漏洞扫描“全覆盖”法则 | 被动扫描如何在资产发现中发挥作用？

适用场景：

• 左移上线前的安全检测。以功能测试人员作为人工爬虫，在对功能测试的同时，对所点击的网页进行安全检测。既可保证扫描目标覆盖的全面性，又为安全测试增加了更多的时间，同时还提高了安全测试的效率

• 方便扫描确定性的目标。灵活控制要扫描的内容，点哪扫哪，减少扫描时间

• 精准扫描需要表单验证的网页。表单的地方可以手动提交符合表单验证的数据，避免了机器爬虫的反复提交验证，快速准确校验认证数据，方便做漏洞探测

优点：

• 扫描内容灵活、可控、精准

• 扫描速度人为可控

不足：

• 人工爬虫比机器爬虫速度慢，不适合批量大的资产目标使用

适用场景：

• 需要对Web 服务资产进行大量的扫描

• 可以和企业本身运维日志系统（例如ELK）进行整合

优点：

• 日志获取方便快捷

• 支持扫描https加密流量

• 不易发现的接口，可以在日志中发现

不足：

• 日志文件的解析依赖于日志解析规则，如不是通用规则的日志（ngnix、Apatch等），需自定义日志解析规则

• 访问日志不可控，扫描目标可能不全

适用场景：

• 需要对企业资产进行大量的扫描，且不含加密流量

优点：

• 流量获取方便快捷

• 获取的流量范围广，不仅仅限于Web服务

不足：

• 无法捕获https加密流量

• 访问日志不可控，扫描目标可能不全

福利 | xray 社区版

去年 7 月 ，长亭科技发布了以资产管理、安全评估、漏洞管理为核心的洞鉴（X-Ray）安全评估系统，用来解决传统漏洞扫描产品不够贴近业务场景，很难做好安全闭环的问题。 在产品发布的一年里，我们获得了不少客户的认可，也收到了许多使用者的反馈，在这个过程中有很多朋友联系我们，希望能以个人的身份体验产品功能。 

在过去的几年中， 长亭科技开源了雷池（SafeLine）的语义分析算法生成引擎，开源了牧云（CloudWalker）的核心技术，开源了众多安全小工具 。 现在我们将以社区版 工具 的形式开放（非开源）洞鉴（X-Ray）的核心能力，让更多的朋友能和我们一起为更先进的漏洞扫描算法努力 。

加入讨论区：

Github issue：
https://github.com/chaitin/xray/issues
QQ：
717365081
WeChat：
LS4gLi0gLS0tIC0uLS4gLi0gLS4gLS0gLS0tIC0uIC4uLiAtIC4gLi0u
（不要怀疑，解出这道题，你就能获得酷帅管理员的微信号，通过审核即可入群）

Web3.0时代即将到来， 以洞鉴（X-Ray）为代表的漏洞扫描产品的快速迭代，集主动扫描与被动扫描于一身的方式，必将为企业资产安全管理、安全评估与漏洞管理带来难以估量的价值 。

点击下方小程序，申请试用洞鉴（X-Ray）商业版。

戳下方“阅读原文”

即刻下载 体验xray社区版