检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
如果您只需要将当前基础版域名全部升级为专业版规格,“扫描配额包”的选择等于当前资产列表已添加的网站个数。 如果您需要增加域名配额,即增加扫描的网站个数,“扫描配额包”的选择大于当前资产列表已添加的网站个数,且“扫描配额包”的选择值为您期望的域名配额值。 购买成功后,当前资产列表所有基础版域名默认升级为专业版,享受专业版规格。
登录华为云,在右上角单击“控制台”。 单击右上角的个人账号下的“统一身份认证”,进入“统一身份认证服务”页面。 选择“用户组”,单击用户组名称即可查看角色授权记录。 图1 查看用户组授权记录 切换至“用户管理”页签,可以查看该用户组下的所有用户,也可以将其他用户添加至该用户组。
如果您只需要将当前基础版域名全部升级为专业版规格,“扫描配额包”的选择等于当前资产列表已添加的网站个数。 如果您需要增加域名配额,即增加扫描的网站个数,“扫描配额包”的选择大于当前资产列表已添加的网站个数,且“扫描配额包”的选择值为您期望的域名配额值。 购买成功后,当前资产列表所有基础版域名默认升级为专业版,享受专业版规格。
如何将认证文件上传到网站根目录? 文件认证功能已下线,请参考添加网站使用免认证或一键认证方式。 父主题: 网站扫描类
漏洞管理服务是通过公网访问域名/IP地址进行扫描的,请确保该目标域名/IP地址能通过公网正常访问。 扫描IP加入网站扫描白名单 如果您的网站设置了防火墙或其他安全策略,将导致漏洞管理服务的扫描IP被当成恶意攻击者而误拦截。因此,在使用漏洞管理服务前,请您将以下扫描IP添加至网站访问的白名单中: 119.3.232
maximum allowed limit. 一天内扫描任务的数量达到最大值 请升级套餐 418 VSS.00002011 Generating report, please do not repeat the operation. 报告正在生成中,请勿重复操作 请勿重复操作 418 VSS.00002012
进入网站登录设置入口 在弹出的“编辑”对话框中,将图2中网站的cookie值完整复制到“cookie值”文本框中,如图4所示。 图4 设置cookie登录方式 在“验证登录网址”文本框中输入用于验证登录的网址。 输入登录成功后才能访问的网址,便于漏洞管理服务快速判断您的登录信息是否有效。
成分分析的安全配置类问题如何分析? 成分分析会检测用户包中一些安全配置项是否合规,主要如下: 用户上传的软件包/固件中存在的敏感文件,如(密钥文件,证书文件,源码文件, 调试工具等)。 用户上传的软件包/固件中操作系统中的用户与组配置、硬编码凭证、认证和访问控制等配置类问题。若不存在操作系统,则不涉及。
已添加的域名是否可以删除? 可以删除,但域名删除后,该资产的历史扫描数据将被删除,不可恢复。 父主题: 网站扫描类
为什么执行下载认证文件操作后没有看到下载的认证文件? 创建任务时为什么总是提示域名格式错误? 认证文件有什么用途? 为什么域名一键认证失败? 如何将认证文件上传到网站根目录? 如何对网站进行认证? 如何解决漏洞管理服务中已添加网站的“网站地址”错误的问题? 如何解决网站扫描失败,报连接超时的问题? 漏洞管理服务支持web_CMS漏洞吗?
显示已扫描和未扫描的资产数量和资产总数。 当资产的个数为0时,单击“添加资产”,进入到资产列表界面添加网站或主机。 资产 显示TOP风险前五位的网站或主机的资产。 单击“资产信息”区域右上角的“网站”或“主机”,可查看对应资产的信息。 单击资产可以进入到相应的资产报告详情页。 资产别称
操作场景 该任务指导用户通过漏洞管理服务对已添加的Windows主机授权信息进行编辑。 前提条件 已获取管理控制台的登录账号与密码。 登录用户只支持Administrator。 已添加Windows主机。 操作步骤 登录管理控制台。 在页面上方选择区域或项目后,单击,选择“开发与运维
该任务指导用户通过漏洞管理服务对已添加的Linux主机授权信息进行编辑。 前提条件 已获取管理控制台的登录账号与密码。 已添加Linux主机。 操作步骤 登录管理控制台。 在左侧导航树中,单击,选择“服务列表 > 开发与运维 > 漏洞管理服务”,进入漏洞管理服务页面。 在左侧导航栏,选择“资产列表
操作场景 该任务指导用户测试待扫描的主机与扫描环境的连通性是否正常。 前提条件 已获取管理控制台的登录账号和密码。 已添加主机。 操作步骤 登录管理控制台。 在左侧导航树中,单击,选择“服务列表 > 开发与运维 > 漏洞管理服务”,进入漏洞管理服务页面。 在左侧导航栏,选择“资产列表 >
单击“Open Browser”打开BurpSuite内置浏览器。 在浏览器中访问Web应用,单击需要测试的界面。 回到BurpSuite,单击“Target”。 在“Site map”中选择Web应用对应的域名。 右键选择“save selected items”保存xml文件。
入门实践 当您完成了添加网站和认证域名认证的基本操作后,可以根据自身的业务需求使用漏洞管理服务提供的一系列常用实践。 表1 常用最佳实践 实践 描述 扫描网站信息 扫描具有复杂访问机制的网站漏洞 如果您的网站“www.example.com”除了需要账号密码登录,还有其他的访问机制(例如
白名单内的IP通过SSH登录,启用该功能时请确保将所有需要发起SSH登录的IP地址都加入白名单中。 登录企业主机安全控制台,参考图1,单击“添加白名单IP”。 图1 添加白名单IP 在配置框中输入白名单IP,在“可选云服务器”列表中选择云服务器,如图2所示: 图2 添加SSH登录IP白名单
单击新增网站所在行的“确认”,添加网站成功。 添加网站成功后,“域名信息”自动获取“网站地址”中的信息生成。 单击“下一步”,进入“配置所有权认证”页面。 选择认证类型。 如果待检测站点的服务器搭建在华为云上,且该服务器是您当前登录账号的资产,才可以选择“一键认证”的方式进行快速认证,否则只能选择“免认证”的方式进行认证。
成分分析的扫描原理是什么,主要识别哪些风险? 对用户提供的软件包/固件进行全面分析,通过解压获取包中所有待分析文件,基于组件特征识别技术以及各种风险检测规则,获得相关被测对象的组件BOM清单和潜在风险清单。主要包括以下几类: 开源软件风险:检测包中的开源软件风险,如已知漏洞、License合规等。
如何对网站进行认证? 请参考添加网站对网站进行认证。 父主题: 网站扫描类