电网企业管理信息系统漏洞扫描系统技术规范1

电网企业管理信息系统漏洞扫描系统技术规范
目录
1 总则 (1)
2 规范性引用文件 (1)
3 术语和定义 (1)
4 职责 (2)
4.1 公司信息部职责 (2)
4.2 分子公司信息管理部门职责 (3)
4.3 分子公司信息运维部门（单位）职责 (3)
4.4 分子公司下属单位信息部门（单位）职责 (3)
5 漏洞扫描系统 (3)
5.1 概述 (3)
5.2 系统组成结构 (3)
5.3 用户界面 (4)
5.4 扫描引擎 (4)
5.5 结果评估分析引擎 (4)
5.6 数据库 (4)
6 系统分级 (5)
6.1 分级 (5)
6.2 基本型 (5)
6.3 增强型 (5)
I
7 基本型功能要求 (7)
7.1 自身安全功能要求 (7)
7.2 扫描功能要求 (7)
7.3 管理功能要求 (16)
8 增强型功能要求 (18)
8.1 自身安全功能要求 (18)
8.2 扫描功能要求 (20)
8.3 管理功能要求 (20)
9 性能要求 (21)
9.1 速度 (21)
9.2 稳定性和容错性 (22)
9.3 漏洞发现能力 (22)
9.4 误报率 (22)
9.5 漏报率 (22)
10 安全保证要求 (22)
10.1 设备质量保证 (22)
10.2 配置管理保证 (22)
10.3 交付和操作保证 (23)
10.4 指南文件保证 (23)
10.5 测试保证 (23)
10.6 脆弱性分析保证 (24)
II
附录漏洞扫描结果文件规范 (24)
A概述 (24)
A.1结果文件类型及命名约定 (24)
A.2与其他安全产品的接口模式 (25)
B扫描结果文件格式说明 (25)
B.1文件编码格式 (25)
B.2文档结构 (25)
B.2.1根节点名称 (25)
B.2.2数据描述信息节点 (25)
B.2.3扫描任务信息 (25)
B.2.4漏洞信息 (26)
B.2.5具体的漏洞信息 (26)
B.3标识符转义 (26)
III
管理信息系统漏洞扫描系统技术规范
1 总则
1.1本规范规定了公司管理信息系统的漏洞扫描系统的功能要求、性能要求和安全保证要求。

1.2本规范适用于公司管理信息系统的漏洞扫描系统的定制、开发、测评和选型。

2 规范性引用文件
下列文件中的条款通过本规定引用而构成为本规定的条文，凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本规定，使用本规定的相关部门及个人要研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件，其最新版本适用本规定。

GB 17859－1999 计算机信息系统安全保护等级划分准则
GB/T 20271－2006 信息安全技术信息系统通用安全技术要求
GB/T 18336.3－2001 信息技术安全技术信息技术安全性评估准则
GB/T 20278－2006 信息安全技术网络脆弱性扫描产品技术要求
ISO/IEC 15408－3:2008 安全保证要求（Information technology -- Security techniques -- Evaluation criteria for IT security -- Part 3: Security assurance components）
MSTL-JGF-04-017-2006 信息安全技术主机安全漏洞扫描系统检验规范
3 术语和定义
3.1漏洞扫描系统 vulnerability scan system
通过控制台对远程信息设备上的脆弱性进行扫描的产品；或者采用驻留本地主机，在本地控制台上对主机上的脆弱性进行扫描的产品。

3.2 误报 false positives
由于漏洞扫描系统本身的缺陷或不完善性而输出了错误的扫描结果。

3.3 漏报 false negatives
由于漏洞扫描系统本身的缺陷或不完善性导致某些实际存在的系统脆弱性或缺陷未被探测到的现象。

3.4缩略语
ACL 访问控制列表Access Control List
ARP 地址解析协议address resolution Protocol
CGI 公共网关接口Common Gateway Interface
CVE 通用脆弱性知识库Common Vulnerabilities and Exposures
DNS 域名系统Domain Name System
DOS 拒绝服务Denial of Service
FTP 文件传送协议File Transfer Protocol
HTTP 超文本传输协议Hypertext Transfer Protocol
ICMP 互联网控制报文协议Internet Control Message Protocol
IDS 入侵检测系统Intrusion Detection System
IP 网间协议Internetwork Protocol
IPS 入侵防御系统Intrusion Prevention System
MPLS 多协议标签交换multi-protocol label switching
NETBIOS 网络基本输入输出系统Network Basic Input Output System
NFS 网络文件系统Network File System
NIS 网络信息服务Network Information Service
POP 邮局协议Post Office Protocol
RPC 远程过程调用Remote Procedure Call
SMB 服务器消息块Server Message Block
SMTP 简单邮件传送协议Simple Mail Transfer Protocol
SNMP 简单网络管理协议Simple Network Management Protocol
SQL 结构化查询语言Structure Query Language
TCP 传送控制协议Transmission Control Protocol
UDP 用户数据报协议User Datagram Protocol
4 职责
4.1 公司信息部职责
4.1.1 公司信息部是漏洞扫描系统运行管理的归口管理部门。

4.1.2 负责组织制订公司漏洞扫描系统运行管理的相关标准、规范和管理制度。

4.1.3 负责监督、指导和考核公司漏洞扫描系统的运行维护工作。

4.1.4 负责公司总部漏洞扫描系统的日常运行维护工作。

4.2 分子公司信息管理部门职责
4.2.1 分子公司信息管理部门是本单位漏洞扫描系统运行管理的管理部门。

4.2.2 负责贯彻执行公司漏洞扫描系统运行管理相关标准、规范和管理制度。

4.2.3 负责组织制订本单位漏洞扫描系统运行管理的相关标准、规范和管理制度。

4.2.4 负责监督、指导和考核本单位漏洞扫描系统的运行维护工作。

4.2.5 负责汇总、上报本单位漏洞扫描系统的运维报告。

4.3 分子公司信息运维部门（单位）职责
4.3.1 负责本单位所管辖漏洞扫描系统的日常运行维护工作。

4.3.2 负责贯彻执行公司漏洞扫描系统运行管理相关标准、规范和管理制度。

4.3.3 配合信息管理部门制订本单位漏洞扫描系统运行管理的相关标准、规范和管理制度。

4.3.4 负责制订漏洞扫描系统的应急预案，并定期组织预案演练。

4.3.5 负责收集、汇总漏洞扫描系统运行过程中的意见及需求变更。

4.3.6 负责编写本单位漏洞扫描系统的运维报告，并上报本单位信息管理部门。

4.3.7 负责漏洞扫描系统运维外包厂商服务内容与服务质量的管控。

4.4 分子公司下属单位信息部门（单位）职责
4.4.1 负责贯彻执行公司漏洞扫描系统运行管理相关标准、规范和管理制度。

4.4.2 负责执行上级信息运维部门安排的本单位漏洞扫描系统日常运行维护工作。

5 漏洞扫描系统
5.1 概述
漏洞扫描系统通过对网络与信息系统进行漏洞扫描，发现其脆弱性，对其安全状况进行评估、风险分析、安全趋势分析，并对发现的安全隐患提出针对性的建议。

5.2 系统组成结构
（漏洞扫描系统的组成结构图）
5.3 用户界面
用户界面部分主要完成以下的功能：
a）负责接受并处理用户输入、定制扫描策略、开始和终止扫描、定制评估分析报告等；
b）显示系统工作状态。

5.4 扫描引擎
扫描引擎部分主要完成以下的功能：
a）响应用户界面指令；
b）读取扫描策略数据库，并依此制定执行方案；
c）执行扫描方案，启动扫描进程和线程，并进行调度管理；
d）将扫描结果存档保存。

5.5 结果评估分析引擎
结果评估分析引擎部分主要完成以下的功能：
a）读取数据库中的扫描结果信息；
b）形成扫描报告。

5.6 数据库
数据库部分主要完成以下的功能：
a）存放漏洞知识库；
b）存放扫描结果、定制策略内容、脆弱性描述及其解决方法；
c）提供数据查询和管理功能。

6 系统分级
6.1 分级
依据漏洞扫描系统的开发、生产现状及实际应用情况，可将漏洞扫描系统划分为基本型和增强型两个等级。

对定级为信息安全等级保护二级及以下的网络和信息系统开展脆弱性扫描可选用基本型产品；对定级为信息安全等级保护三级及以上的网络和信息系统开展脆弱性扫描，要求使用增强型产品。

6.2 基本型
该级别的漏洞扫描系统应满足第6、8、9章规定的功能要求、性能要求和安全保证要求。

6.3 增强型
该级别的漏洞扫描系统除满足基本型产品各项要求外，还必须满足第7章规定的功能要求。

漏洞扫描系统安全功能与等级划分：
7 基本型功能要求
7.1 自身安全功能要求
7.1.1 自主访问控制和身份鉴别
只有授权管理员才能使用漏洞扫描系统的完整功能，对于授权管理员至少应采用用户名/口令方式对其进行身份认证；
推荐选用支持公司推广的PKI/CA系统的漏洞扫描系统。

7.1.2 数据完整性
漏洞扫描系统应确保用户信息、策略信息和扫描结果的数据完整性。

应采取必要的手段对其完整性自动进行检验。

7.1.3 审计日志
对产品的使用（包括登录、扫描分析等）应产生审计日志记录。

7.2 扫描功能要求
7.2.1 脆弱性扫描概述
漏洞扫描系统应支持以下两类脆弱性的扫描检查，分别为：
a）系统安全漏洞类：由于操作系统、网络设备、数据库、应用程序自身的问题引起的安全风险，一般包括了登录漏洞、拒绝服务漏洞、缓冲区溢出、信息泄漏、蠕虫后门、意外情况处置错误等，反映了系统自身的安全脆弱性；
b）安全配置隐患类：由于人为的疏忽或错误的配置，导致操作系统、网络设备、数据库等系统额外产生的脆弱性，主要包括了账号、口令、授权、日志、IP通信等方面内容。

7.2.2 系统安全漏洞类脆弱性扫描的技术要求
7.2.2.1 操作系统脆弱性
漏洞扫描系统能够检测Windows、HP-UN、AIX、SOLARIS、UNIX和LINUX等操作系统、常见的路由器及交换机操作系统的安全问题，检查项目应包括：
a) 操作系统版本号；
b) 操作系统本身的漏洞，包括：
——设计错误；
——不能正确处理异常情况；
c) 其它由于操作系统或软件升级带来的安全隐患。

7.2.2.2中间件脆弱性
漏洞扫描系统能够检测websphere、weblogic、tuxedo、tomcat、东软、金蝶等常用中间件的安全问题，检查项目应包括：
a) 中间件版本号；
b) 中间件本身的漏洞，包括：
——设计错误；
——不能正确处理异常情况；
c) 其它由于中间件本身或升级带来的安全隐患。

7.2.2.3数据库脆弱性
漏洞扫描系统能够检测ORACLE、MS-SQL、MYSQL、DB2、SYBASE、GBASE等常用数据库的安全问题，检查项目应包括：
a) 数据库版本号；
b) 数据库本身的漏洞，包括：
——设计错误；
——不能正确处理异常情况；
c) 其它由于数据库本身或升级带来的安全隐患。

7.2.2.4 浏览器脆弱性
漏洞扫描系统应检查与浏览器安全相关的信息和配置，发现危险或不合理的配置，并提出相应的安全性建议。

检查项目应包括：
a) 浏览器版本号；
b) 其他由于操作系统或软件升级带来的安全隐患。

7.2.2.5 邮件服务器脆弱性
漏洞扫描系统应检查使用了POP3、SMTP等电子邮件相关协议的服务程序的安全问题，检查项目应包括：
a) 服务程序旗标和版本号；
b) 服务程序本身的漏洞，包括：
——设计错误；
——对输入缺乏合法性检查；
——不能正确处理异常情况。

c) 其它由于操作系统或软件升级带来的安全隐患。

7.2.2.6 FTP服务脆弱性
漏洞扫描系统应检查使用了FTP协议的服务程序的安全问题，检查项目应包括：
a) 服务程序旗标和版本号；
b) 服务程序本身的漏洞，包括：
——设计错误；
——对输入缺乏合法性检查；
——不能正确处理异常情况。

c) 其它由于操作系统或软件升级带来的安全隐患。

7.2.2.7 Web服务脆弱性
漏洞扫描系统应检查使用了HTTP协议的服务程序的安全问题，检查项目应包括：
a) 服务程序旗标和版本号；
b) 服务程序本身的漏洞，包括：
——设计错误；
——对输入缺乏合法性检查；
——不能正确处理异常情况。

c) 服务器上运行的脚本及CGI程序的漏洞；
d) 其它由于操作系统或软件升级带来的安全隐患。

7.2.2.8 DNS服务脆弱性
漏洞扫描系统应检查 DNS 服务的安全问题，检查项目应包括：
a) 服务程序旗标和版本号；
b) 服务程序本身的漏洞，包括：
——设计错误；
——对输入缺乏合法性检查；
——不能正确处理异常情况。

c) 其它由于操作系统或软件升级带来的安全隐患。

7.2.2.9 常用安全客户端软件
能够扫描常见的网络安全客户端软件（网络防病毒Symantec、TrendMicro、McAfee，IE浏览器、MSN、Yahoo Messenger、MS Office、多媒体播放器、VMware 虚拟机和各种P2P下载软件）的安全漏洞。

7.2.2.10 RPC 服务的脆弱性
漏洞扫描系统应检查使用了RPC协议的服务程序的安全问题，检查是否开启了危险的RPC服务。

7.2.2.11 NIS服务的脆弱性
漏洞扫描系统应检查使用了NIS协议的服务程序的安全问题，检查是否开启了危险的NIS服务。

7.2.2.12 SNMP服务的脆弱性
漏洞扫描系统应检查使用了SNMP协议的服务程序的安全问题，检查项目应包括：
a) SNMP 口令脆弱性检查；
b) 检查 SNMP 服务是否会暴露下列系统敏感信息，包括：
——TCP 端口表；
——UDP端口表；
——服务列表；
——进程列表；
——路由表；
——网络接口设备表。

7.2.2.13 口令脆弱性
漏洞扫描系统应检查系统帐户口令的健壮性，检查项目应包括：——系统是否使用了帐户名称经过简单变换后的口令；
——系统是否使用了易猜测口令；
——使用字典，检查系统是否使用了易猜测的口令；
——使用穷举法猜测口令以验证系统帐户口令的强度。

7.2.2.14 木马
漏洞扫描系统应检查常见木马使用的默认端口是否开启，并对扫描得到的开启端口进行测试分析。

7.2.2.15 windows服务
漏洞扫描系统应检查windows服务开启情况，检查项目应包括：
a）获取将当前启动的windows服务列表；
b）将当前启动的windows服务列表与用户定义的“已知windows服务列表”相比较，给出“未知windows服务列表”；
c）检查是否启动了具有一定危险性的windows服务。

7.2.2.16 NFS服务脆弱性
漏洞扫描系统应检查NFS服务相关的脆弱性。

7.2.2.17 网络设备脆弱性
漏洞扫描系统应支持检查路由器、交换机等网络设备及其开启服务相关的脆弱性。

7.2.2.18 DOS攻击脆弱性
漏洞扫描系统应能使用实际攻击手法对目标主机进行真实的攻击，以检查目标主机对已知DOS攻击的抵御能力。

7.2.2.19 其它已知 TCP/IP 服务脆弱性
漏洞扫描系统应支持检查其它使用了TCP/IP协议的服务程序的安全问题，检查项目应包括：
a) 服务程序的旗标和版本号；
b) 服务程序本身的漏洞，包括：
——设计错误；
——对输入缺乏合法性检查；
——不能正确处理异常情况；
c) 服务程序的错误配置。

7.2.2.20 其他未知
漏洞扫描系统应支持其他未知的系统安全漏洞类脆弱性扫描检查，并给出扫描结果。

7.2.3 安全配置隐患类脆弱性扫描的技术要求
7.2.3.1 操作系统脆弱性
漏洞扫描系统应支持检查Windows、HP-UN、AIX、SOLARIS、UNIX和LINUX 等操作系统的安全配置问题，检查项目应包括：
a) 帐号管理；
b) 认证授权；
c) 日志配置；
d) IP协议安全配置；
e) 设备其他配置操作：
——屏幕保护设置；
——共享文件夹及访问权限；
——补丁管理；
——启动项等；
f) 其它由于可能对操作系统带来的安全隐患的配置。

7.2.3.2 路由器、交换机脆弱性
漏洞扫描系统应支持检查路由器/交换机的安全配置问题，检查项目应包括：
a) 帐号管理；
b) 认证授权；
c) 日志安全；
d) IP协议安全：
——基本协议安全；
——路由协议安全；
——SNMP协议安全；
——MPLS安全等；
e) 其它由于可能对路由器、交换机带来的安全隐患的配置。

7.2.3.3 防火墙脆弱性
漏洞扫描系统应支持检查防火墙的安全配置问题，检查项目应包括：
a) 帐号管理；
b) 认证授权；
c) 日志安全；
d) IP协议安全
——基本协议安全；
——路由协议安全；
——SNMP协议安全等；
e) 其它由于可能对防火墙带来的安全隐患的配置。

7.2.3.4 数据库脆弱性
漏洞扫描系统应支持检查数据库的安全配置问题，检查项目应包括：
a) 帐号管理；
b) 认证授权；
c) 日志安全；
d) 支持通用的数据库，但不仅限于如下类型：ORACLE、MS-SQL、MYSQL、DB2、SYBASE、GBASE；
e) 其它由于可能对数据库系统带来的安全隐患的配置。

7.2.3.5 DNS脆弱性
漏洞扫描系统应支持检查DNS的安全配置问题，检查项目应包括：
a) 记录安全事件；
b) 隐藏BIND版本信息；
c) 禁止DNS域名递归查询；
d) 增加查询ID的随机性；
e) 限制域名查询；
f) 指定不接受区域请求；
g) 定义ACL地址名；
h) 控制管理接口；
i) 防止DNS欺骗；
j) 设置重试查询次数；
k) 其它由于可能对DNS带来的安全隐患的配置。

7.2.3.6 WEB应用脆弱性
漏洞扫描系统应支持检查WEB应用的安全配置问题，检查项目应包括：
a) 帐号管理；
b) 认证授权；
c) 日志安全；
d) 其他安全检查
——文件系统及访问权限；
——补丁管理；
——服务组件安全等；
e) 其它由于可能对WEB应用带来的安全隐患的配置。

7.2.3.7 中间件脆弱性
漏洞扫描系统应支持检查中间件的安全配置问题，检查项目应包括：
a) 帐号管理；
b) 认证授权；
c) 日志安全；
d) 其他安全检查
——文件系统及访问权限；
——补丁管理；
——服务组件安全等；
e) 其它由于可能对中间件应用带来的安全隐患的配置。

7.2.3.8 其它
漏洞扫描系统产品应提供自定义检查的功能，对于产品中尚不能识别的设备，或者尚未实现的检查点，能够方便的在产品中通过手工配置，达到自定义检查的目的。

a) 能够对UNIX类系统的文件内容、文件权限、进程、端口进行自定义检查；
b) 能够对Windows系列的文件内容、端口、注册表检查，能够自定义执行检查命令。

7.2.4 信息采集
7.2.4.1 操作系统探测
漏洞扫描系统应能对操作系统类型和版本号进行探测。

7.2.4.2 服务旗标
漏洞扫描系统应能获取已开启的各项TCP/IP服务的旗标。

7.2.4.3 其他信息
漏洞扫描系统应能对下列的信息进行探测：
a）系统软件配置信息；
b）系统网络配置信息；
c）共享目录信息；
d）系统运行状态信息。

7.2.5 端口和服务扫描
7.2.5.1 RPC端口
漏洞扫描系统应能获取运行的RPC服务及其所在的RPC端口信息。

7.2.5.2 TCP端口
漏洞扫描系统应能扫描所有TCP端口，检查其是否开启。

7.2.5.3 UDP端口
漏洞扫描系统应能扫描所有UDP端口，检查其是否开启。

7.2.5.4 端口协议分析
就扫描得到的已开启的TCP/UDP端口，漏洞扫描系统应能判断相应端口对应的服务或使用的协议。

7.2.5.5 NT服务
漏洞扫描系统应能获取目标主机上已启动的NT服务列表。

7.2.5.6 深入扫描能力
可以在扫描过程中人工指定包括SNMP、SMB等常见协议的登录口令，登录到相应的系统中对特定应用进行深入扫描。

7.2.5.7 口令猜测能力
可定义扫描端口范围、端口扫描方式，支持多种口令猜测方式，包括利用Telnet, Pop3, Ftp, Windows SMB等协议进行口令猜测，允许外挂用户提供的字典档。

7.2.5.8 WEB系统扫描
提供专用的安全检测模块对常见的Web应用进行深度内容分析，精确识别如SQL注入、跨站脚本、网站挂马、网页木马、CGI漏洞等。

能够列出被检测网站的目录结构。

支持Javascript解析，能从Javascript代码中分析出url。

产品支持自定义Cookie进行深入检测。

支持基于basic、NTLM、Cookie等认证方式的Web应用系统安全扫描。

支持预录制功能，能够根据用户操作获取url，进行检测。

7.3 管理功能要求
7.3.1 自动发现设备
漏洞扫描系统能够基于ARP、ICMP、TCP等多种网络协议准确地发现并识别网络中设备，能根据设备的IP、名称等进行排序，能够对设备重要性进行量化并且通过形象的图示展现设备的风险值和风险等级。

漏洞扫描系统应支持手工指定扫描范围，即支持对单个IP地址、多个不连续的IP地址或地址段进行扫描，扫描结果能够根据IP地址进行检索。

7.3.2 访问控制
漏洞扫描系统应确保只有授权管理员才能访问漏洞扫描系统，即只允许授权管理员有配置和使用漏洞扫描系统的能力。

7.3.3 扫描结果分析处理
7.3.3.1 扫描结果应能写入数据库；
7.3.3.2 可对结果数据库执行导入导出操作；
7.3.3.3 漏洞扫描系统应能对结果数据库进行查询并形成报告，报告可分为下列类别：
a）脆弱性报告，包括各脆弱点的详细信息、补救建议等；
b）对目标主机扫描后的信息获取结果生成相应的报告；
c）脆弱性分析报告，包括：
——目标的风险等级评估报告；
——多个目标扫描后的结果的总体报告；
——对关键的漏洞扫描信息可生成摘要报告；
——针对主机间进行比较的结果生成报告。

7.3.3.4 报告应能根据用户要求进行定制；
7.3.3.5 报告应可输出为通用的文档格式；
7.3.3.6 漏洞扫描系统应提供扫描结果数据库浏览功能。

7.3.4 扫描策略定制
7.3.4.1 漏洞扫描系统应能使用目标系统的已知账号/口令对其进行更有效的扫描；
7.3.4.2 漏洞扫描系统应能定制扫描项目及属性；
7.3.4.3 漏洞扫描系统应能对策略定制操作形成审计记录；
7.3.4.4 漏洞扫描系统应提供方便的定制策略的方法。

7.3.5 扫描对象的安全性
7.3.5.1 强度和深度限制
漏洞扫描系统在漏洞探测的强度和深度上应进行一定的控制，以避免对被扫描系统造成严重危害。

7.3.5.2 对目标系统所在网络性能的影响
扫描应不影响网络的正常工作，但可允许网络性能的少量降低。

7.3.5.3 对目标系统的影响
扫描应避免影响目标系统的正常工作，避免使用攻击方法进行测试；在使用某些可能对目标系统产生不良后果的扫描手段时（如使用DOS等攻击测试手段），漏洞扫描系统在测试开始前给出明确的告警提示，说明该类测试的危害，并要求用户进行确认。

7.3.6 升级能力
7.3.6.1 升级频率
系统的漏洞知识库和漏洞检测规则根据攻击技术的发展可及时更新升级，要求系统每两周至少进行一次定期升级。

在重大安全漏洞公布后，应在2天内发布紧急升级包。

7.3.6.2 自动升级
漏洞扫描系统能定期搜索互联网或本地，支持本地升级和在线升级，支持手动升级和自动升级。

产品体系结构的设计应有利于产品的升级操作。

漏洞扫描系统升级过程可暂时终止系统服务程序的运行，升级完成后能重新启动服务程序，按照先前的策略继续运行。

7.3.6.3 升级安全控制
升级应采取某种机制，以防止得到错误的或伪造的系统升级包。

例如采取身份验证、数字签名以及数据传输加密等手段。

7.3.7 集中管理
7.3.7.1 支持分布式部署与级联部署；
7.3.7.2 支持远程管理。

8 增强型功能要求
8.1 自身安全功能要求
8.1.1 自主访问控制
8.1.1.1 属性定义
漏洞扫描系统应为每个管理角色规定与之相关的安全属性，例如管理角色标识、鉴别信息、隶属组、权限等。

8.1.1.2 属性初始化
漏洞扫描系统应提供使用默认值对创建的每个管理角色的属性进行初始化的能力。

8.1.1.3 本地密码文件保护
漏洞扫描系统应采取某种措施（如加密）保证本地密码文件的安全。

8.1.1.4 远程管理
漏洞扫描系统应采取控制台和扫描引擎相分离的的体系结构，控制台对扫描引擎的访问应可控制，如采取身份验证措施等。

8.1.2 身份鉴别
8.1.2.1 操作前身份鉴别
在某个管理角色需要执行任何管理操作之前，漏洞扫描系统应对该管理角色的身份进行鉴别，并将鉴别的结果生成审计记录。

8.1.2.2 重鉴别
对于某个已通过身份鉴别的管理角色，当其空闲操作的时间超过了规定值后，在该管理角色需要执行某项管理功能之前，漏洞扫描系统应对该管理角色的身份重新进行鉴别。

8.1.2.3 鉴别数据保护
漏洞扫描系统应保证鉴别数据不被未授权查阅、修改和破坏。

8.1.2.4 鉴别失败处理
漏洞扫描系统应为管理员登录设定一个授权管理员可修改的鉴别尝试次数，当管理员的不成功登录尝试超过该次数时，系统应阻止管理员的进一步鉴别请求，例如帐号失效一段时间，或者锁定该管理员帐号直至超级管理员恢复该管理员的被鉴别能力。

8.1.2.5 客体重用限制
在某个管理角色通过身份鉴别后，漏洞扫描系统应确保不提供前一次注销的管理角色的任何信息，包括鉴别信息、扫描策略信息和扫描日志等。

8.1.3 数据保密性
漏洞扫描系统应采取某种保护措施（如加密）保证敏感信息（如用户鉴别信息、扫描策略信息和扫描日志等）的保密性和完整性。

对加密的敏感数据应能进行数据完整性检验。

8.1.4 通讯信息保密
漏洞扫描系统应确保扫描信息不能被未授权的第三方通过网络进行截取并破解，保证扫描信息的保密性。

8.1.5 审计
8.1.5.1 审计记录
漏洞扫描系统应为下列事件生成审计记录：
a）审计功能的开启和关闭；
b）任何读取、修改和破坏审计数据的尝试；
c）任何对身份鉴别机制的请求和使用；
d）任何对系统配置参数的修改（设置和更新）。

8.1.5.2 审计数据管理
漏洞扫描系统应确保只有授权管理员才能读取、修改或删除审计数据。

8.1.5.3 审计数据存储管理
当审计记录占用的存储空间达到规定的存储空间大小时，应能自动删除部分旧的日志记录，以保证审计功能的正常运行。

系统应支持审计记录导出，并能采用通用标准接口与日志管理系统集成。

8.2 扫描功能要求
增强型漏洞扫描系统应能对发现的漏洞提出修补建议，漏洞修补建议应满足下列要求：
a）应针对不同的操作系统类型提出针对性的漏洞修补方法；
b）当发现目标主机存在漏洞后，可根据漏洞表现形式提出相应的措施；
c）漏洞描述应详细，提供的漏洞修补方法应经过验证。

8.3 管理功能要求
8.3.1 扫描结果分析
能够对扫描结果数据进行在线分析，能够根据端口、漏洞、BANNER标签信息、IP地址等关键字对主机信息进行查询并能将查询结果保存。

能够在线对多个已完成的扫描任务进行汇总分析。

提供对比分析能力，能够对多个任务结果进行分析。

离线报告可以输出到HTML、WORD、EXCEL等文件，报告可以直接下载。

同时报表输出支持按任务或按照IP范围，同时每个输出任务中可进行IP的筛选，直接定位到主机报表。

8.3.2 安全基线管理
漏洞扫描系统支持根据扫描结果中的漏洞、安全配置、端口、进程、服务等综合衡量网络脆弱性情况，提供脆弱性度量标准，给出该标准的详细描述。

支持。