费基础版主要为用户提供体验机会，仅支持安全漏洞扫描。基础版同样提供在线报告查看功能，查看内容仅限安全漏洞项，不包括隐私合规项。每个用户默认拥有5次基础版额度，扫描失败不扣费。专业版包年，按需套餐包计费套餐包规格为10次或1次，可增加扫描配额包。专业版为付费版本，提供全量功能，包含安全漏洞、隐私合规检测。隐私合规紧跟工信部164号发文，针对违规收集个人信息、超范围收集个人信息、频繁索权、过度索权等通报问题进行检测。用户可在线查看扫描报告，并导出PDF格式离线报告。父主题：移动应用安全

漏洞管理服务移动应用安全

漏洞管理服务-支持的服务版本

支持的服务版本漏洞管理服务侧已正式停售二进制成分分析功能，用户无法新购，已购买二进制成分分析相关规格的用户不受影响，可继续使用至套餐包到期。如您需要继续使用同款产品，请在开源治理服务CodeArts Governance中重新购买使用。二进制成分分析扫描仅支持基础版和专业版，详细内容请参见表1。表1 版本说明服务版本支持的计费方式说明基础版免费基础版主要为用户提供体验机会，仅支持开源软件漏洞扫描，扫描文件大小不能超过100M。基础版提供在线报告查看功能，不支持报告下载。每个用户默认拥有5次基础版额度，扫描失败不扣配额。专业版包年，按需套餐包计费套餐包规格为20次或1次，可增加扫描配额包。专业版为付费版本，提供全量功能，包含开源软件漏洞、安全配置、密钥和信息泄露、安全编译选项，扫描文件大小不能超过5G。用户可在线查看扫描报告，并导出PDF格式或Excel格式离线报告。扫描失败时，不扣配额。父主题：二进制成分分析

漏洞管理服务

漏洞管理服务-相关术语说明

相关术语说明开源(open source) 即开放一类技术或一种产品的源代码，源数据，源资产，可以是各行业的技术或产品，其范畴涵盖文化、产业、法律、技术等多个社会维度。开源软件(open source software) 允许用户直接访问源代码，通过开源许可协议将其复制、修改、再发布的权利向公众开放的计算机软件。开源组件(open source component) 是开源软件系统中最小可识别且本身不再包含另外组件的、组件信息可在公共网站获取且可独立分发、开发过程中带有版本号并且可组装的软件实体。开源许可证(open source license) 开源软件的版权持有人授予用户可以学习、修改开源软件，并向任何人或为任何目的分发开源软件的权利。软件成分分析(Software Composition Analysis) 通过分析软件包含的一些信息和特征来实现对该软件的识别、管理、追踪的技术。 PE(Portable Executable) 是Windows系统下的可执行文件的标准格式。 ELF(Executable and Linkable Format) 是一种Unix或Linux系统下的可执行文件，目标文件，共享链接库和内核转储(core dumps)的标准文件格式。 APK(Android application package) 是Android操作系统使用的一种应用程序包文件格式，用于分发和安装移动应用及中间件。 HAP(HarmonyOS application package) 是鸿蒙操作系统使用的一种应用程序包文件格式，用于分发和安装移动应用及中间件。 CVE(Common Vulnerabilities and Exposures) 又称通用漏洞披露、常见漏洞与披露，是一个与信息安全有关的数据库，收集各种信息安全弱点及漏洞并给予编号以便于公众查阅。 CVSS(Common Vulnerability Scoring System) 通用漏洞评分系统，是一个行业公开标准，其被设计用来评测漏洞的严重程度，并帮助确定所需反应的紧急度和重要度，有CVSS 2.0、3.0、3.1标准。固件(firmware) 是一种嵌入在硬件设备中的软件。 NVD National Vulnerability Database国家安全漏洞库。 CNVD China National Vulnerability Database国家信息安全漏洞共享平台。 CNNVD China National Vulnerability Database of Information Security国家信息安全漏洞库。组件依赖保证组件正确运行所依赖的必须加载的其他组件。父主题：二进制成分分析

漏洞管理服务

漏洞管理服务-下载扫描报告:二进制成分分析扫描报告模板说明

二进制成分分析扫描报告模板说明下载扫描报告后，您可以根据扫描结果，对漏洞进行修复，报告模板主要内容说明如下：（以下截图中的数据仅供参考，请以实际扫描报告为准）概览查看目标软件包的扫描漏洞数。图4 查看任务概览信息结果概览统计漏洞类型及分布情况。图5 查看结果概览信息组件列表查看软件的所有组件信息。图6 查看组件列表信息漏洞列表您可以参考每个组件扫描出的漏洞详细信息修复漏洞。图7 查看漏洞列表信息密钥和信息泄露问题列表图8 查看密钥和信息泄露信息安全编译选项问题列表图9 查看安全编译选项信息安全配置检查列表图10 查看安全配置检查列表

漏洞管理服务二进制成分分析

漏洞管理服务-域名配额扩容:操作场景

操作场景该任务指导已购买专业版、高级版或者企业版的用户增加扫描的域名配额。若用户以前使用过基础版（免费体验版）进行扫描，在升级为专业版时，基础版所有的已有域名会占用专业版配额。当前不支持从专业版或者高级版直接升级至企业版，若您是专业版或者高级版用户，并想要使用企业版，请直接购买企业版，为保证您的权益，请您购买企业版后，提工单退订专业版或者高级版。当前不支持仅购买企业版（不购买配额）后再次升级增加配额。如果要想增加配额，请先退订企业版，重新购买。

漏洞管理服务

漏洞管理服务-购买漏洞管理服务:操作场景

操作场景该任务指导用户首次使用漏洞管理服务时，如何购买漏洞管理服务的专业版、高级版和企业版扫描功能。仅支持从专业版升级至高级版，当您是专业版用户时，如果需要将专业版扫描配额包中的二级域名配额升级为一级域名配额，可以直接将专业版升级到高级版。不支持多个版本同时存在。如果是老客户，已购买的版本下存在基础版和专业版，基础版全部免费升级为专业版，版本到期时间以订单到期时间最长的为准。不支持从专业版或高级版直接升级至企业版，当您是专业版或高级版用户时，如果需要使用企业版，请直接购买企业版。为保证您的权益，请您购买企业版后，提工单退订专业版或高级版。购买漏洞管理服务或配额后，不支持直接修改配额，仅支持升级规格，请谨慎操作。如需减少配额请参考如何减少漏洞管理服务配额？。

漏洞管理服务

漏洞管理服务-产品规格差异

产品规格差异漏洞管理服务提供了基础版、专业版、高级版和企业版四种服务版本。其中，基础版配额内的服务免费，部分功能按需计费；专业版、高级版和企业版需要收费。各服务版本支持的计费方式、功能和规格说明如下所示，您可以根据业务需求选择相应的服务版本。表1 各服务版本计费方式服务版本支持的计费方式说明价格详情基础版免费基础版配额内仅支持Web 网站漏洞扫描。免费规格如下: 域名个数：5个; 扫描次数：5个域名（每日总共可以扫描5次）。说明：免费扫描不支持主机漏洞扫描。产品价格详情按需计费将Web漏洞扫描任务升级为专业版规格进行扫描，扫描完成后进行一次性扣费。将主机漏洞扫描任务升级为专业版规格进行扫描，扫描完成后进行一次性扣费（主机扫描一次最多支持20台主机）。专业版包年/包月相对于按需付费，包年/包月购买方式能够提供更大的折扣，对于长期使用者，推荐该方式。包周期计费为按照订单的购买周期来进行结算。高级版包年/包月企业版包年/包月表2 各服务版本功能说明功能基础版专业版高级版企业版常见Web漏洞检测 √ √ √ √ 端口扫描 √ √ √ √ 自定义登录方式 √ √ √ √ Web 2.0高级爬虫 √ √ √ √ 网站指纹识别 √ √ √ √ 扫描任务管理 √ √ √ √ 漏洞查看及管理 √ √ √ √ CVE漏洞扫描 × √ √ √ 弱密码检测 × √ √ √ 网页内容合规检测（文字） × √ √ √ 操作系统漏洞扫描 × √ √ √ 操作系统基线检查 × √ √ √ 中间件基线检查 × √ √ √ 云原生基线扫描 × √ √ √ 查看漏洞修复建议 × √ √ √ 下载扫描报告 × √ √ √ 安全监测（定时扫描） × √ √ √ 网页内容合规检测（图片） × × × √ 网站挂马检测 × × × √ 链接健康检测（死链、暗链、恶意外链） × × × √ 操作系统等保合规检查 × × × √ 支持手动探索文件导入 × × × √ 表3 各服务版本支持的扫描配额说明版本域名/IP个数扫描次数单个任务时长任务优先级单用户并发扫描数基础版 Web漏扫：包含5个二级域名或IP:端口。 Web漏扫：5个域名每日总共可以扫描5次 2小时低默认Web漏扫最大并发为1个域名。专业版 Web漏扫：包含1个二级域名或IP:端口。主机漏扫：包含20个IP地址。无限制高默认Web漏扫最大并发为3个域名。默认主机漏扫最大并发为5个IP。高级版 Web漏扫：默认包含1个一级域名（不限制下属二级域名个数）/IP（不限制端口个数）。主机漏扫：不限制IP地址个数。无限制高默认Web漏扫最大并发为5个域名。默认主机漏扫最大并发为10个IP。企业版 Web漏扫：默认包含5个一级域名（不限制下属二级域名个数）/IP（不限制端口个数）。主机漏扫：不限制IP地址个数。说明：当默认的扫描配额不能满足您的需求时，您可以通过购买扫描配额包增加扫描配额（一个扫描配额包中包含一个一级域名扫描配额）。无限制高默认Web漏扫最大并发为10个域名。默认主机漏扫最大并发为20个IP。说明：更高并发需要，请提交工单联系专业工程师为您服务。父主题：开通漏洞管理服务

漏洞管理服务开通漏洞管理服务

漏洞管理服务-创建用户并授权使用漏洞管理服务:示例流程

示例流程图1 给用户授权服务权限流程创建用户组并授权在 IAM 控制台创建用户组，并授予漏洞管理服务权限“VSS Administrator”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择除漏洞管理服务外（假设当前策略仅包含“VSS Administrator”）的任一服务，若提示权限不足，表示“VSS Administrator”已生效。

漏洞管理服务权限管理

漏洞管理服务-操作指引

操作指引漏洞管理服务使用概览如表1所示。表1 漏洞管理服务使用流程概览子流程说明购买漏洞管理服务漏洞管理服务提供了基础版、专业版、高级版和企业版四种服务版本。其中，基础版配额内的服务免费，部分功能按需计费；专业版、高级版和企业版需要收费。具体操作请参见购买漏洞管理服务。创建扫描任务创建扫描任务即可对网站进行扫描，具体操作请参见创建扫描任务。开启主机扫描开启主机扫描即可对主机进行扫描，具体操作请参见开启主机扫描。新增监测任务新增监测任务即可对资产进行监测，具体操作请参见新增监测任务。查看扫描结果扫描完成后可以通过“任务详情”页面查看扫描结果。网站扫描结果，请参见查看网站扫描详情。主机扫描结果，请参见查看主机扫描详情。

漏洞管理服务

漏洞管理服务-开启主机扫描:前提条件

前提条件已获取管理控制台的登录账号和密码。已添加主机。为了确保扫描成功，在开启主机扫描前，请先完成以下操作。参照编辑Linux主机授权和编辑Windows主机授权完成主机授权。如果主机所在的安全组设置了访问限制，请参见如何解决主机不能访问添加策略允许漏洞管理服务的IP网段访问您的主机。如果用户同时使用了主机安全服务，参见配置SSH登录IP白名单将漏洞管理服务的IP配置为白名单。否则，漏洞管理服务的IP会被当成不信任IP被主机安全服务拦截，造成扫描任务失败。参照测试互通性完成主机与扫描环境的连通性测试。

漏洞管理服务

漏洞管理服务-网站登录设置:操作场景

操作场景该任务指导用户通过漏洞管理服务进行网站登录设置，修改网站信息。如果您的网站页面需要登录才能访问，必须进行网站登录设置，以便漏洞管理服务能为您发现更多安全问题。漏洞管理服务提供了三种登录方式，请您根据您的网站访问限制条件选择登录方式： Web页面登录。如果您的网站仅需要账号密码就可以登录访问，设置该方式即可。 Cookie登录。建议优先配置“Web页面登录”方式。如果发现通过“Web页面登录”仅能扫描到登录界面，无法成功扫描到内部业务系统时，可以根据业务实际认证方式配置“Cookie登录”进行扫描。 Header登录。建议优先配置“Web页面登录”方式。如果发现通过“Web页面登录”仅能扫描到登录界面，无法成功扫描到内部业务系统时，可以根据业务实际认证方式配置“Header登录”进行扫描。以上登录方式根据网站访问情况选择。

漏洞管理服务

漏洞管理服务-生成并下载主机扫描报告:主机漏洞扫描报告模板说明

主机漏洞扫描报告模板说明下载扫描报告后，您可以根据扫描结果，对漏洞进行修复，报告模板说明如下：主机概览查看目标主机的基本信息。图2 查看主机概览信息扫描信息概览查看目标主机的扫描总览信息。图3 查看扫描概览信息系统漏洞扫描详情您可以根据修复建议修复系统漏洞。图4 查看漏洞详情以及修复建议基线检查详情您可以根据修复建议修复基线漏洞。图5 查看基线检查结果以及修复建议当“基线检查”页签无数据显示时，则不会在报告中体现基线检查的信息。

漏洞管理服务

漏洞管理服务-查看主机扫描详情:相关操作

相关操作有关主机扫描得分的计算方法参考如下：扫描任务被创建后，初始得分是一百分，任务扫描完成后，根据扫描出的漏洞级别会扣除相应的分数。主机评分 = 100分 – 高危漏洞数 * 3分/个 – 中危漏洞数 * 2分/个 – 低危漏洞数 * 1分/个。每类漏洞最多计算20个。得分越高，表示漏洞数量越少，主机越安全。如果得分偏低，请根据实际情况对漏洞进行忽略标记，或根据修复建议修复漏洞。漏洞修复后，建议重新扫描一次查看修复效果。有关修复主机漏洞的详细介绍，请参见如何修复扫描出来的主机漏洞？。

漏洞管理服务主机扫描

云服务器内容精选

漏洞管理服务

7*24

备案

专业服务

退订

建议反馈

售前咨询热线