下载文档原格式
智恒科技网站安全应用扫描系统用户使用手册©2019智恒科技◆联系信息公司名称：北京智恒科技科技有限公司销售信箱：*******************技术邮箱：**************************◆版本声明©版权所有2006-2019智恒科技。
本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属智恒科技所有，受到有关产权及版权法保护。
任何个人、机构未经智恒科技的书面授权许可，不得以任何方式复制或引用本文件的任何片断。
WebPecker(v7.0)用户使用手册目录0 (3)1 (4)2 (4)2.1进入“新建项目”窗口 (5)2.2配置“基本选项”选项卡 (5)2.3保存&启动扫描 (6)3 (7)3.1站点列表 (7)3.2追加站点 (8)3.3认证站点 (8)3.4取消认证 (9)4 (10)4.1进入“新建项目”窗口 (10)4.2选项卡与选项 (10)4.3保存 (10)5 (11)5.1刷新 (11)5.2扫描状态 (11)5.3扫描日志和扫描进度 (12)5.4扫描配置 (13)5.5重命名 (13)5.6启动／停止扫描 (14)5.7取消关注 (14)5.8扫描列表 (14)6 (15)6.1饼状图面板 (15)6.2折线图面板 (16)6.3柱状图面板 (17)6.4显示／隐藏图表面板 (17)6.5“所有扫描”面板 (17)6.5.1扫描结果列 (17)6.5.2操作列 (18)6.5.3漏洞统计信息 (18)6.5.4扫描日志和扫描进度 (18)WebPecker(v7.0)用户使用手册6.5.5扫描配置 (18)6.5.6启动／停止扫描 (18)6.5.7目录树 (19)6.5.8漏洞详细信息 (19)7 (20)7.1扫描结果主窗口 (20)7.2扫描快照 (21)7.3漏洞验证 (22)8 (23)9 (23)9.1基本选项 (24)9.1.1项目名称／模板名称 (24)9.1.2扫描起始URL (24)9.1.3扫描范围 (24)9.1.4认证方法 (24)9.2扫描策略 (26)9.3扫描加速 (27) (27) (28) (30) (30) (31) (32)15.1针对报出的漏洞，如何验证？ (32)15.1.1通过“扫描快照”验证 (32)15.1.2通过“漏洞验证”工具验证 (32)15.2如何核对扫描认证结果是否真的成功了? (32)15.3定期删除不需要的扫描数据 (32)15.4WebPecker免费版账号不可使用哪些功能？ (33)15.5CaptureSession插件的使用支持哪些浏览器？ (33)0.注册WebPecker账号●首先，打开浏览器。
中国电信配置核查技术建议书中国电信〔2011〕555 号文件内容如下：根据《关于印发〈中国电信通信网络安全防护管理办法〉的通知》（中国电信〔2010〕531号）文件的规定，为了在工程验收、运行维护、安全检查等环节，规范并落实安全配置工作，集团公司组织编制操作系统、数据库、应用中间件在内的通用安全配置要求。
现印发各省电信公司，从下发之日起执行，相关要求如下：一、配置要求应用范围此配置要求是根据工信部颁布的安全防护标准、结合安全防护检查现状及主流安全厂商的配置规范编制的，是安全配置的通用基本要求。
所有网络系统及其相关配套设备、业务平台、IT系统等在竣工验收、日常运行过程中需遵循此配置要求。
二、配置要求实施与问题反馈各省须根据实际情况，结合专业维护和安全作业计划落实配置要求，并在实施过程中规避对业务的影响。
请各省注意收集配置要求实施过程中遇到的问题，并通过集团公司网络运行维护事业部生产指挥网站运维专题网络安全防护专栏反馈，集团将跟踪各省的应用情况并对相关问题及时解答。
为了在工程验收、运行维护、安全检查等环节，规范并落实安全配置要求，中国电信编制了一系列的安全配置要求及操作指南（中国电信集团555号文），明确了操作系统、数据库、应用中间件在内的通用安全配置要求及参考操作。
该系列安全配置要求及操作指南的结构及名称如下：（1）《中国电信Windows 操作系统安全配置要求及操作指南》（2）《中国电信AIX 操作系统安全配置要求及操作指南》（3）《中国电信HP-UX 操作系统安全配置要求及操作指南》（4）《中国电信Linux 操作系统安全配置要求及操作指南》（5）《中国电信Solaris 操作系统安全配置要求及操作指南》（6）《中国电信MS SQL server 数据库安全配置要求及操作指南》（7）《中国电信MySQL 数据库安全配置要求及操作指南》（8）《中国电信Oracle 数据库安全配置要求及操作指南》（9）《中国电信Apache 安全配置要求及操作指南》（10）《中国电信IIS 安全配置要求及操作指南》（11）《中国电信Tomcat 安全配置要求及操作指南》（12）《中国电信 WebLogic 安全配置要求及操作指南》以上配置核查需要大量的人力对设备进行检查，工作效率较低。
![一体化空气质量监测及报警系统[发明专利]](https://img.taocdn.com/s1/m/a49c596571fe910ef02df8d9.png)
专利名称：一体化空气质量监测及报警系统专利类型：发明专利
发明人：孙煦,蓝睿恒,王彦,王志坚
申请号：CN202011209535.1
申请日：20201103
公开号：CN112614311A
公开日：
20210406
专利内容由知识产权出版社提供
摘要：本发明公开了一种一体化空气质量监测及报警系统，它包括集气管道、检测系统、报警系统及空气动力装置，所述检测系统设置在集气管道内并包括相互电连接的传感器、处理器CPU及无线通信装置，其中传感器包括烟雾传感器、湿度传感器、一氧化碳传感器及挥发性有机物传感器，所述报警系统包括与无线通信装置通信的报警终端、设置在集气管道外侧的LED灯环，在LED灯环外侧设有灯罩，所述LED灯环与处理器CPU电气连接。
本发明得到的一体化空气质量监测及报警系统，对室内空气进行主动收集检测，报警及时，同时对传感器和管道进行集成式安装，能够方便地接入换气管路，同时还能够起到照明作用，安装方便且不影响室内的美观。
申请人：浙江海阔人工智能科技有限公司
地址：315400 浙江省宁波市余姚市经济开发区城东新区冶山路475号1106室
国籍：CN
代理机构：杭州斯可睿专利事务所有限公司
代理人：唐迅
更多信息请下载全文后查看。
中国电信配置核查技术建议书中国电信〔2011〕555 号文件内容如下：根据《关于印发〈中国电信通信网络安全防护管理办法〉的通知》（中国电信〔2010〕531号）文件的规定，为了在工程验收、运行维护、安全检查等环节，规范并落实安全配置工作，集团公司组织编制操作系统、数据库、应用中间件在内的通用安全配置要求。
现印发各省电信公司，从下发之日起执行，相关要求如下：一、配置要求应用范围此配置要求是根据工信部颁布的安全防护标准、结合安全防护检查现状及主流安全厂商的配置规范编制的，是安全配置的通用基本要求。
所有网络系统及其相关配套设备、业务平台、IT系统等在竣工验收、日常运行过程中需遵循此配置要求。
二、配置要求实施与问题反馈各省须根据实际情况，结合专业维护和安全作业计划落实配置要求，并在实施过程中规避对业务的影响。
请各省注意收集配置要求实施过程中遇到的问题，并通过集团公司网络运行维护事业部生产指挥网站运维专题网络安全防护专栏反馈，集团将跟踪各省的应用情况并对相关问题及时解答。
为了在工程验收、运行维护、安全检查等环节，规范并落实安全配置要求，中国电信编制了一系列的安全配置要求及操作指南（中国电信集团555号文），明确了操作系统、数据库、应用中间件在内的通用安全配置要求及参考操作。
该系列安全配置要求及操作指南的结构及名称如下：（1）《中国电信Windows 操作系统安全配置要求及操作指南》（2）《中国电信AIX 操作系统安全配置要求及操作指南》（3）《中国电信HP-UX 操作系统安全配置要求及操作指南》（4）《中国电信Linux 操作系统安全配置要求及操作指南》（5）《中国电信Solaris 操作系统安全配置要求及操作指南》（6）《中国电信MS SQL server 数据库安全配置要求及操作指南》（7）《中国电信MySQL 数据库安全配置要求及操作指南》（8）《中国电信Oracle 数据库安全配置要求及操作指南》（9）《中国电信Apache 安全配置要求及操作指南》（10）《中国电信IIS 安全配置要求及操作指南》（11）《中国电信Tomcat 安全配置要求及操作指南》（12）《中国电信 WebLogic 安全配置要求及操作指南》以上配置核查需要大量的人力对设备进行检查，工作效率较低。
为此，我们针对电信集团的555号文进行了相应产品的定制化开发－－智恒配置核查系统（简称SURERUN CVS系统），运用此系统可以实现自动化对网络设备、操作系统和数据库等与《中国电信〔2011〕555号》的符合性进行检查，从系统部署和集成的层面规避缺省脆弱性的存在。
通过对安全事件的分析，发现安全事件主要由3个方面引起，安全漏洞方面、安全配置方面，以及异常事件等方面。
安全配置通常都是由于人为的疏忽造成，主要包括了账号、口令、授权、日志、IP通信等方面内容，反映了系统自身的安全脆弱性。
由安全配置的不足可能带来非常多的安全隐患，因此对安全配置进行有效的检查和加固成为整体安全体系建设中的重要一环。
（安全漏洞和异常事件方面本文不做讨论）《中国电信〔2011〕555号》对网络设备、操作系统和数据库三大类设备和系统功能和配置方面提出了基本和具体的安全要求。
其中，配置要求适用于工程验收和日常维护，中国电信集团希望通过配置核查系统进行配置的检查，依据相应的配置规范自动发现配置错误，从而实现管理规定和流程信息化。
针对中国电信集团制订的《中国电信〔2011〕555号》系列规范，但在现网的实际落实的过程中，由于人员配备不足和技术能力不够的情况，使得网络中的设备、系统等很大一部分没有有效的执行造成规范在现网中存在较大的落地困难。
同时，每年集团公司对省公司的安全巡检内容中也将涉及《中国电信〔2011〕555号》中的内容，检查的结果直接关系到KPI考核。
因此在省公司层面对《中国电信〔2011〕555号》的落地执行非常关注。
同时，鉴于中国电信网络中的网络设备、主机系统和数据库具有很大的相似性，我们对于《中国电信〔2011〕555号》规范规定的配置核查要求进行定制化开发的核查工具完全可以应用到电信运营商的网络中。
与中国电信诸多合规性配置检查规范类似的有美国的SCAP计划。
由NIST牵头针对技术安全问题提出了一套自动化的计划称为ISAP（information security automation program）来促进FISMA的执行，ISAP出来后延伸出SCAP框架（security content automation protocol），SCAP框架由CVE、CCE、CPE、XCCDF、OVAL、CVSS等6个支撑标准构成（检查的标准，一致性标准等）。
这6个支撑标准需要检查的内容、检查的方式由NVD和NCP来提供，由此SCAP框架就实现了标准化和自动化安全检查，及形成了一套针对系统的安全检查基线。
FDCC（Federal Desktop Core Configuration，联邦桌面的核心配置）是在美国政府以SCAP框架为基础，建立的桌面系统（Windows XP、Windows vista等）相关安全基线要求规范，并通过自动化的工具进行检查。
此项目被媒体誉为美联邦最成功的安全项目，收到的成效显著。
中国电信集团的《中国电信〔2011〕555号》正是制定了一系列类似SCAP的核查规范，针对规范进行自动化检查则成为SCAP在中国电信落地的体现。
智恒配置核查系统，主要实现集中自动化的对省电信三大中心的网络设备、数据库、主机系统等设备的配置进行安全检查，检查的标准遵照《中国电信〔2011〕555号》中相应的检查项进行。
检查后自动生成符合情况报告，并对不符合项提出详细的改进方案。
能为电信提供完善的网络设备安全风险管理，提高电信各中心对新业务系统上线、第三方系统接入和日常安全运维检查和加固的实际效果，并有效降低安全风险的发生概率。
基于电信的网络系统现状和组织结构，计划采用多套硬件版智恒配置核查系统分级部署在网管中心、新业务开发中心和业务支撑中心内，实现分权分区自动化的配置安全核查。
同时，为了实现对第三方接入系统、临时测试系统的配置安全核查，以及满足便携配置安全核查的要求，为各个中心配置一套便携版智恒配置核查系统。
通过该方案的部署实施，形成省电信范围内各中心设备配置安全核查数据的汇总与分析能力。
通过分析处理汇总的核查数据，形成全面的安全配置现状，利于有效利用资源，解决关键问题，降低系统的脆弱性，提高抗风险的能力。
同时，也能周期性的根据集团公司的《中国电信〔2011〕555号》文件进行合规检查，促进集团安全检查的成果。
配置安全核查系统部署示意图配置安全核查系统的组网模式比较简单，可以将其旁路部署在既有网络中。
管理员通过WEB页面登录系统下达核查任务，检查任务既可以远程执行也可以本地执行。
远程执行，通过Telnet、SMB、SSH、RDP、winrm 等形式对待查设备进行配置安全核查，需要保证网络IP可达，并提供待查设备的管理帐户和口令；本地执行，对于网络中不便进行远程核查的目标系统（linux、Windows系统），提供配套的自动化程序，可执行程序在待查设备本地执行后生成报表文件，然后导入到配置安全核查系统中进行汇总和分析。
智恒配置核查系统的应用非常灵活，只要待查设备为支持范围内的网络设备、主机系统等，都能对依据集团公司的《中国电信〔2011〕555号》进行合规性核查，就主要的应用情况来看，主要有以下几种应用：1. 日常运维核查，对现有正在运行的系统设备进行定期检查，发现配置漏洞和错误。
2. 新上线系统核查，在新部署的系统设备上线之前进行必要的配置安全检查，提前发现配置漏洞和错误。
3. 第三方接入核查，对接入电信系统的第三方设备进行配置检查，提前发现配置漏洞和错误。
4. 重大事件前核查，在重大社会活动、集团安全巡检等事件前期，对重点设备、系统进行配置安全核查，提前发现配置漏洞和错误。
多类型设备安全配置核查能够根据依据中国电信555号文规范，判断待查设备的检查项目达标与否，支持百分制对目标系统的达标情况进行打分。
现有智恒配置核查系统的检查对象涵盖了：RedHat/SUSE/ Solaris/AIX/centos/Windows 2003/2008 Server 中英文版本操作系统、Solaris 8/9/10中英文版本操作系统、思科交换机、华为交换机。
LINUX系统检查的内容包括以下部分，分类如下：1. 账号2. 口令3. 授权4. 远程登录5. 补丁6. 日志7. 不必要的服务和端口8. 系统Banner设置9. 登录超时时间设置10. 检查是否删除潜在危险文件11. FTP设置windows系统检查的内容包括以下部分，分类如下：1. 账号2. 口令3. 授权4. 补丁5. 防护软件6. 防病毒软件7. 日志安全要求8. 不必要的服务9. 启动项10. 关闭自动播放功能11. 共享文件夹12. 使用NTFS文件系统13. 网络访问14. 会话超时时间15. 注册表设置对于集团公司《中国电信〔2011〕555号》中新增设备安全规范正式下发后，将在3个月内对智恒配置核查系统完成更新开发，并上线使用；对于集团公司《中国电信〔2011〕555号》中出现修改的设备安全规范，将在1个月完成更新开发，并上线使用。
集中自动化的配置安全核查采用机器语言，运用远程核查与本地核查相结合的方式，在多种复杂应用环境下均可实现自动化的大规模性安全配置检查。
支持协议自动识别，远程通过Telnet、SMB、SSH、RDP、winrm等形式对待查设备进行安全检查，收集设备信息进行全面的合规分析；对于不能远程检查的目标系统，提供配套的自动化程序进行信息获取，并能导入配置安全核查系统中与远程核查任务统一进行汇总分析。
多级多用户分权使用针对现有省电信的组织结构和网络环境中，支持多级多用户分权使用。
多管理员使用配置安全核查系统，对每个使用者能够设定其允许检查的范围，检查过程中不能对目标系统的配置进行任何修改，只能进行安全基线检查工作。
支持集中的管理员功能，能对所有配置安全核查的结果进行统一的查阅和分析。
全面灵活的报表功能综合运用历史数据搜索、对比分析、汇总查看、趋势分析等工具，不仅可直观了解单个系统的问题分布及危害，还可同时掌握多个不同省、市公司、业务系统的综合风险变化情况，从而最终做出安全对比评定。
可为网络安全状况的评定和未来网络建设提供了强有力的决策支撑。
根据不同阅读人员的需要生成各种自定义报告，提供所需的相关数据，从多个视角反映网络的整体配置安全状况。
可对不同的检查点，定义不同的风险分值，对不安全配置分布、危害、平均符合度、设备信息等多视角进行细粒度的统计分析，生成基于不同角色、不同内容和不同格式的报表。
