本帖最后由 adds 于 2022-5-2 15:31 编辑
风险评估有啥用？ 对企业的内、外网资产进行梳理，通过系统漏洞扫描、web漏洞扫描、基线核查、口令爆破、渗透测试等技术手段对业务进行弱点分析，然后根据资产赋值表，生成风险分析报告。
一、创建项目 1、登录PMS 新建一个项目。在PMS下的【项目监管--项目列表】下新建一个项目。
2、创建完成
二、风险评估 1、登录RAP平台 rap平台不能直接登录，需要在PMS上进行跳转。
跳转后就可以看到我们刚刚上一步创建的项目。
点击”开始评估“，就可以进入”风险评估“的界面。
2、管理员设置 新增资产管理员，填写管理员邮箱。用于接收RAP系统发送的资产漏洞信息邮件。
新增完成：
3、应用系统录入 新增系统。路径：【评估设置】--【应用系统录入】下新增系统。
本次共新增两个业务系统：
4、资产梳理 点击”开始执行“
这里只支持数据导入的方式。
点击”导入“，导入我们的资产。
这里注意下导入的数据格式，支持标准模板导入、TSS和Nmap三种格式。我们这里选择之前已经使用TSS工具得到的资产识别表。
内网资产梳理完成：
返回”资产梳理“界面，点击”立即合并“。
点击”开始合成“。
资产梳理配置完成：
5、弱点分析 a.系统漏洞扫描 在【弱点分析--系统漏洞扫描】下”导入漏洞数据“。
编辑导入参数：
数据格式支持TSS、NESSUS、极光和天镜。
系统漏洞扫描数据导入完成。
在【弱点分析--系统漏洞汇总】下进行汇总，这一步必须做，不能跳过。
漏洞汇总完成：
b.web漏洞扫描 导入漏洞数据
这里的数据格式只支持TSS。 导入完成：
c.基线核查 同样是导入脚本执行的结果或在TSS生成的结果。
基线核查导入完成。
d.弱口令数据 在【弱点分析--口令爆破】下导入TSS生成的结果。
数据模式还支持标准模板导入、超级弱口令。
我们这次导入的系统没有弱口令问题，所以会出现导入失败的情况。
报错：
三、TSS工具升级 1、下载升级包 打开TSS管理界面，会提示有新升级包。 当前版本是1.7.1，提示要升级到1.7.2版本。 按照提示进行下载：
下载完成后，点击”升级此设备“按钮进行升级。
按照步骤，一步步操作即可完成升级。
6、风险分析 风险分析列表展示总表资产的具体的综合的风险情况。
7、报告生成 点击”生成评估报告“。
配置各项参数，然后点击”生成“。
注：如果点击”生成“后没有反应，将右侧状态栏下拉，看下是不是”报告说明“没有编辑。
等待”状态“为”生成成功“后，点击”下载报告“即可。 总共会生成5个报表：
四、注意点 1、系统漏洞 这个结果需要在TSS里进行导出。 登录TSS，在【安全检查--系统漏洞扫描】进行任务的创建。
配置好各项参数后，点击”提交“即可。 然后可以在”任务列表“查看进度。
点击”下载“即可下载结果。这里下载的是docx格式的文件。 如果需要导入到RAP里，需要在【报告管理--报告列表--评估报告】里下载。
2、web漏洞扫描 在TSS下的【安全检查--WEB漏洞扫描】下进行。
点击提交后等待任务完成。
注：这个时间很长，两台服务器扫了大概3个小时。
任务进度条跑满后，就可以去报告管理里下载报告了。
3、基线核查 我们直接运行”基线配置模板“。 下载基线配置模板的脚本文件。
然后解压运行main.vbs文件。
会得到一个xml的文件。
另一个系统同样如此配置。
然后再在TSS里导入生成的结果。
待基线核查的进度条走到100%时，去报告管理里下载基线核查的报告。
还可以在TSS下的【安全检查--基线核查】下新建任务。
4、弱口令扫描 在TSS执行弱口令扫描任务。
点击”提交“开始执行任务。
等待进度条到100%时，我们去报告管理里导出报告。
5、我的世界目前只有三样东西：上、中、下。 6、项目急急急，客户催催催，白天没有活，晚上一直在加班，这就是普通工程师的一天常态。5月19日，亦庄开发区；5月20日，安宁庄。 | 
楼主
QQ好友和群
QQ空间
腾讯微博
腾讯朋友
发表于 2021-5-25 22:15
技术专家4级 
