2.1 自动化漏洞扫描系统_EISS2019深圳站-发布.pdfVIP

自动化漏洞扫描系统开发和应用 李斌 系统建设背景 Ø互联网应用系统大量使用开源软件和应用组件，且系统迭代快，可能 存在各种安全漏洞，依靠手工检测需要投入大量人力。 Ø通过建设自动化漏洞扫描系统，实现安全资产统一管理、漏洞自动化 检测和安全漏洞生命周期管理，提升漏洞发现效率和能力，降低漏洞 被利用风险。 系统建设 目标 安全资产 漏洞 自动化 漏洞 生命 管理 扫描 周期管理 ü IP和端 口 ü 中间件及版本 ü 端 口开放 ü 漏洞确认 ü 组件库及版本 ü 系统和中间件漏洞 ü 漏洞复核 ü 数据库 ü 弱口令 、未授权访问 ü 漏洞跟踪和管理 ü 进程 ü Web安全漏洞 ü 统计和报表 ü 运行用户 ü 域名和URL 系统功能架构 n 安全资产管理模块 n 漏洞扫描模块 n 漏洞管理模块 系统开发和设计思路 1、技术和开发语言 ü Python3 （后台 ） ü Django （Web前端和交互 ） ü MySQL （数据库 ） 2 、设计思路 ü 重度资产管理 ，被动+主动收集 ü 尽量使用成熟开源组件和漏洞扫描模块进行二次开发 ü 架构需有良好的扩展性 ü 考虑POC和漏洞库可维护性 安全资产管理系统 n被动为主 、主动为辅 n全网覆盖 n持续更新 安全资产管理-被动采集模块 利用Agent执行shell命令取服务器上资产信息 ： ü TCP监听端 口、进程ID和进程名 ü 进程运行用户 、进程运行命令 ü 所有部署的应用程序 （微服务列表 ） ü 服务器上用户列表 ü 服务器上类库 ，主要是jar包及版本 （依赖标准化路径 ） 安全资产管理- 主动采集模块 W INDOW S 主机 信 息 U RL列表 特 定组件 和版本信 息 Masscan WIG 运维 自动化平台API Nmap Accesslog 漏洞扫描模块 n调度器统一管理和调度扫描任 务 、管理扫描模块 n扫描模块插拔式增加 n 安全资产管理系统提供输入源 漏洞扫描调度引擎 1、扫描模块注册