【1. 概述】 分布式漏洞扫描系统设计与实现

一·概述

此文原出自【爱运维社区】： http://www.easysb.cn

1.1 前言

由于信息在当今社会显得越来越重要，其安全性就越发突出，尤其是在近几年，信息安全越来越受到企业的重视。 如今，几乎所有的互联网都有开发自己的漏洞扫描平台，用于发现内部的安全隐患。此外，很多专业的安全工程师就有自己开发的漏洞挖掘系统，随着各种漏洞盒子的出现，这种系统也越来越多，越来越强大。

1.2 何去何从

对于一个不是专门做安全的小公司来说，如果大费周章滴自己从头到尾开发一套扫描系统，那绝对是脑袋被驴踢了。但是这绝不意味着我们不去做漏洞扫描系统，相反，我们一定要去做，而且努力在资源有限的情况下做的更好。

大家都知道，现在网上有很多开源的工具，比如sqlmap, hydra, medusa,openvas等等， 当然也有很多优秀的商业产品，比如WVS等。试想，倘若公司有成千上万个IP和域名，那么让几个安全工程师每天去使用这些不同工具，对公司的内网网进行安全扫描，那这个工作量是很大的，而且这些工作很多都是重复性的工作，所以很自然地想到：做一个自动化的漏洞扫描平台，然后自动调些工具进行扫描，最后将结果进行汇总以便分析。

1.3 可以走的更远一些

现在各种应用服务是个非常流行的概念，它可以降低很多使用成本和沟通成本，所以我们可以把漏洞扫描做成了一个平台，相当于做了一个漏洞扫描服务平台，任何对安全不是很了解的同事，不管是开发，还是运维，都可以使用该平台进行安全扫描，及时发现漏洞。如果安全人员只是在产品上线后才进行检测，那么出现踢皮球的事情，产品那边说急着上线，安全这边说不行，最后邮件打架到领导那去了。。。

所以，如果条件允许的话，我们可以在产品QA里面加入安全QA流程，任何上线的产品，只需发送消息到此漏洞扫描平台的，就会自动化安全扫描，如果发现漏洞的话，我们可以协助研发人员把漏洞修复，保证产品上线的安全性。

1.4 多余的话

集成各种漏洞扫描挖掘工具，确实可以给我们带来很多开发上的便利，但每个公司难免都有一些不同的特点，导致会有一些特殊的需求，比如服务器没有按照标准进行安全加固，WEB服务器没有禁用与运维无关的端口等等，所以我们有必要在实现这些扫描系统的时候，必须做成一个插件式的系统框架，一方面是是可以保持系统稳定，兼容性好，另外一方面可以我们可以根据自己的需求写各种插件。





作者：胡杨<jekkay@easysb.cn><479904359@qq.com>

此文原出自【爱运维社区】： http://www.easysb.cn

如转载请标明原出处，谢绝阉割党。