应用系统性能测试 软件产品测试-CNAS/CMA 第三方检测需要注意些什么

漏洞评估的发展大致可以分为两个阶段：
一个发展阶段的特性是安全测试工具，用户使用这类工具，尽可能模拟攻击行为，为进一步分析系统的缺陷提供测试数据。代表性产品有早起的Nmap、Nessus、Nikto等；这个阶段模拟攻击的测试工具，围绕“探测与发现”，更多关注某个具体的漏洞，比如弱口令、操作系统的某个漏洞、CGI的某个漏洞网路协议的某个漏洞。集中在“探测与发现”能力上，在提供给用户解决方案上存在不足；同时该阶段的漏洞评估产品基本没有考虑基于扫描结构的后期分析、统计；无法帮助用户对资产的漏洞进行方便的管理。
二个发展阶段是安全评测与管理工具，融入了资产、风险管理等概念，为用户提供了更为的漏洞评估和资产管理能力。这个阶段以IT资产为核心，侧重于漏洞生命周期管理。单靠完成检测而不能实现真正意义上的漏洞修复闭环，已经不能应对日益变化的安全漏洞形势，因此安全漏洞扫描基于漏洞扫描核心技术，并将IT资产与风险漏洞相结合，在尽可能准确发现网络主机的安全漏洞之余，还可以协助管理员进行漏洞修补。所以安全漏洞扫描服务是进一步加强了“探测与发现”漏洞性，同时增强了帮助用户“管理漏洞”侧重“修复”的能力。在发现的基础上，对每个漏洞给出详细信息和一些修补建议。
漏洞扫描是指基于漏洞数据库，通过扫描等手段对的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用漏洞的一种安全检测（渗透攻击）行为。

安全漏洞扫描功能
1、定期的网络安全自我检测、评估
配备漏洞扫描系统，网络管理人员可以定期的进行网络安全检测服务，安全检测可帮助客户可能的安全隐患，尽可能早地发现安全漏洞并进行修补，有效的利用已有系统，优化资源，提高网络的运行效率。
2、 安装新软件、启动新服务后的检查
由于漏洞和安全隐患的形式多种多样，安装新软件和启动新服务都有可能使原来隐藏的漏洞暴露出来，因此进行这些操作之后应该重新扫描系统，才能使安全得到**。
3、网络建设和网络改造前后的安全规划评估和成效检验
网络建设者必须建立整体安全规划，以统领全局，高屋建瓴。在可以容忍的风险级别和可以接受的成本之间，取得恰当的平衡，在多种多样的安全产品和技术之间做出取舍。配备网络漏洞扫描/网络评估系统可以让您很方便的进行安全规划评估和成效检验网络的安全系统建设方案和建设成效评估。
4、网络承担重要任务前的安全性测试
网络承担重要任务前应该多采取主动防止出现事故的安全措施，从技术上和管理上加强对网络安全和信息安全的重视，形成立体防护，由被动修补变成主动的防范，把出现事故的概率降到低点。配备网络漏洞扫描/网络评估系统可以让您很方便的进行安全性测试。
5、网络安全事故后的分析调查
网络安全事故后可以通过网络漏洞扫描/网络评估系统分析确定网络被攻击的漏洞所在，帮助弥补漏洞，尽可能多得提供资料方便调查攻击的来源。
6、重大网络安全事件前的准备
重大网络安全事件前网络漏洞扫描/网络评估系统能够帮助用户及时的找出网络中存在的隐患和漏洞，帮助用户及时的弥补漏洞。

现有网络安全扫描软件通常分为资产收集与漏洞扫描两大模块，其中的漏洞扫描模块利用配置的插件，对已有的网络资产进行扫描，在发现漏洞之后，发送邮件进行告警。其主体与插件都利用使用python实现，其支持2种插件类型、标示符与脚本，均可通过web控制台进行添加。
网络安全扫描软件在运行插件时，若返回非空则有漏洞，为空则没有漏洞，此逻辑过于简陋，导致无法根据不同的情况返回不同的信息。

漏洞扫描犹如体检一般，通过漏洞扫描工具，我们可以定期对计算机系统、软件、应用程序或网络接口进行扫描，从而发现信息安全存在的潜在威胁，及时采取防御措施、风险。
1、OpenVAS漏洞扫描工具
OpenVAS漏洞扫描器是一种漏洞分析工具，由于其的特性，IT部门可以使用它来扫描服务器和网络设备。
这些扫描器将通过扫描现有设施中的开放端口、错误配置和漏洞来查找IP地址并检查任何开放服务。扫描完成后，将自动生成报告并以电子邮件形式发送，以供进一步研究和更正。
OpenVAS也可以从外部服务器进行操作，从的角度出发，从而确定暴露的端口或服务并及时进行处理。如果您已经拥有一个内部事件响应或检测系统，则OpenVAS将帮助您使用网络渗透测试工具和整个警报来改进网络。
2、Nessus漏洞扫描工具
Professional是一款面向安全人士的工具，负责修补程序、软件问题、恶意软件和广告软件工具，以及各种操作系统和应用程序的错误配置。
Nessus提供了一个主动的安全程序，在利用漏洞入侵网络之前及时识别漏洞，同时还处理远程代码执行漏洞。
它关心大多数网络设备，包含虚拟、物理和云基础架构。
3、Nexpose community
Nexpose community是由Rapid7开发的漏洞扫描工具，它是涵盖了大多数网络检查的开源解决方案。
这个解决方案的多功能性是IT管理员的一个优势，它可以被整合到一个Metaspoit框架中，能够在任何新设备访问网络时检测和扫描设备。
它还可以真实世界中的漏洞暴露，重要的是，它可以进行相应的修复。此外，漏洞扫描程序还可以对威胁进行风险评分，范围在1-1000之间，从而为安全在漏洞被利用之前修复漏洞提供了便利。Nexpose目前可免费试用一年。
4、Nikto
Nikto是另一个免费的在线漏洞扫描工具，如Nexpose community。
Nikto可帮助您了解服务器功能，检查其版本，在网络服务器上进行测试以识别威胁和恶意软件的存在，并扫描不同的协议，如https、httpd、http等。
还有助于在短时间内扫描服务器的多个端口，Nikto因其效率和服务器强化功能而受到青睐。
5、Retina
Retina漏洞扫描工具是基于Web的开源软件，从中心位置负责漏洞管理。它的功能包括修补、合规性、配置和报告。
负责数据库、工作站、服务器分析和Web应用程序，完全支持VCenter集成和应用程序扫描虚拟环境;它负责多个平台，提供完整的跨平台漏洞评估和安全性。
我们公司将坚持以人为本，构建和谐发展的新环境，建立现代企业制度，规范运作，坚持走科技兴企、质量兴企之路，遵循“团结协作、严谨求实、开拓创新”的企业精神，精心打造产品，向新老客户提供满意的服务。
http://gdzx2020.b2b168.com