产品规格差异 漏洞扫描服务提供了基础版、专业版、高级版和企业版四种服务版本。其中，基础版配额内的服务免费，部分功能按需计费；专业版、高级版和企业版需要收费。 VSS各服务版本支持的计费方式、功能和规格说明如下所示，您可以根据业务需求选择相应的服务版本。 表1 VSS各服务版本计费方式 服务版本 支持的计费方式 说明 价格详情 基础版 配额内的服务免费 按需计费 基础版配额内仅支持Web网站漏洞扫描（域名个数：5个，扫描次数：5个域名每日总共可以扫描5次）是免费的。 基础版提供的以下功能按需计费： 可以将Web漏洞扫描或主机漏洞扫描任务升级为专业版规格进行扫描，扫描完成后进行一次性扣费。 主机扫描一次最多支持20台主机。 产品价格详情 专业版 包年/包月 相对于按需付费，包年/包月购买方式能够提供更大的折扣，对于长期使用者，推荐该方式。包周期计费为按照订单的购买周期来进行结算。 高级版 包年/包月 企业版 包年/包月 表2 VSS各服务版本功能说明 功能 基础版 专业版 高级版 企业版 常见Web漏洞检测 √ √ √ √ 端口扫描 √ √ √ √ 自定义登录方式 √ √ √ √ Web 2.0高级爬虫 √ √ √ √ 网站指纹识别 √ √ √ √ 扫描任务管理 √ √ √ √ 漏洞查看及管理 √ √ √ √ CVE漏洞扫描 × √ √ √ 弱密码检测 × √ √ √ 网页内容合规检测（文字） × √ √ √ 操作系统漏洞扫描 × √ √ √ 操作系统基线检查 × √ √ √ 中间件基线检查 × √ √ √ 扫描完毕短信通知 × √ √ √ 查看漏洞修复建议 × √ √ √ 下载扫描报告 × √ √ √ 安全监测（定时扫描） × √ √ √ 网页内容合规检测（图片） × × × √ 网站挂马检测 × × × √ 链接健康检测（死链、暗链、恶意外链） × × × √ 操作系统等保合规检查 × × × √ 支持手动探索文件导入 × × × √ 表3 VSS各服务版本支持的扫描配额说明 版本 域名/IP个数 扫描次数 单个任务时长 任务优先级 单用户并发扫描数 基础版 Web漏扫：包含5个二级域名或IP:端口。 Web漏扫：5个域名每日总共可以扫描5次 2小时 低 默认Web漏扫最大并发为1个域名。 专业版 Web漏扫：包含1个二级域名或IP:端口。 主机漏扫：包含20个IP地址。 无限制 高 默认Web漏扫最大并发为3个域名。 默认主机漏扫最大并发为5个IP。 高级版 Web漏扫：默认包含1个一级域名（不限制下属二级域名个数）/IP（不限制端口个数）。 主机漏扫：不限制IP地址个数。 无限制 高 默认Web漏扫最大并发为5个域名。 默认主机漏扫最大并发为10个IP。 企业版 Web漏扫：默认包含5个一级域名（不限制下属二级域名个数）/IP（不限制端口个数）。 主机漏扫：不限制IP地址个数。 说明： 当默认的扫描配额不能满足您的需求时，您可以通过购买扫描配额包增加扫描配额（一个扫描配额包中包含一个一级域名扫描配额）。 无限制 高 默认Web漏扫最大并发为10个域名。 默认主机漏扫最大并发为20个IP。 说明： 更高并发需要，请提交工单联系专业工程师为您服务。 一级域名指用户通过华为云或者第三方域名注册商，购买注册的域名。 二级域名指无需购买注册，可直接在一级域名下添加的子域名。 例如：一级域名：example.com, example.com.cn，二级域名：test.example.com, test.example.com.cn，详细请参考域名注册。

产品规格差异 漏洞扫描服务提供了基础版、专业版、高级版和企业版四种服务版本。其中，基础版配额内的服务免费，部分功能按需计费；专业版、高级版和企业版需要收费。 VSS各服务版本支持的计费方式、功能和规格说明如下所示，您可以根据业务需求选择相应的服务版本。 表1 VSS各服务版本计费方式 服务版本 支持的计费方式 说明 价格详情 基础版 配额内的服务免费 按需计费 基础版配额内仅支持Web网站漏洞扫描（域名个数：5个，扫描次数：5个域名每日总共可以扫描5次）是免费的。 基础版提供的以下功能按需计费： 可以将Web漏洞扫描或主机漏洞扫描任务升级为专业版规格进行扫描，扫描完成后进行一次性扣费。 主机扫描一次最多支持20台主机。 产品价格详情 专业版 包年/包月 相对于按需付费，包年/包月购买方式能够提供更大的折扣，对于长期使用者，推荐该方式。包周期计费为按照订单的购买周期来进行结算。 高级版 企业版 表2 VSS各服务版本功能说明 功能 基础版 专业版 高级版 企业版 常见Web漏洞检测 √ √ √ √ 端口扫描 √ √ √ √ CVE漏洞扫描 √ √ √ √ 自定义登录方式 √ √ √ √ Web 2.0高级爬虫 √ √ √ √ 网站指纹识别 √ √ √ √ 扫描任务管理 √ √ √ √ 漏洞查看及管理 √ √ √ √ 弱密码检测 × √ √ √ 网页内容合规检测（文字） × √ √ √ 操作系统漏洞扫描 × √ √ √ 操作系统基线检查 × √ √ √ 中间件基线检查 × √ √ √ 扫描完毕短信通知 × √ √ √ 查看漏洞修复建议 × √ √ √ 下载扫描报告 × √ √ √ 安全监测（定时扫描） × √ √ √ 网页内容合规检测（图片） × × × √ 网站挂马检测 × × × √ 链接健康检测（死链、暗链、恶意外链） × × × √ 操作系统等保合规检查 × × × √ 支持手动探索文件导入 × × × √ 表3 VSS各服务版本支持的扫描配额说明 版本 域名/IP个数 单个任务时长 任务优先级 单用户并发扫描数 基础版 Web漏扫：包含5个二级域名或IP:端口。 Web漏扫：5个域名每日总共可以扫描5次。 2小时 低 默认Web漏扫最大并发为1个域名。 专业版 Web漏扫：包含1个二级域名或IP:端口。 主机漏扫：包含20个IP地址。 无限制 高 默认Web漏扫最大并发为3个域名。 默认主机漏扫最大并发为5个IP。 高级版 Web漏扫：默认包含1个一级域名（不限制下属二级域名个数）/IP（不限制端口个数）。 主机漏扫：不限制IP地址个数。 无限制 高 默认Web漏扫最大并发为5个域名。 默认主机漏扫最大并发为10个IP。 企业版 Web漏扫：默认包含5个一级域名（不限制下属二级域名个数）/IP（不限制端口个数）。 主机漏扫：不限制IP地址个数。 说明： 当默认的扫描配额不能满足您的需求时，您可以通过购买扫描配额包增加扫描配额（一个扫描配额包中包含一个一级域名扫描配额）。 无限制 高 默认Web漏扫最大并发为10个域名。 默认主机漏扫最大并发为20个IP。 说明： 更高并发需要，请提交工单联系专业工程师为您服务。

安全重保解决方案 表1 规格清单 一级分类 二级分类 规格名称 规格描述 重保解决方案 备战 暴露面风险评估 从外网扫描发现暴露端口扫描。 资产识别与管理 支持手工录入&excel批量导入。 web漏洞扫描 对SQL注入、跨站脚本攻击、跨站请求伪造、安全配置错误、敏感信息泄露等多种Web常规漏洞进行扫描。 扫描任务最多支持10个资产。 漏洞扫描不支持多协议登录扫描，如：不支持SMB协议。 同一资产不支持同时在多个任务中发起扫描。 不支持防火墙云管理模式。 主机漏洞扫描 支持高危漏洞扫描、热点漏洞扫描、弱密码扫描、数据库扫描 实战 入侵检测防御 支持IPS、AV、弱密码、OGNL注入、暴力破解、RCE、反序列化攻击、Webshell、SQL注入检测。 黑白名单功能 支持通过黑名单对攻击源IP进行封禁，也支持通过白名单设置例外情况。 威胁防护识别库实时更新 设备的IPS/AV库每天更新一次。 自动化威胁检测 90%+威胁实现自动化检测。 重保威胁信息生产 支持生产输出攻击源IP在局点之间共享。 重保威胁检测 支持基于重保威胁库，对攻击源IP进行标注，标识是否是攻击队IP。 重保威胁信息查看 支持查看IP、文件、域名情报详情。 决战 定期安全报告 支持查看3个月内任意指定时间段的安全统计信息，包括：攻击数量、告警事件类型分布、以及历史趋势变化。 紧急安全通知 支持短信、邮件、APP方式通知到用户。 安全事件专家分析 支持后台人工分析。 MSSP代维 提供定制化MSSP作业界面，能够对多站点进行管理。 安全态势大屏 可以通过大屏查看整体健康度，近期攻击事件和变化趋势。 威胁自动阻断 对于特征明显的攻击在天关直接阻断，其余攻击上送云端研判后通过下发黑名单阻断。

功能总览 功能总览 全部 漏洞扫描服务 网站漏洞扫描 主机漏洞扫描 安全监测 移动应用安全 二进制成分分析 漏洞扫描服务 漏洞扫描服务（Vulnerability Scan Service，简称VSS）是针对网站、主机、移动应用、软件包/固件进行漏洞扫描的一种安全检测服务，目前提供通用漏洞检测、漏洞生命周期管理、自定义扫描多项服务。扫描成功后，提供扫描报告详情，用于查看漏洞明细、修复建议等信息。 Web网站扫描：采用网页爬虫的方式全面深入的爬取网站url，基于多种不同能力的漏洞扫描插件，模拟用户真实浏览场景，逐个深度分析网站细节，帮助用户发现网站潜在的安全隐患。同时内置了丰富的无害化扫描规则，以及扫描速率动态调整能力，可有效避免用户网站业务受到影响。 主机扫描：经过用户授权（支持账密授权）访问用户主机，漏洞扫描服务能够自动发现并检测主机操作系统、中间件等版本漏洞信息和基线配置，实时同步官网更新的漏洞库匹配漏洞特征，帮助用户及时发现主机安全隐患。 移动应用安全：对用户提供的安卓、鸿蒙应用进行安全漏洞、隐私合规检测，基于静态分析技术，结合数据流静态污点跟踪，检测权限、组件、网络、等APP基础安全漏洞，并提供详细的漏洞信息及修复建议。 二进制成分分析：对用户提供的二进制软件包/固件进行全面分析，通过解压获取包中所有待分析文件，基于组件特征识别技术、静态检测技术以及各种风险检测规则，获得相关被测对象的组件BOM清单和潜在风险清单，并输出一份专业的分析报告。 发布区域：华北-北京四、华北-北京一、华东-上海一、华东-上海二、华南-广州、华南-广州-友好用户环境、华北-乌兰察布一、华南-深圳、西南-贵阳一、中国-香港 VSS产品介绍 VSS快速入门 VSS用户指南 网站漏洞扫描 丰富的漏洞规则库，可针对各种类型的网站进行全面深入的漏洞扫描，提供专业全面的扫描报告 具有OWASP TOP10和WASC的漏洞检测能力，支持扫描22种类型以上的漏洞。 扫描规则云端自动更新，全网生效，及时涵盖最新爆发的漏洞。 支持HTTPS扫描 发布区域：华北-北京四、华北-北京一、华东-上海一、华东-上海二、华南-广州、华南-广州-友好用户环境、华北-乌兰察布一、华南-深圳、西南-贵阳一、中国-香港 添加域名 域名认证 网站登录设置 创建扫描任务 查看网站扫描详情 下载网站扫描报告 删除域名 主机漏洞扫描 快速检测出主机存在的漏洞，提供详细的漏洞分析报告，并针对不同类型的漏洞提供专业可靠的修复建议。 支持深入扫描：通过配置验证信息，可连接到服务器进行OS检测，进行多维度的漏洞、配置检测。 支持内网扫描：可以通过跳板机方式访问业务所在的服务器，适配不同企业网络管理场景。 支持中间件扫描：支持主流Web容器、前台开发框架、后台微服务技术栈的版本漏洞和配置合规扫描。支持通过标准包或者自定义安装等多种方式识别服务器的中间件及其版本，全方位发现服务器的漏洞风险。 发布区域：华北-北京四、华北-北京一、华东-上海一、华东-上海二、华南-广州、华南-广州-友好用户环境、华北-乌兰察布一、华南-深圳、西南-贵阳一、中国-香港 添加主机 配置Linux主机授权 开启主机扫描 查看主机扫描详情 下载主机扫描报告 其他操作 安全监测 漏洞扫描服务支持网站扫描，网站是您的“资产”，您可以在“安全监测”界面对您的资产进行安全扫描与编辑操作。 发布区域：华北-北京四、华北-北京一、华东-上海一、华东-上海二、华南-广州、华南-广州-友好用户环境、华北-乌兰察布一、华南-深圳、西南-贵阳一、中国-香港 新增监测任务 暂停监测任务 编辑监测任务 删除监测任务 查看任务详情 查看安全监测列表 通知设置 移动应用安全 移动应用安全服务能快速扫描您的应用，并提供详细的检测报告，协助你快速定位修复问题。 全自动化测试：您只需上传Android、HarmonyOS应用文件提交扫描任务，即可输出详尽专业的测试报告。 详细的测试报告：详尽的在线测试报告，一键即可下载，报告提供包括问题代码行、修复建议、调用栈信息、违规问题场景截图、关联隐私策略片段等信息。 支持第三方SDK隐私声明解析：针对第三方SDK隐私声明存在“表格”与“外链”两种展示方式。通过插桩方式获取应用隐私声明的url，继而提取并深度分析隐私声明内容。 支撑鸿蒙应用扫描：率先支持鸿蒙应用安全漏洞、隐私合规问题扫描。 发布区域：华北-北京四、华北-北京一、华东-上海一、华东-上海二、华南-广州、华南-广州-友好用户环境、华北-乌兰察布一、华南-深圳、西南-贵阳一、中国-香港 支持的服务版本 添加任务 管理任务 查看扫描详情 下载扫描报告 图解移动应用安全服务 二进制成分分析 对用户提供的二进制软件包及固件进行扫描，通过解压以及文件成分分析，识别包中的开源软件合规性及已知漏洞、敏感信息泄露、安全配置等风险，并提供全面直观的风险报告及解决方案。 安全合规：不依赖源码即可检测，规避企业、行业针对于源码不能外传的合规性问题。 检测能力全：支持开源软件合规及漏洞、安全配置、敏感信息泄露等多种类型风险检测。 支持对象多：支持Linux/Windows安装包、Web部署包、安卓/鸿蒙/IOS应用、IoT固件等多种类型文件上传扫描。 能力更新快：针对新风险响应迅速，从解读到落地调整检测规则到发布上线，按天更新推进。 报告全面专业：提供全面、直观的风险汇总信息，并针对不同的扫描告警提供专业的解决方案和修复建议。 发布区域：华北-北京四、华北-北京一、华东-上海一、华东-上海二、华南-广州、华南-广州-友好用户环境、华北-乌兰察布一、华南-深圳、西南-贵阳一、中国-香港 添加任务 管理任务 查看扫描详情 下载扫描报告 相关术语说明

配置思路 登录华为乾坤控制台，根据租户内网资产IP地址配置全局白名单，提升安全状态检测的准确性。 配置交换机： 配置Switch的GigabitEthernet0/0/2为观察端口，该端口直连天关，Switch将通过镜像将流量上送到天关进行检测。 配置Switch的GigabitEthernet0/0/1为镜像端口，开启端口镜像功能。 配置Switch的GigabitEthernet0/0/3为三层端口，与天关上漏洞扫描和云日志审计接口直连。 配置天关： 配置云端管理接口，用于天关与云端对接，包括设备向云端注册、向云端提供日志、接收云端下发配置等。 配置检测接口GE0/0/1为旁路检测模式，该二层接口与Switch的观察端口直连。 配置边界防护与响应服务的业务参数。 将GE0/0/1和对应VLAN都加入trust安全域，并配置旁路检测所需要的安全策略。 对于USG6603F-C，仅需要配置安全域，不需要配置安全策略。 配置漏洞扫描和云日志审计接口GE0/0/2为三层接口，并加入trust安全域，已购买漏洞扫描服务或云日志审计服务时需要配置。 分别配置漏洞扫描服务和云日志审计服务的业务参数，已购买漏洞扫描服务或云日志审计服务时需要配置。

导出漏洞报告 在漏洞列表的右上角，单击，导出漏洞报告。 HSS支持导出5000条漏洞数据，超出的部分数据将无法导出。 例如：HSS检测到两个漏洞P1和P2，P1漏洞存在于N台主机中，P2漏洞存在于M台主机中，在导出漏洞报告时，则为N+M条漏洞数据。 报告是展示了全部主机的安全情况，因此导出的漏洞报告是全部主机的报告，不支持只导出单台主机报告。 主机安全服务每日凌晨会自动进行一次全面的扫描检测，扫描结束后可下载漏洞报告，若有手动扫描需求，可升级至主机安全（新版）进行手动检测，扫描后可立即导出扫描报告。

主机安全 企业主机安全（Host Security Service，HSS）是提升服务器整体安全性的服务，为用户提供资产管理、漏洞管理、入侵检测、基线检查等功能，降低服务器被入侵的风险。 在弹性云服务器中安装Agent后，云服务器受到HSS云端防护中心全方位的安全保障，在安全控制台可视化界面上，您可以统一查看并管理同一区域内所有主机的防护状态和主机安全风险。 图1 HSS功能原理 企业主机安全服务的组件功能及工作流程说明如下： 安全控制台： 可视化的管理平台，便于您集中下发配置信息，查看在同一区域内主机的防护状态和检测结果。 HSS云端防护中心： 接收您在控制台下发的配置信息和检测任务，并转发给安装在服务器上的Agent。 接收Agent上报的主机信息，分析主机中存在的安全风险和异常信息，将分析后的信息以检测报告的形式呈现在控制台界面。 HSS客户端： 接收HSS云端防护中心转发的检测任务。 按检测任务要求扫描弹性云服务器，并将事件扫描信息上报给HSS云端防护中心。 您在使用企业主机安全服务前，需要先在云服务器上安装客户端。更多信息，请参考主机安全。

None 操作指导 漏洞扫描服务 VSS 介绍域名认证的操作流程 02:18 域名认证 漏洞扫描服务 VSS 介绍如何按需体验专业版web扫描服务 02:26 按需体验专业版Web扫描服务 漏洞扫描服务 VSS 介绍如何创建网站扫描任务 02:27 创建网站扫描任务 漏洞扫描服务 VSS 介绍主机扫描的操作流程 04:54 如何进行主机扫描 漏洞扫描服务 VSS 介绍如何查看漏洞检测日志 02:07 查看漏洞检测日志 漏洞扫描服务 VSS 介绍如何创建移动应用安全扫描 02:16 移动应用安全 漏洞扫描服务 VSS 介绍如何创建二进制成分分析 02:24 二进制成分分析

VSS 漏洞扫描服务（Vulnerability Scan Service，简称VSS）是针对网站、主机、移动应用、软件包/固件进行漏洞扫描的一种安全检测服务，目前提供通用漏洞检测、漏洞生命周期管理、自定义扫描多项服务。扫描成功后，提供扫描报告详情，用于查看漏洞明细、修复建议等信息。 Haydn解决方案数字化平台集成了VSS，用户提供安全自动化测试，含主机扫描、网站扫描、二进制扫描。关于VSS的详细介绍，请参考VSS产品介绍。

漏洞扫描服务和传统的漏洞扫描器有什么区别？ VSS和传统的漏洞扫描器的区别如表1所示。 表1 VSS和传统的漏洞扫描器的区别 对比项 传统的漏洞扫描器 VSS 使用方法 使用前需要安装客户端。 不需要安装客户端，在管理控制台创建任务（输入域名或IP地址）就可以进行漏洞扫描，节约运维成本。 更新漏洞库方式 手动更新漏洞库，更新不及时。 云端同步更新漏洞库，涵盖最新漏洞，可以及时检测用户的网站是否有最新爆发的漏洞威胁。

功能特性 漏洞扫描服务可以帮助您快速检测出您的网站、主机、移动应用和软件包/固件存在的漏洞，提供详细的漏洞分析报告，并针对不同类型的漏洞提供专业可靠的修复建议。 网站漏洞扫描 具有OWASP TOP10和WASC的漏洞检测能力，支持扫描22种类型以上的漏洞。 扫描规则云端自动更新，全网生效，及时涵盖最新爆发的漏洞。 支持HTTPS扫描。 一站式漏洞管理 支持任务完成后短信通知用户。如果您希望在扫描任务执行完成后收到短信通知，请购买专业版、高级版或者企业版。 提供漏洞修复建议。如果您需要查看修复建议，请购买专业版、高级版或者企业版。 支持下载扫描报告，用户可以离线查看漏洞信息。如果您需要下载扫描报告，请购买专业版、高级版或者企业版。 支持重新扫描。 支持弱密码扫描 多场景可用 支持操作系统(RDP协议、SSH协议)、数据库（如Mysql、Redis）等常见中间件弱口令检测。 丰富的弱密码库 丰富的弱密码匹配库，模拟黑客对各场景进行弱口令探测。 支持端口扫描 扫描服务器端口的开放状态，检测出容易被黑客发现的“入侵通道”。 自定义扫描 支持任务定时扫描。 支持基于用户名密码登录、基于自定义Cookie登录。 支持Web 2.0高级爬虫扫描。 支持自定义Header扫描。 支持手动导入探索文件来进行被动扫描。 主机漏洞扫描 支持深入扫描 通过配置验证信息，可连接到服务器进行OS检测，进行多维度的漏洞、配置检测。 支持内网扫描 可以通过跳板机方式访问业务所在的服务器，适配不同企业网络管理场景。 支持中间件扫描 丰富的扫描场景 支持主流Web容器、前台开发框架、后台微服务技术栈的版本漏洞和配置合规扫描。 多扫描方式可选 支持通过标准包或者自定义安装等多种方式识别服务器的中间件及其版本，全方位发现服务器的漏洞风险。 二进制成分分析 全方位风险检测 对软件包/固件进行全面分析，基于各类检测规则，获得相关被测对象的开源软件、信息泄露、安全配置、安全编译选项等存在的潜在风险。 支持各类应用 支持对桌面应用（Windows和Linux）、移动应用程序（APK、IPA、Hap等）、嵌入式系统固件等的检测。 专业分析指导 提供全面、直观的风险汇总信息，并针对不同的扫描告警提供专业的解决方案和修复建议。 移动应用安全 移动应用安全服务能快速扫描您的应用，并提供详细的检测报告，协助你快速定位修复问题。 全自动化测试 您只需上传Android、HarmonyOS应用文件提交扫描任务，即可输出详尽专业的测试报告 详细的测试报告 详尽的在线测试报告，一键即可下载，报告提供包括问题代码行、修复建议、调用栈信息、违规问题场景截图、关联隐私策略片段等信息。 支持第三方SDK隐私声明解析 针对第三方SDK隐私声明存在“表格”与“外链”两种展示方式。通过插桩方式获取应用隐私声明的url，继而提取并深度分析隐私声明内容。 支撑鸿蒙应用扫描 率先支持鸿蒙应用安全漏洞、隐私合规问题扫描。

漏洞扫描服务-成长地图 | 华为云 漏洞扫描服务 漏洞扫描服务（Vulnerability Scan Service）是针对网站进行漏洞扫描的一种安全检测服务，目前提供通用漏洞检测、漏洞生命周期管理、自定义扫描多项服务。用户新建任务后，即可人工触发扫描任务，检测出网站的漏洞并给出漏洞修复建议。 产品介绍 图说VSS 立即使用 成长地图 由浅入深，带您玩转VSS 01 了解 了解华为云漏洞扫描服务的功能特性和应用场景，有助于您更准确地匹配实际业务，更快速地使用VSS。 产品介绍 什么是VSS 功能特性 产品优势 应用场景 03 入门 您可以参照VSS操作指引，快速使用VSS。 快速上手 操作指引 如何使用漏洞扫描服务 05 实践 如果您的网站除了需要账号密码登录，还有其他的访问机制（例如，需要输入动态验证码），请您设置“cookie登录”方式进行网站漏洞扫描，以便VSS能为您发现更多安全问题。 网站漏洞扫描 扫描具有复杂访问机制的网站漏洞 02 购买 漏洞扫描服务提供了基础版、专业版、高级版和企业版四种服务版本。其中，基础版配额内的服务免费，部分功能按需计费；专业版、高级版和企业版需要收费。 服务规格 服务版本 计费方式 价格详情 快速购买 购买漏洞扫描服务 域名配额扩容 04 使用 根据业务发展需要，您可以随时添加域名、创建扫描任务。除此之外，您还可以根据VSS的漏洞修复意见修复漏洞，更好的保护您的网站和服务器安全。 常用操作 添加域名 域名认证 新增监测任务 下载扫描报告 网站扫描 网站登录设置 创建扫描任务 查看网站扫描详情 安全监测 查看安全监测列表 查看安全监测任务详情 通知设置 常见问题 了解更多常见问题、案例和解决方案 热门案例 漏洞扫描服务能修复扫描出来的漏洞吗？ 创建网站扫描任务或重启任务不成功时如何处理？ 漏洞扫描服务和传统的漏洞扫描器有什么区别？ 漏洞扫描服务如何收费？ 漏洞扫描服务支持扫描哪些漏洞？ 主机扫描支持哪些区域？ 对扫描出的漏洞执行“忽略”操作有什么影响？ 漏洞扫描报告模板包括哪些内容？ 使用“一键认证”有什么要求？ 物理服务器可以使用漏洞扫描服务吗？ 更多 网站扫描 使用“一键认证”有什么要求？ 创建任务时为什么总是提示域名格式错误？ 为什么域名认证失败？ 为什么执行下载认证文件操作后没有看到下载的认证文件？ 为什么任务扫描中途就自动取消了？ 如何将认证文件上传到网站根目录？ 更多 扫描任务 扫描任务有哪些状态？ 扫描任务的得分是如何计算的？ 为什么扫描任务自动登录失败了？ 更多 故障案例 创建网站扫描任务或重启任务不成功时如何处理？ 如何解决网站扫描失败报连接超时的问题？ 更多 技术专题 技术、观点、课程专题呈现 云享专家知识推荐 分享技术书籍、常用工具等，帮助您了解技术，提升能力 漏洞扫描服务课程学习 通过本课程的学习，了解企业版漏洞扫描的特性、解决方案等，并掌握其使用方法 跟唐老师学习云网络 唐老师将自己对网络的理解分享给大家 智能客服 您好！我是有问必答知识渊博的的智能问答机器人，有问题欢迎随时求助哦！ 社区求助 华为云社区是华为云用户的聚集地。这里有来自容器服务的技术牛人，为您解决技术难题。

应用场景 漏洞扫描服务主要用于以下场景。 Web漏洞扫描应用场景 网站的漏洞与弱点易于被黑客利用，形成攻击，带来不良影响，造成经济损失。 常规漏洞扫描 丰富的漏洞规则库，可针对各种类型的网站进行全面深入的漏洞扫描，提供专业全面的扫描报告。 最新紧急漏洞扫描 针对最新紧急爆发的CVE漏洞，安全专家第一时间分析漏洞、更新规则，提供快速专业的CVE漏洞扫描。 主机漏洞扫描应用场景 运行重要业务的主机可能存在漏洞、配置不合规等安全风险。 支持深入扫描 通过配置验证信息，可连接到服务器进行OS检测，进行多维度的漏洞、配置检测。 支持内网扫描 可以通过跳板机方式访问业务所在的服务器，适配不同企业网络管理场景。 弱密码扫描应用场景 主机或中间件等资产一般使用密码进行远程登录，攻击者通常使用扫描技术来探测其用户名和弱口令。 多场景可用 支持操作系统(RDP协议、SSH协议)、数据库（如Mysql、Redis）等常见中间件服务的弱口令检测。 丰富的弱密码库 丰富的弱密码匹配库，模拟黑客对各场景进行弱口令探测。 中间件扫描应用场景 中间件可帮助用户灵活、高效地开发和集成复杂的应用软件，一旦被黑客发现漏洞并利用，将影响上下层安全。 丰富的扫描场景 支持主流Web容器、前台开发框架、后台微服务技术栈的版本漏洞和配置合规扫描。 多扫描方式可选 支持通过标准包或者自定义安装等多种方式识别服务器的中间件及其版本，全方位发现服务器的漏洞风险。 内容合规检测应用场景 当网站被发现有不合规言论时，会给企业造成品牌和经济上的多重损失。 精确识别 同步更新时政热点和舆情事件的样本数据，准确定位各种涉黄、涉暴涉恐、涉政等敏感内容。 智能高效 对文本、图片内容进行上下文语义分析，智能识别复杂变种文本。 二进制成分分析应用场景 产品包或固件中因不当使用开源软件、配置不合规等会产生漏洞或合规性风险，及时的发现和修复相关问题可以减少被攻击者利用的风险。 全方位风险检测 对产品包/固件进行全面分析，基于各类检测规则，获得相关被测对象的开源软件、信息泄露、安全配置、安全编译选项等存在的潜在风险。 支持各类应用 支持对桌面应用（Windows和Linux）、移动应用程序（APK、IPA、Hap等）、嵌入式系统固件等的检测。 专业分析指导 提供全面、直观的风险汇总信息，并针对不同的扫描告警提供专业的解决方案和修复建议。 移动应用安全 企业自检或通报后自查 适用于各类APP发版自检，及通报整改后自查，服务提供详细精确的报告协助企业快速定位修复问题，达到监管合规要求。 审核机构APP合规审查 紧贴各类监管规范，提供高效的自动化检测服务，能快速识别存在违规行为的APP。

功能总览 功能总览 全部 管理检测与响应 企业版 等保建设助手 下载检测报告 验收管理检测与响应 查看服务单信息 管理检测与响应 管理检测与响应（Managed Detection Response，MDR）是结合华为30年安全经验积累，以云服务的形式，为客户建立由管理、技术与运维构成的安全风险管控体系，结合企业与机构业务的安全需求反馈和防控效果对用户安全防护进行持续改进，帮助企业与机构实现对安全风险与安全事件的有效监控，并及时采取有效措施持续降低安全风险，消除安全事件带来的损失。 目前，提供企业版和等保建设助手2种服务类型。 发布区域：全部 业务流程 服务单的有效期是多长？ 管理检测与响应支持跨平台和线下服务吗？ 哪些区域可以购买管理检测与响应？ 企业版 企业版管理检测与响应结合用户实际业务场景，通过云服务方式，提供华为云安全标准化的运维运营服务。 服务内容包括： 网站安全体检、主机安全体检、安全加固、安全监测、应急响应、安全配置服务、安全防护服务开通与部署、定期策略更新与维护、安全漏洞预警、主动安全预警、安全设备维护和漏洞管理。 发布区域：全部 购买企业版 企业版漏洞扫描和传统漏洞扫描的主要区别是什么？ 等保建设助手 等保建设助手为用户提供等保定级和差距评估咨询，根据系统情况提供定级参考意见和相关技术建议书以及等保条款分析情况汇总，根据等保差距要求，服务类型以远程或现场方式提供安全加固建议。 等保建设助手提供了基础版和高级版两种服务类型供您选择。 发布区域：全部 购买等保建设助手 下载检测报告 管理检测与响应服务后，系统将上传服务报告并发送邮件和短信通知信息，收到信息后，即可登录管理控制台下载服务报告。 等保测评报告将由测评公司邮寄。 发布区域：全部 下载检测报告 验收管理检测与响应 管理检测与响应服务后，系统将发送短信通知您登录管理控制台对本次服务进行验收。 验收周期从您收到短信日起共10个工作日，在周期内，若您未进行服务验收，系统将对本次服务进行自动验收。 发布区域：全部 验收管理检测与响应 查看服务单信息 购买MDR成功后，系统将自动生成服务单，华为管理检测与响应将在1个工作日内联系您，并与您沟通确定需求。此时，您可以登录控制台查看服务单信息和进展。 发布区域：全部 查看服务单进展

产品咨询类 什么是区域和可用区？ 漏洞扫描服务的扫描IP有哪些？ 漏洞扫描服务可以免费使用吗？ 扫描任务有哪些状态？ 漏洞扫描服务到期后还能继续使用吗？ 扫描任务的得分是如何计算的？ 按需计费扫描失败怎么办？ 为什么购买漏洞扫描服务失败了？ 漏洞扫描服务能修复扫描出来的漏洞吗？ 漏洞扫描服务和传统的漏洞扫描器有什么区别？ 漏洞扫描服务支持扫描哪些漏洞？ 如何查看漏洞修复建议？ 漏洞扫描服务可以跨区域使用吗？ 漏洞扫描服务支持跨云扫描吗？ 漏洞扫描服务支持多个帐号共享使用吗？ 单次扫描是否提供扫描报告和修复建议？ 漏洞扫描服务可以对网站文字和图片改变进行检测吗？ 使用漏洞扫描服务前需要备份数据吗？ 漏洞扫描服务如何判定SQL注入风险？ 漏洞扫描服务支持扫描SQL注入吗？ Apache Log4j2漏洞检测相关问题 VSS与HSS、WAF有什么区别？ 漏洞扫描时会影响现有运行服务吗？

端口扫描检测 单击“端口扫描检测”，滑出“端口扫描检测”策略详情界面。 在弹出的端口扫描检测界面中，修改“策略内容”，参数说明如表20所示。 表20 端口扫描检测策略参数说明 参数名称 参数说明 取值样例 重新获取进程信息的时间间隔（秒） 获取进程的间隔时间。 勾选。 扫描源IP白名单 填写IP白名单，多个用英文分号隔开。 test_bj4 单端口最大告警包数 - - 待检测端口列表 待检测的端口号和协议类型详情。 - 确认无误，单击“确认”，完成修改。

资源和成本规划 表1 等保二级 云资源 规格 数量 每年费用（元） 云防火墙 标准版 1 28000 Web应用防火墙 标准版 1 38800 主机安全 旗舰版 2 4000 威胁检测 初级包 1 10000 漏洞扫描 专业版 1 3000 云堡垒机 100资产基础版 1 37800 数据库安全服务 专业版 11 60000 安全态势感知 专业版 2 3000 SSL证书服务 企业型（OV）SSL证书Globalsign（单域名） 1 3094.24 云审计 平台基础服务，不涉及版本 / / 云监控 平台基础服务，不涉及版本 / / 云日志 平台基础服务，不涉及版本 / 0.00125/GB/小时 等保测评二级 基础版 1 200000 总计：387694.24 表2 等保三级 云资源 规格 数量 每年费用（元） 云防火墙 标准版 1 28000 Web应用防火墙 标准版 1 38800 DDoS高防（选配） BGPpro保底10G 1 9800 主机安全 旗舰版 2 4000 威胁检测 初级包 1 10000 漏洞扫描 专业版 1 3000 云堡垒机 100资产基础版 1 37800 数据库安全服务 专业版 11 60000 安全态势感知 专业版 2 3000 SSL证书服务 企业型（OV）SSL证书Globalsign（单域名） 1 3094.24 数据安全中心（选配） 标准版 1 30000 数据加密服务（选配） 秘钥管理服务 1 0.015458元/个/小时 云审计 平台基础服务，不涉及版本 / / 云监控 平台基础服务，不涉及版本 / / 云日志 平台基础服务，不涉及版本 / 0.00125/GB/小时 等保测评三级 基础版 1 200000 总计：513494.24

配置思路 登录华为乾坤云服务控制台，根据租户内网资产IP地址配置全局白名单，提升安全状态检测的准确性。 配置交换机： 配置Switch的GigabitEthernet0/0/2为观察端口，该端口直连天关，Switch将通过镜像将流量上送到天关进行检测。 配置Switch的GigabitEthernet0/0/1为镜像端口，开启端口镜像功能。 配置Switch的GigabitEthernet0/0/3为三层端口，与天关上漏洞扫描和云日志审计接口直连。 配置天关： 配置云端管理接口，用于天关与云端对接，包括设备向云端注册、向云端提供日志、接收云端下发配置等。 配置接口GE0/0/21和GE0/0/20为接口对模式，GE0/0/20与Switch的观察端口直连。 配置漏洞扫描和云日志审计接口GE0/0/2为三层接口，并加入trust安全域，已购买漏洞扫描服务或云日志审计服务时需要配置。 分别配置边界防护与响应服务、漏洞扫描服务、云日志审计服务业务参数。

SaaS类商品发布安全规范 发布SaaS类商品如涉及为用户提供网站服务（包括业务前台，管理后台portal等），您需确保您的应用中不包含常见的web漏洞：如XSS、SQL注入、CSRF、XXE注入、OS注入、跨目录访问、文件上传漏洞、敏感信息泄露、URL重定向泄露、TLS配置缺陷、网页木马等，如检测结果中包含一个高危漏洞，则扫描结果为不通过，请整改后再发布上架。 漏洞扫描服务支持扫描的漏洞请参见：漏洞扫描服务支持扫描哪些漏洞？ 漏洞扫描服务的扫描IP请参见：漏洞扫描服务的扫描IP有哪些？

配置思路 登录华为乾坤控制台，配置全局白名单，防止租户内网资产IP地址被云端（包括云端自动下发、云端安全服务人员）错误下发黑名单。 登录天关2，主要配置以下内容： 配置Bypass接口对，用于转发内外网业务流量。 配置云端管理接口，用于天关与云端对接，包括设备向云端注册、向云端提供日志、接收云端下发配置等。 配置漏扫和日志审计业务接口，已购买漏洞扫描服务或云日志审计服务时需要配置。 分别配置边界防护与响应服务、漏洞扫描服务、云日志审计服务业务参数。 登录天关1，主要配置以下内容： 配置Bypass接口对，用于转发内外网业务流量。 配置云端管理接口，用于天关与云端对接，包括设备向云端注册、向云端提供日志、接收云端下发配置等。 配置漏扫和日志审计业务接口，已购买漏洞扫描服务或云日志审计服务时需要配置。 配置设备白名单，将区域2NAT后的地址192.168.55.100配置为白名单，保证天关1不检测区域2发出的流量。 分别配置边界防护与响应服务、漏洞扫描服务、云日志审计服务业务参数。

移动应用安全扫描报告模板说明 下载扫描报告后，您可以根据扫描结果，对漏洞进行修复，报告模板主要内容说明如下：（以下截图中的数据仅供参考，请以实际扫描报告为准） 应用基本信息检测 包括基本信息、应用检测风险项汇总、漏洞风险项统计、漏洞风险检测项分布和检测情况汇总，如图2所示展示了检测汇总信息。 图2 检测情况汇总 应用漏洞检测 包括配置安全、加密安全、组件安全、签名证书安全、存储安全、权限安全和网络安全等，可以参考扫描出的漏洞详细信息修复漏洞，以配置安全为例，如图3所示。 图3 应用漏洞信息-配置安全 应用隐私合规检测 图4 应用隐私合规检测 应用权限信息检测 图5 应用权限信息 应用组件信息检测 查看软件的所有组件信息，包括Activity信息、Service信息、Provider信息和Receiver信息，以Activity信息为例，如图6所示。 图6 应用组件信息-Activity信息 移动应用安全评测依据 图7 移动应用安全评测信息

功能总览 功能总览 全部 态势感知 安全概览 资源管理 业务分析 综合大屏 威胁告警 漏洞管理 基线检查 检测结果 安全报告 产品集成 日志管理 态势感知 态势感知（Situation Awareness，SA）是华为云安全管理与态势分析平台。能够检测出包括DDoS攻击、暴力破解、Web攻击、后门木马、僵尸主机、异常行为、漏洞攻击、命令与控制等类别的云上安全风险。利用大数据分析技术，态势感知可以对攻击事件、威胁告警和攻击源头进行分类统计和综合分析，为用户呈现出全局安全攻击态势。 SA提供基础版、标准版和专业版三个版本。 发布区域：全部 服务版本差异 功能特性 应用场景 OBS 2.0支持 虚拟私有云子功能二 虚拟私有云（Virtual Private Cloud，以下简称VPC），为云服务器、云容器、云数据库等资源构建隔离的、用户自主配置和管理的虚拟网络环境，提升用户云上资源的安全性，简化用户的网络部署。 您可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性。用户可以通过VPC方便地管理、配置内部网络，进行安全、快捷的网络变更。同时，用户可以自定义安全组内与组间弹性云服务器的访问规则，加强弹性云服务器的安全保护。 除亚太-曼谷、亚太-新加坡、拉美-圣地亚哥以外的所有区域均已发布 如何创建虚拟私有云？ VPC服务介绍【视频】 VPC服务介绍【视频】 安全概览 “安全概览”分为安全评分、安全监控、安全趋势、威胁检测共四大板块，实时呈现云上整体安全评估状况，并联动其他云安全服务，集中展示云上安全。在“安全概览”查看安全概览信息和相关一键操作，实现云上安全态势一览和风险统一管控。 发布区域：全部 安全概览 资源管理 同步当前帐号中所有资源的安全状态统计信息。支持查看资源的名称、所属服务、所属区域、安全状况等，帮助您快速定位安全风险问题并提供解决方案。 发布区域：全部 资源管理 业务分析 联动企业主机安全服务（Host Security Service，HSS）、Web应用防火墙（Web Application Firewall，WAF）和数据库安全服务（Database Security Service，DBSS）三个安全防护服务，全面展示云上资产的安全状态和存在的安全风险。 发布区域：全部 业务分析 综合大屏 利用AI技术将海量云安全数据的分析并分类，通过综合大屏将数据可视化展示，集中呈现云上实时动态，云上关键风险一目了然，掌握云上安全态势更简单，更直观，更高效。 目前，综合大屏有“综合态势感知”和“主机态势感知”两个模块。 发布区域：全部 综合态势感知 主机安全态势 威胁告警 通过利用大数据量、高准确度的威胁情报库，“实时监控”云上威胁攻击，提供告警通知和监控，记录近180天告警事件详情，分析威胁攻击情况，并针对典型威胁事件预置策略实施防御手段。 目前支持检测和呈现以下类别的威胁告警事件：DDoS、暴力破解、Web攻击、后门木马、僵尸主机、异常行为、漏洞攻击和命令与控制。 发布区域：全部 威胁告警简介 查看告警列表 威胁分析 漏洞管理 通过实时获取业界热点安全漏洞讯息，同步主机漏洞扫描和网站漏洞扫描结果，全面掌握云上资产漏洞风险状况，并提供相应漏洞修复建议。 主机漏洞：通过授权主机，并一键扫描主机漏洞，呈现主机漏洞扫描检测信息，支持查看漏洞详情，并提供相应漏洞修复建议。 网站漏洞：通过自动同步VSS漏洞扫描结果，分类呈现网站漏洞扫描详情，支持查看漏洞详情列表、不同类型漏洞分布和不同漏洞等级分布，并提供相应漏洞修复建议。 应急漏洞公告：针对业界披露的热点安全漏洞，支持每5分钟抓取一次安全漏洞讯息，获取最新应急漏洞公告详情。 发布区域：全部 主机漏洞 网站漏洞 应急漏洞公告 专业版支持 基线检查 通过执行云服务基线扫描，检查基线配置风险状态，告警提示存在安全隐患的配置，并提供基线加固建议。 云服务基线检查：通过一键扫描或设置定期扫描，分类呈现云服务配置检测结果，提示不合格检测项，并提供相应配置加固建议和帮助指导。 发布区域：华北-北京一、华北-北京四、华东-上海一、华东-上海二、华南-广州、西南-贵阳一、中国-香港。 云服务基线检查 检测结果 通过集成安全防护产品，接入安全产品检测数据，管理全部检测结果。 发布区域：全部 检测结果 安全报告 为统计全局安全攻击态势，通过开启安全报告，态势感知以邮件形式向指定的收件人发送安全报告，反映阶段性安全概况、安全风险趋势。 发布区域：全部 分析报告 产品集成 通过集成安全防护产品，接入安全产品检测数据，管理检测结果的数据来源，支持查看传输数据量，管理数据上报健康状态。 发布区域：全部 安全产品集成 专业版支持 日志管理 态势感知支持将日志存储至对象存储服务（Object Storage Service，OBS），帮助用户轻松应对安全日志存储、导出场景，满足日志存储180天及集中审计的要求。 发布区域：全部 日志管理

Apache Log4j2漏洞检测相关问题 网站漏洞扫描和主机扫描是否支持Apache Log4j2漏洞检测？检测原理有何不同？ 答：网站漏洞扫描和主机扫描支持Apache Log4j2漏洞检测，但检测原理不同。网站漏洞扫描的检测原理是基于漏洞POC验证，如果没有攻击入口或路径，或已经开启了Web应用防火墙等防护措施，则无法扫出来；主机扫描的检测原理是登录操作系统之后探测JAR包版本，匹配是否在受影响的版本范围之内，相对高效。 建议有条件的话，使用网站漏洞扫描和主机扫描远程扫描，若发现问题请尽快按处置办法进行操作。 Apache Log4j2漏洞之前能扫出来，后来扫不出来，不稳定是什么原因？ 答：只要扫出来过Apache Log4j2漏洞，建议马上排查相应网站或主机，尽快按处置办法进行操作。 后面扫不出来的原因，可能是网站已修复，或已通过Web应用防火墙等防护措施解决，另外由于该漏洞POC验证相对复杂，涉及较多网络交互，网络环境因素如安全组策略加固等变动，也可能导致漏洞不能稳定扫出来，但建议客户还是尽快排查处置，彻底规避风险。 哪些版本支持Apache Log4j2漏洞检测？ 答：当前包括基础版（可免费开通）在内的所有版本均支持，但由于基础版规格有较多限制，如不支持主机漏洞扫描、Web漏洞扫描的扫描时长和次数受限，可能存在扫描不全面的问题。建议有条件的话，根据业务需求购买专业版及以上版本进行全面扫描。 不同版本规格说明请参见服务版本。

资产发现 单击“资产发现”，弹出“资产发现”策略详情界面。 在弹出的资产管理界面中，修改“策略内容”，参数说明如表2所示。 表2 资产管理策略内容参数说明 参数名称 参数说明 检测时间 针对不同资产自动执行检测的固定时间点，其中中间件、Web框架、内核模块、Web应用、Web站点、Web服务、数据库可进行自定义检测时间。 偏移时间指在设置的目标时间向前或向后做自动调节执行检测。 帐号：Linux每小时自动检测一次，Windows实时检测。 开放端口：每30秒自动检测一次。 进程：每小时自动检测一次。 软件：每天自动检测一次。 自启动项：每小时自动检测一次。 中间件/Web框架：可一起选择检测日和时间。 内核模块：需根据需求独立设置检测日和时间。 Web应用/Web站点/Web服务/数据库：可一起选择检测日和时间。 需要获取信息的软件名称 软件名称中不能包含空格且内容长度不得超过5000字符，多个软件名称用逗号分隔。 如果不配置，则获取所有已安装软件信息。 软件搜索路径 软件搜索的路径，Windows主机不需要添加。 指定待扫描web目录 需要扫描的web目录。 web目录扫描深度 指定web目录扫描的层级深度。 确认无误，单击“确认”，完成修改。

移动应用安全扫描报告模板说明 下载扫描报告后，您可以根据扫描结果，对漏洞进行修复，报告模板主要内容说明如下：（以下截图中的数据仅供参考，请以实际扫描报告为准） 应用基本信息检测 应用检测的基本信息和检测概况。 图2 应用基本信息 应用权限信息检测 图3 应用权限信息 应用组件信息检测 查看软件的所有组件信息。 图4 应用组件信息 应用漏洞检测 您可以参考每个组件扫描出的漏洞详细信息修复漏洞。 图5 应用漏洞信息 应用隐私合规检测 图6 应用隐私合规信息 移动应用安全评测依据 图7 移动应用安全评测信息

操作指引 漏洞扫描服务使用概览如表1所示。 表1 漏洞扫描服务使用流程概览 子流程 说明 购买漏洞扫描服务 漏洞扫描服务提供了基础版、专业版、高级版和企业版四种服务版本。其中，基础版配额内的服务免费，部分功能按需计费；专业版、高级版和企业版需要收费。 具体操作请参见购买漏洞扫描服务。 域名认证 具体操作请参见域名认证。 创建扫描任务 创建扫描任务即可对网站进行扫描，具体操作请参见创建扫描任务。 开启主机扫描 开启主机扫描即可对主机进行扫描，具体操作请参见开启主机扫描。 新增监测任务 新增监测任务即可对资产进行监测，具体操作请参见新增监测任务。 查看扫描结果 扫描完成后可以通过“任务详情”页面查看扫描结果。 网站扫描结果，请参见查看网站扫描详情。 主机扫描结果，请参见查看主机扫描详情。

Webshell检测 Webshell检测功能只有设置了“用户指定扫描路径”之后才会生效。 单击“Webshell检测”，弹出“Webshell检测”策略详情界面。 在弹出的“Webshell检测”界面中，修改“策略内容”，参数说明如表5所示。 图4 修改Webshell检测策略 表5 Webshell检测策略内容参数说明 参数 说明 检测时间 配置Webshell检测的时间，可具体到每一天的每一分钟。 随机偏移时间（秒） 配置随机偏移时间，可配置范围为“0~7200秒”。 检测日 Webshell检测日期，勾选周一到周日的检测Webshell的时间。 用户指定扫描路径 手动添加需要检测的Web目录。 文件路径以“/”开头，不能以“/”结尾。 多个路径通过回车换行分隔且名称中不能包含空格。 检查文件后缀 检查文件的后缀，可以检测“jsp”、“jspx”、“jspf”、“php”、“php5”和“php4”。 确认无误，单击“确认”，完成修改。

护网检查—安全套件覆盖 表7 安全套件覆盖风险项检查项目 检查项目 检查内容 主机防护状态检查 企业主机安全服务（Host Security Service，HSS）是提升主机整体安全性的服务，通过主机管理、风险预防、入侵检测、高级防御、安全运营、网页防篡改功能，全面识别并管理主机中的信息资产，实时监测主机中的风险并阻止非法入侵行为，帮助企业构建服务器安全体系，降低当前服务器面临的主要安全风险。 检查主机是否已开启防护。 主机Agent状态检查 企业主机安全服务（Host Security Service，HSS）是一个用于全面保障主机整体安全的服务，能帮助您高效管理主机的安全状态，并构建服务器安全体系，降低当前服务器面临的主要安全风险。 在主机中安装Agent后，您的主机才能收到HSS的保护。 检查主机Agent是否为在线状态。 主机安全检测状态检查 企业主机安全服务（Host Security Service，HSS）将实时检测主机中的风险和异常操作，在每日凌晨将对主机执行全面扫描。执行配置检测后，您可以根据检测结果中的相关信息，修复主机中含有风险的配置项或忽略可信任的配置项。 检查主机的检测结果是否存在异常。 WAF（云模式）基础防护配置检查 Web基础防护开启后，默认防范SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等常规的Web攻击。 检查WAF在云模式下是否已开启Web基础防护。 WAF（云模式）防护策略配置检查 Web基础防护支持“拦截”（发现攻击行为后立即阻断并记录）和“仅记录”（发现攻击行为后只记录不阻断攻击）模式，检测版仅支持“仅记录”模式。 WAF中所有待防护的域名应开启Web基础防护并设置为拦截模式，开启后，默认防范SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等常规的Web攻击。 检查WAF在云模式下是否已开启Web基础防护并设置为拦截模式。 WAF（独享模式）基础防护配置检查 Web基础防护开启后，默认防范SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等常规的Web攻击。 检查WAF在独享模式下是否已开启Web基础防护。 WAF（独享模式）防护策略配置检查 Web基础防护支持“拦截”（发现攻击行为后立即阻断并记录）和“仅记录”（发现攻击行为后只记录不阻断攻击）模式，检测版仅支持“仅记录”模式。 WAF中所有待防护的域名应开启Web基础防护并设置为拦截模式，开启后，默认防范SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等常规的Web攻击。 检查WAF在独享模式下是否已开启Web基础防护并设置为拦截模式。 网站高危漏洞检查 漏洞扫描服务（Vulnerability Scan Service，简称VSS）可以帮助您快速检测出您的网站存在的漏洞，提供详细的漏洞分析报告，并针对不同类型的漏洞提供专业可靠的修复建议。 检查网站中是否存在高危漏洞。 网站中危漏洞检查 漏洞扫描服务（Vulnerability Scan Service，简称VSS）可以帮助您快速检测出您的网站存在的漏洞，提供详细的漏洞分析报告，并针对不同类型的漏洞提供专业可靠的修复建议。 检查网站中是否存在中危漏洞。 扫描时间检查 漏洞扫描服务（Vulnerability Scan Service，简称VSS）可以帮助您快速检测出您的网站存在的漏洞，提供详细的漏洞分析报告，并针对不同类型的漏洞提供专业可靠的修复建议。 检查扫描时间是否已超过一周。 SA专业版购买检查 态势感知提供基础版、标准版和专业版三个版本，不同版本有不同功能使用范围。 专业版可以呈现全局安全态势。通过动态安全检测和威胁分析，并提供安全加固建议。 检查是否已购买SA专业版。 主机Agent版本检查 在主机中安装Agent后，您的主机将受到HSS云端防护中心全方位的安全保障，在安全控制台可视化界面上，您可以统一查看并管理同一区域内所有主机的防护状态和主机安全风险。 企业主机安全服务有基础版、企业版、旗舰版和网页防篡改版四个版本。 基础版一般只用于测试、个人用户防护主机账户安全。建议您选择企业版及以上版本。 检查所有主机Agent是否为企业版及以上版本。

检测能力 移动应用安全 对用户提供的安卓、鸿蒙应用进行安全漏洞、隐私合规检测，基于静态分析技术，结合数据流静态污点跟踪，检测权限、组件、网络、等APP基础安全漏洞，并提供详细的漏洞信息及修复建议。 二进制成分分析 对用户提供的二进制软件包/固件进行全面分析，通过解压获取包中所有待分析文件，基于组件特征识别技术、静态检测技术以及各种风险检测规则，获得相关被测对象的组件BOM清单和潜在风险清单，并输出一份专业的分析报告。 代码检查 由外部代码检查服务提供，代码检查（CodeArts Check）是基于云端实现代码质量管理的服务，软件开发者可在编码完成后执行多语言的代码静态检查和安全检查，获取全面的质量报告，并提供缺陷的分组查看与改进建议，有效管控代码质量。 漏洞扫描 由外部漏洞扫描服务提供，漏洞扫描服务（Vulnerability Scan Service，简称VSS）是针对网站、主机、移动应用、软件包/固件进行漏洞扫描的一种安全检测服务，目前提供通用漏洞检测、漏洞生命周期管理、自定义扫描多项服务。扫描成功后，提供扫描报告详情，用于查看漏洞明细、修复建议等信息。 漏洞扫描服务具有Web网站扫描和两种扫描能力。 Web网站扫描：采用网页爬虫的方式全面深入地爬取网站url，基于多种不同能力的漏洞扫描插件，模拟用户真实浏览场景，逐个深度分析网站细节，帮助用户发现网站潜在的安全隐患。同时内置了丰富的无害化扫描规则，以及扫描速率动态调整能力，可有效避免用户网站业务受到影响。 主机扫描：经过用户授权（支持帐密授权）访问用户主机，漏洞扫描服务能够自动发现并检测主机操作系统、中间件等版本漏洞信息和基线配置，实时同步官网更新的漏洞库匹配漏洞特征，帮助用户及时发现主机安全隐患。

应用场景 移动应用安全 移动应用安全服务主要用于以下场景。 企业自检或通报后自查 适用于各类APP发版自检，及通报整改后自查，服务提供详细精确的报告协助企业快速定位修复问题，达到监管合规要求。 审核机构APP合规审查 紧贴各类监管规范，提供高效的自动化检测服务，能快速识别存在违规行为的APP。 二进制成分分析 产品上线前自检 产品未交付发布前，使用本工具进行安全合规问题自检，并针对检测问题进行修复。 针对外部软件包的排查 企业针对外部/供应链引入的第三方软件包进行合规和安全漏洞的排查。 代码检查 代码检查服务主要用于以下场景。了解更多。 Web应用安全检查 应用：Java、JS等Web开发语言的规则集进行代码检视。 场景特点：Web服务面向Internet互联网，容易遭受DDos攻击、信息泄露等风险。 适用场景：互联网服务交付安全等级验收。 项目质量控制 应用：在交付过程中实时根据代码复杂度、重复率、质量得分控制风险。 场景特点：项目经理的共识“从前端保证质量，把质量做在日常交付”，但经常没有有效的工具平台，目前大部分的质量工作还是依赖后端测试。 适用场景：项目经理迭代交付质量控制。 漏洞扫描 漏洞扫描服务应用场景主要包括以下方面。了解更多。 Web漏洞扫描应用场景 主机漏洞扫描应用场景 弱密码扫描应用场景 中间件扫描应用场景 内容合规检测应用场景 二进制成分分析应用场景 移动应用安全