漏洞扫描通常是指采取主动的方式，在收到相应的授权扫描许可后，基于漏洞特征库，对指定的远程或者本地系统的安全脆弱性进行检测，发现可利用的漏洞的一种安全检测行为。那么，漏洞扫描的需求背景是什么？

        WebRAY一体化漏洞评估系统（简称RayScan）是一款针对设备入网、网站上线、日常运维、安全事件脆弱点分析、等保合规等场景提供的一体化脆弱性分析与评估产品。能够为监管、能源、金融、教育等行业用户提供涵盖系统漏洞检测、web漏洞检测、数据库漏洞检测、配置合规检测、弱口令检测在内的五合一脆弱性检测能力。

系统漏洞扫描

主机系统上存储、处理和传输各种重要数据，一旦遭受攻击，将可能导致程序运行失败、系统宕机、重新启动等后果，或者是获得主机上存储的敏感信息。更为严重的是，可以利用漏洞来执行非授权指令，甚至可以取得系统特权，从而控制整个主机，进而进行各种非法操作。

RayScan支持针对网络环境中的各种主机、交换机路由器、防火墙、中间件等存在的常见漏洞、典型漏洞（如心脏出血）、0day漏洞等进行扫描和检查。具体功能如下：

1. 支持扫描通用操作系统，涵盖Windows系列、苹果操作系统、Linux、AIX、HPUX、IRIX、BSD、Solaris等。

2. 支持扫描交换路由设备，涵盖Cisco、Juniper、华为、F5、Checkpoint、锐捷在内的主流厂商的设备。

3. 支持扫描安全设备，涵盖Checkpoint、赛门铁克、Cisco、Juniper、Palo Alto、华为在内的主流厂商的防火墙等安全设备。

4. 支持扫描物联网设备，如主流厂商海康威视、宇视、华为、大华、Brickcom、索尼、TP-LINK、AXIS、佳能等的摄像头，三星、惠普、爱普生、佳能等厂商的打印机。

5. 支持针对工控专用设备包括PLC、SCADA、DCS、工控专用网络设备的漏洞扫描。

6. 支持国产操作系统、数据库的扫描，国产操作系统包含中标麒麟、凝思、华为欧拉、深度、红旗、中兴新支点，国产数据库包括神通、人大金仓、南大通用、达梦。

7. 支持大数据组件框架漏洞检测，如zookeeper、ElasticSearch、ActiveMQ 、Kibana、Hadoop等。

    

Web漏洞扫描

由于在开发过程中，网站开发人员水平参差不齐或者安全意识淡薄，网站存在的SQL注入、跨站、暗链等问题，可能导致网站被篡改、网站数据被篡改、核心数据如账户信息被窃取、网站服务器变成傀儡主机等问题。

盛邦安全一体化漏洞评估系统可检测网站存在的OWASP Top10定义的web漏洞如注入（SQL注入、Cookie注入、XPath注入、代码注入、框架注入、Base64注入、命令注入、操作系统命令注入）、XSS跨站脚本、伪造跨站点请求（CSRF）、网页挂马、暗链、敏感信息泄露、安全配置错误等漏洞风险。并直观展示出来，便于快速定位。

数据库漏洞扫描

采用先进的数据库发现技术和实例发现技术等，可针对当下主流的数据库，如Oralce、MySQL、Postgres、IBMDB2、MongoDB、SQLServer、Informix、Sybase等进行漏洞检测，包括对数据库系统的各项设置、数据库系统软件本身已知漏洞、数据库系统完整性进行检查和对数据库系统的整体安全性做出评估，并给出提高数据库安全性的修复建议。通过登录扫描可对数据库的系统表甚至字段进行安全检测。

安全基线检测

安全配置核查是安全管理的基本工作，同时也是安全运维的重要技术手段。安全配置核查首先要建立满足组织信息安全管理体系的安全配置要求的基线。当前，部分重要行业和监管部门已经针对行业的信息系统建立详细的安全配置要求及规范。它构建针对不同系统的详细检查项清单和操作指导，为安全运维人员的安全技术操作提供标准化框架和指导，有很广泛的应用范围，主要包括新系统的上线安全检查、第三方入网安全检查、安全合规检查、日常安全检查等。

盛邦安全一体化漏洞评估系统参考国内外标准、行业技术规范和安全运维最佳实践构建了以业务系统为核心，覆盖业务层、系统支撑层的安全配置基线模型。从业务系统安全要求出发，将要求分解到对应的支撑系统的具体安全要求。可以支持在线和离线两种形式下发任务，支撑系统包括操作系统、数据库、中间件和应用系统，还包括网络设备和安全设备等。针对这些支撑系统的具体产品类型如Windows, Oracle, WebLogic,交换机,防火墙等，根据具体的安全要求可细化到可执行和实现的具体要求，并可以对同类设备，不同品牌型号，形成具体的安全要求及配置检查方法。

弱口令扫描

对系统存在的弱口令做检测，支持知名的协议、数据库、中间件、HTTP服务、HTTPS服务和摄像头检测如TELNET、FTP、SSH、POP3、RDP、SMTP、Oracle、MySQL、PostgreSQL、MsSQL、Sybase、Informix、HTTP、大华摄像头、华为摄像头等。系统内置默认的字典库，并支持上传自定义的字典库，丰富平台弱密码检测能力。