本规范由中华人民共和国公安部公共信息网络安全监察局提出。
本规范起草单位：公安部计算机信息系统安全产品质量监督检验中心。
公安部计算机信息系统安全产品质量监督检验中心负责对本规范的解释、提升和更改。
信息技术主机安全漏洞扫描产品技术要求
1.范围
本标准规定了采用“传输控制协议/网间协议（TCP/IP）”的主机安全漏洞扫描产品的技术要求。
本标准适用于主机安全漏洞扫描产品安全功能的研制、开发、测试、评估和产品的采购。
2.术语和定义
2.1 本标准采用了GB/T 5271.8中的下列术语：
安全策略 security policy
安全审计 security audit
鉴别 authentication
威胁 threat
脆弱性 vulnerability
攻击 attack
2.2 下列定义适用于本标准。
2.2.1 误报 False Positives
由于扫描器程序本身的缺陷或不完善性而输出了错误的扫描结果。
2.2.2 漏报 False Negatives
由于扫描器程序本身的缺陷或不完善性导致某些实际存在的系统漏洞或缺陷未被探测到的现象。
3.安全功能要求
3.1 自身安全功能要求
3.1.1 使用者身份控制
只有本机的特定用户（通常为授权管理员）才有权使用软件的完整功能，对于授权管理员至少采用用户名、口令方式对其进行身份认证。
3.1.2 通讯信息保密
必须保证漏洞扫描软件控制台同代理宿主机通讯信息的保密性。
3.1.3 软件使用记录
对软件的使用（包括失败的登录等）应有完备的日志记录，便于审计跟踪、分析。
3.2 安全功能要求
3.2.1 脆弱性扫描
3.2.1.1 操作系统脆弱性扫描
a)操作系统版本以及补丁
b)操作系统的安全隐患
c)操作系统危险或错误的配置
3.2.1.2 重要文件、目录脆弱性扫描
a)文件、目录属性设置
b)文件、目录危险或错误配置
c)可疑文件
d)文件Checksum识别
e)长度识别
3.2.1.3 浏览器脆弱性扫描
检查和浏览器安全相关的信息和配置，发现危险或不合理的配置，并提出相应的安全性建议。检查项目应该包括：
a)浏览器版本号
b)安全设置
c)其它由于操作系统或软件升级带来的安全隐患。
3.2.1.4 Web服务脆弱性扫描
a)服务程序本身的漏洞
b)服务器上运行的脚本、CGI程序等等的漏洞
c)服务器的危险或错误配置
d)其它由于操作系统或软件升级带来的安全隐患。
3.2.1.5 其他通用服务脆弱性扫描
a)服务版本
b)服务漏洞
c)服务控制文件的危险或错误配置
3.2.1.6 NT用户、组、注册表脆弱性扫描
a)系统口令策略设置
b)审核策略设置
c)危险或错误的用户配置
d)用户组策略设置
e)注册表项目访问权限设置
f)注册表中危险或错误配置
3.2.1.7 文件共享脆弱性扫描
a)NETBIOS或SMB的危险设置
b)共享策略设置
3.2.1.8 其它脆弱性扫描
未归于以上门类脆弱性。
3.3 性能要求
3.3.1 速度
3.3.1.1 使用多线程或多进程技术提高扫描速度。
3.3.1.2 可以通过调整扫描线程或进程数目的方法来调节扫描速度。
3.3.2 稳定性，容错性
3.3.2.1 主界面不会失去响应或非正常退出。
3.3.2.2 扫描进度不会停滞不前。
3.3.2.3 扫描过程可以随时停止。
3.3.3 漏洞修补方法
3.3.3.1 漏洞描述详细，修补方法有效。
3.4 管理要求
3.4.1 授权管理员访问
仅限授权的管理员才能访问漏洞扫描器，即只允许授权管理员有配置、使用漏洞扫描器的能力。
3.4.2 扫描结果分析处理
3.4.2.1 扫描结果以报告形式提供。
3.4.2.2 扫描结果写入数据库。
3.4.2.3 扫描结果数据库可导入导出。
3.4.2.4 可按照不同的分类定制报告。
3.4.2.5 报告可输出成标准格式。
3.4.2.6 提供全面灵活的扫描结果数据库浏览功能。
3.4.3 扫描策略定制
3.4.3.1 定制扫描项目及属性。
3.4.3.2 具有完备的日志及审计功能。
3.4.3.3 提供方便的定制策略的方法。
3.4.4 扫描对象的安全性
3.4.4.1 对目标系统所在网络性能的影响：扫描应不影响网络的正常工作，允许网络性能的少量降低。
3.4.4.2 对目标系统的影响：扫描应尽量避免影响目标系统的正常工作，尽量避免使用攻击方法进行测试；在必要时使用DOS等等攻击测试手段，测试开始前要给用户明确的提示，说明该类测试的危害。
3.4.5 升级能力
根据攻击技术的发展可及时更新升级。产品结构应有利于测试方法、测试说明和补救方法的添加、删除和修改。
3.4.6 安装与操作控制
要确保对漏洞扫描器的安装、卸载、管理、操作都是安全可控的。
4.主机安全漏洞扫描产品的保证要求
4.1 交付和运行
4.1.1 交付过程
4.1.1.1 开发者行为元素：
a)开发者应将把主机安全漏洞扫描产品及其部分交付给用户的程序文档化；
b)开发者应使用交付程序。
4.1.1.2 证据元素的内容和表示
交付文档应描述，在给用户方分配主机安全漏洞扫描产品的版本时，用以维护安全所必需的所有程序。
4.1.2 安装、生成和启动程序
4.1.2.1 开发者行为元素
开发者应将主机安全漏洞扫描产品安全地安装、生成和启动所必需的程序文档化。
4.1.2.2 证据元素的内容和表示
文档应描述主机安全漏洞扫描产品安全地安装、生成和启动所必要的步骤。
4.2 指导性文档
4.2.1 管理员指南
4.2.1.1 开发者行为元素
开发者应当提供针对系统管理员的管理员指南。
4.2.1.2 证据的内容和形式元素：
a)管理员指南应当描述主机安全漏洞扫描产品管理员可使用的管理功能和接口；
b)管理员指南应当描述如何以安全的方式管理主机安全漏洞扫描产品；
c)管理员指南应当包含在安全处理环境中必须进行控制的功能和权限的警告；
d)管理员指南应当描述所有与主机安全漏洞扫描产品的安全运行有关的用户行为的假设；
e)管理员指南应当描述所有受管理员控制的安全参数，合适时，应指明安全值；
f)管理员指南应当描述每一种与需要执行的管理功能有关的安全相关事件，包括改变TSF所控制的实体的安全特性；
g)管理员指南应当与为评估而提供的其他所有文档保持一致；
h)管理员指南应当描述与管理员有关的IT环境的所有安全要求。
4.2.2 用户指南
4.2.2.1 开发者行为元素
开发者应当提供用户指南。
4.2.2.2 证据的内容和形式元素：
a)用户指南应该描述主机安全漏洞扫描产品的非管理用户可用的功能和接口；
b)用户指南应该描述主机安全漏洞扫描产品提供的用户可访问的安全功能的用法；
c)用户指南应该包含受安全处理环境中所控制的用户可访问的功能和权限的警告；
d)用户指南应该清晰地阐述主机安全漏洞扫描产品安全运行中用户所必须负的职责，包括有关在主机安全漏洞扫描产品安全环境阐述中找得到的用户行为的假设；
e)用户指南应该与为评估而提供的其它所有文档保持一致；
f)用户指南应该描述与用户有关的IT环境的所有安全要求。