信息技术主机安全漏洞扫描产品技术要求(1)

来源：公安部计算机信息系统安全产品质作者：出处：巧巧读书 2006-06-13 进入讨论组

3.1.2 通讯信息保密

必须保证漏洞扫描软件控制台同代理宿主机通讯信息的保密性。

3.1.3 软件使用记录

对软件的使用（包括失败的登录等）应有完备的日志记录，便于审计跟踪、分析。

3.2 安全功能要求

3.2.1 脆弱性扫描

3.2.1.1 操作系统脆弱性扫描

a)操作系统版本以及补丁

b)操作系统的安全隐患

c)操作系统危险或错误的配置

3.2.1.2 重要文件、目录脆弱性扫描

a)文件、目录属性设置

b)文件、目录危险或错误配置

c)可疑文件

d)文件Checksum识别

e)长度识别

3.2.1.3 浏览器脆弱性扫描

检查和浏览器安全相关的信息和配置，发现危险或不合理的配置，并提出相应的安全性建议。检查项目应该包括：

a)浏览器版本号

b)安全设置

c)其它由于操作系统或软件升级带来的安全隐患。

3.2.1.4 Web服务脆弱性扫描

a)服务程序本身的漏洞

b)服务器上运行的脚本、CGI程序等等的漏洞

c)服务器的危险或错误配置

d)其它由于操作系统或软件升级带来的安全隐患。

3.2.1.5 其他通用服务脆弱性扫描

a)服务版本

b)服务漏洞

c)服务控制文件的危险或错误配置

3.2.1.6 NT用户、组、注册表脆弱性扫描

a)系统口令策略设置

b)审核策略设置

c)危险或错误的用户配置

d)用户组策略设置

e)注册表项目访问权限设置

f)注册表中危险或错误配置