《安全扫描步骤》由会员分享，可在线阅读，更多相关《安全扫描步骤（6页珍藏版）》请在金锄头文库上搜索。
1、Nmap扫描端口：TCP扫描：Nmap -sS -v -reason -p- -n -Pn -oX tcp4_lan_result 192.168.100.1Nmap -sS -v-reason -p- -n -Pn -oX tcp4_wan_result 30.30.30.30 -oX表示只生成一个文件，若为-oA则生成三个独立的文件Nmap-6 -sS -v -reason -p- -n -Pn -oX tcp6_lan -e eth1 fe80:1 Nmap-6 -sS -v -reason -p- -n -Pn -oX tcp6_wan -e eth1 2012:1Eth1或者eth0
2、等，是PC的网卡序号UDP扫描：V4 20小时，v6 1分钟Nmap -sU -v -reason -p- -n -Pn -oXudp4_lan_result 192.168.100.1Nmap -sU -v -reason -p- -n -Pn -oX udp4_wan_result 30.30.30.30 Nmap -6 -sU-v -reason -p- -n -Pn -oXudp6_lan -e eth1 fe80:1 Nmap-6 -sU -v -reason -p- -n -Pn -oXudp6_wan-e eth1 2012:1SCTP扫描（若产品涉及SCTP需扫描）Nmap -
3、sY -v -reason -p- -n -Pn -oXsctp4_lan_result 192.168.100.1Nmap -sY -v-reason -p- -n -Pn -oX sctp4_wan_result 30.30.30.30 Nmap -6 -sY-v -reason -p- -n -Pn -oXsctp6_lan -e eth1 fe80:1 Nmap-6 -sY-v -reason -p- -n -Pn -oXsctp6_wan -e eth1 2012:1导出结果Nessus扫描漏洞AppScan扫描 WEB漏洞Codenomicon 扫描工具分类端口扫描*系统层漏洞扫描
4、*工工具名称具供应商类型免Nmap 工 /具Nessus 商 NessusWeb安全扫描*APPSCA用N 工协议畸形报文测试Codenomi用Codenomicon 工 con协议畸形报文测试HUTAFxDefend自 研 工 具华为中研测试工具部代码安全审计CoverityIntegrityCenter商用工 Coverity具代码安全审计FortifySCAFortify防病毒软件OfficeSca 用n 工趋势科技具商数据库安全测试NGSSQui 用NGSsoftwrreL 工 are具术语表术语定义敏感数据的具体范围取决于产品具体的应用场景，产品应根据风险进行分析和判口令、银行帐号、
5、大批量个人数据、用户通信内容和密钥等。一类如果丢失或者 敏感数造成负面影响的数据。据 本基线定义的“敏感数据”包括但不限于：口令、通行码、密钥、证书、License、容）、授权凭据、个人数据（如姓名、住址、电话等）、金融数据等。在程序文备份文件及数据库中都有可能包含敏感数据。原始通通信双方（只要其中一方涉及自然人）之间的实际通信内容，包括语音类、短业务（如即时消息、Email、视频通信、网页浏览等）类等信内容合法监-指合法监听相关的事件信息，如监听目标（通信参与方）、监听时间、通信时间、通信时长等，不包括通听敏感1工鼻信内容信息指直接通过该数据或者结合该数据与其他的信息，可以识别出自然人的信息
6、。个人数据匿名化指对个人数据进行的更改（例如单向散列、截短、替换等，如需保留个人数据真实值与替换值之间的对应 关系，可以使用对称加密或映射表方式，但密钥/映射表必须由运营商控制），使原来有关个人的信息不 再能归属到一个可识别的自然人，或推理这种归属需要耗费过多、不相称的时间、费用和精力。来源：德 国个人数据保护法、人指对数据删除之后不可恢复，或者恢复需要付出过多、不相称的时间、费用和精力。例如：对RAM （内 安全删,、，i、，,，、，i工 ，工 ,、，i ,、，、一人 存）用新的数据覆盖或下电；对磁盘分区进行低格、对磁盘文件重写三次或以上、对磁盘进行消磁、粉碎； 除对CD进行物理粉碎等。来源
7、：参考德国合作项目顾问建议工、可绕过系统安全机制（认证、权限控制、日志记录等）对系统或数据进行访问的功能（如客户无法管理的 未公开卜固定口令/隐藏账号机制、不记录日志的非查询操作等）及产品资料中未向客户公开的命令/外部接口（如接口隐藏命令/参数、隐藏端口等接入方式）通过Internet或局域网远距离访问设备的接入方式远程访问对于涉及产品知识产权、高危操作、可外部调用的内部接口等不期望向所有客户人员公开的内容，不在正 受限公式发布的面向所有客户的产品资料中公开，仅主动向客户/政府特定人员公开或仅在客户要求时再公开（与 开 客户签署保密协议），以规避因实现细节过度公开而导致的安全风险。在正式发布的
8、面向客户的产品资料中需注明受限公开资料的获取方式/途径。增值服欧盟2002年58号文一一任何要求对数据流（traffic data）或数据流以外的位置数据进行处理的服务，不 务包括为了必要的通信传输和计费目的所需要处理的数据流。操作员的帐号等。SSL（Secure Socket Layer）位于应用层和传输层之间，它可以为任何基于TCP等可靠连接的应用层协议提供安全性保证。SSL协议实现的安全机制包括：1、数据传输的机密性：利用对称密钥算法对传输的数据进行加密。2、身份认证机制：基于证书利用数字签名方法对服务器和客户端进行身份验证，其中客户端的身份认证是可选的。3、消息完整性验证：消息传输过程
9、中使用基于MD5或SHA的MAC算法来检验消息的完整性。SSL协议TLS协议操作员业务系统分配给局方或者厂家人员用于对本业务系统进行业务运作、系统管理以及维护的帐号，如营业厅 帐号SSL的全称是“Secure Sockets Layer”，中文名为“安全套接层协议层”。SSL协议指定了一种在应 用程序协议（如HTTP、Telenet、NMTP和FTP等）和TCP/IP协议之间提供数据安全性分层的机制， 它为TCP/IP连接提供数据加密、服务器认证、消息完整性以及可选的客户机认证。TLS协议设计的具体目标是解决两个通信实体之间的数据的保密性和完整性等，总体目标是为了在因特 网上统一 SSL的标准
10、。因此，在协议构成方面，TLS几乎与SSL协议一样，主要分为TLS记录协议与 TLS握手协议。TLS记录协议与SSL记录协议基本一致，字段的内容也基本相同。TLS记录协议也有4 种类型的客户：握手协议、警告协议、改变密码规格协议和应用数据协议等。为了便于TLS的扩展，TLS 记录协议还支持额外的记录类型。TLS建立会话协商的参数、握手协议过程等与SSL 一致TLS:（TLS： Transport Layer Security Protocol） 安全传输层协议（TLS）用于在两个通信应用程序之间提供保密性和数据完整性。该协议由两层组成：TLS记录协议(TLS Record)和TLS握手协议(T
11、LS Handshake)。较低的层为TLS记录协议，位于某个可靠的传输协议(例如TCP)上面。TLS记录协议提供的连接安全性具有两个基本特性SSH协SSH(the Secure Shell),是一个很流行的、强大的、基于软件的网络安全工具。任何时候，只要电脑向网 议络上发送数据，SSH都会自动加密。当接受到数据时，SSH会自动解密。简单网络管理协议(SNMP： Simple Network Management Protocol)是由互联网工程任务组(IETF：Internet Engineering Task Force)定义的一套网络管理协议。该协议基于简单网关监视协议(SGMP： SN
12、MP Simple Gateway Monitor Protocol)。利用SNMP，一个管理工作站可以远程管理所有支持这种协议的网络设备，包括监视网络状态、修改网络设备配置、接收网络事件警告等,SNMPv3是在SNMPv2基础之上 增加、完善了安全和管理机制.IPSec是一套用来通过公共IP网络进行安全通讯的协议格式，它包括数据格式协议、密钥交换和加密算 IPSec法等sftp是Secure File Transfer Protocol的缩写，安全文件传送协议。可以为传输文件提供一种安全的加密 SFTP方法。程序由程序使用的帐号，例如在某程序中实现SFTP自动传输文件的功能，那么在这帐号现S
13、FTP自动登录的帐号即为程序帐号。最终用户属于业务范畴的帐户，如手机号、eMail用户帐号等。帐号身份验证用户身份的真实性。认证方法有基于用户所知道的、基于用户所拥有的、认证 常见的用户身份认证有：口令认证、智能卡认证、动态口令认证、数字证书认 加密FTP、HTTP、Telnet协议都是以明文传输的应用层协议，传输过程中存在被窃听的 协议HTTPS、SSH是分别与之对应的加密应用层协议。、用来导出主密钥的密钥。一般为操作员输入或者写死在代码中，写死在代码中时 初始_ 理”相关的要求。公司开发的加密库，其中包含了密钥导出函数：PKCS5-derive 密钥函数导出加密的密钥。Java中请参考类P
14、BEKeySpec。主密用来加密(使用对称算法)工作密钥的密钥。一般是使用密钥导出算法对初始密 钥场景下，主密钥就是工作密钥，但一般不建议。工作用来加密(使用对称算法或者HMAC算法)业务中敏感数据的密钥。一般是随 密钥是由用户/操作员输入、然后使用密钥导出算法计算得到范围、目标和任务0工作范围：所有合作产品版本。0工作目标：版本在交付华为验收时，均能满足产品安全规范的要求。0工作任务：所有合作产品版本需根据安全规范，在需求、设计、开发、 测试、发布阶段落实安全要求，确保满足华为产品网络安全规范的要求。-合作方应根据安全要求，将安全作为产品需求的一部分纳入产品规划。-合作方应对产品在需求、设计
15、、开发、测试、发布等环节对研发文档（包括但不限于需求文档、系统设计文档、详细设计文档、测试方案、 测试用例、产品手册、版本变更记录、特性变更记录）、工具（包括但 不限于编程工具、编译工具、测试工具、配置管理工具）、源码、变更（包括但不限于需求变更、设计变更、方案变更、版本变更）、产品版 本（包括但不限于系统软件版本管理、硬件版本管理、其它配套件版本 管理）等要有清晰的记录和管理，以确保可追溯性。合作方应在编码阶段进行代码安全扫描，解决高风险的代码安全问 题；应提供通信矩阵并说明所有开放端口的用途，测试阶段进行病毒扫 描、端口扫描、漏洞扫描和Web安全测试。软件安全：业务流程维度措施措施要求发包时在工作任务书（SOW）中明确网络安全部分质量目标及验收标准，以及必做的规范动作。验收准入条件中增加网络安全要求；合作公司应根据SOW中
