產(chǎn)品概述
ASEC WEB應(yīng)用脆弱性評(píng)估系統(tǒng)（簡(jiǎn)稱：WVAS）是由六壬網(wǎng)安安全團(tuán)隊(duì)多年的安全研究沉淀和服務(wù)實(shí)踐經(jīng)驗(yàn)的基礎(chǔ)上，深入分析研究B/S架構(gòu)應(yīng)用系統(tǒng)中典型安全漏洞以及流行攻擊技術(shù)，自主研發(fā)的一款用于評(píng)估WEB應(yīng)用安全風(fēng)險(xiǎn)的產(chǎn)品。該產(chǎn)品嚴(yán)格按照計(jì)算機(jī)信息系統(tǒng)安全的國(guó)家標(biāo)準(zhǔn)、相關(guān)行業(yè)標(biāo)準(zhǔn)設(shè)計(jì)、編寫。WVAS全面支持OWASP TOP 10檢測(cè)，可以幫助用戶充分了解WEB應(yīng)用存在的安全隱患，建立安全可靠的WEB應(yīng)用服務(wù)，改善并提升應(yīng)用系統(tǒng)抗各類WEB應(yīng)用攻擊的能力（如：SQL注入攻擊、跨站腳本、文件包含、遠(yuǎn)程代碼執(zhí)行、主流CMS漏洞檢測(cè)等），在WEB網(wǎng)站受到危害之前為管理員提供專業(yè)、有效的安全分析和修補(bǔ)建議，并貼合安全管理流程對(duì)修補(bǔ)效果進(jìn)行審計(jì)，是信息系統(tǒng)安全管理員不可或缺的幫手。
產(chǎn)品廣泛應(yīng)用于政府、公安、教育、衛(wèi)生、電力、金融等行業(yè)，幫助用戶解決目前所面臨的各類常見及最新的WEB安全問題，同時(shí)，協(xié)助用戶滿足等級(jí)保護(hù)、行業(yè)規(guī)范等政策法規(guī)的安全建設(shè)要求。
產(chǎn)品特色
精細(xì)的資產(chǎn)管理
引入以資產(chǎn)為導(dǎo)向的漏洞管理模型，實(shí)現(xiàn)資產(chǎn)風(fēng)險(xiǎn)快速定位。精細(xì)的資產(chǎn)管理，能夠?qū)ζ髽I(yè)的網(wǎng)絡(luò)資產(chǎn)進(jìn)行完整有序的梳理，主動(dòng)與被動(dòng)相結(jié)合的資產(chǎn)發(fā)現(xiàn)，幫助企業(yè)深度抓取IT邊界及遺忘資產(chǎn)，并通過計(jì)算模型完成資產(chǎn)分級(jí)與建模，并以邏輯拓?fù)涞男问竭M(jìn)行組織并圖形化展示。主動(dòng)發(fā)現(xiàn)與監(jiān)控安全漏洞、運(yùn)維缺陷、威脅情報(bào)、人為弱點(diǎn)在內(nèi)的企業(yè)安全風(fēng)險(xiǎn)，使得企業(yè)全網(wǎng)資產(chǎn)重要度、風(fēng)險(xiǎn)一目了然。
領(lǐng)先的掃描技術(shù)
基于內(nèi)核優(yōu)化、高可靠的Linux系統(tǒng)，采用B/S結(jié)構(gòu)HTTPS通訊加密、軟硬件一體化。擁有自主研發(fā)高效穩(wěn)定的核心掃描引擎，綜合運(yùn)用智能爬蟲引擎和手動(dòng)爬行相結(jié)合的技術(shù)，實(shí)現(xiàn)URL全面抓取。產(chǎn)品采用主動(dòng)掃描和被動(dòng)掃描相結(jié)合的方式，實(shí)現(xiàn)網(wǎng)站全方位漏洞檢測(cè)，解決傳統(tǒng)Web掃描器無法的解決痛點(diǎn)。同時(shí)還資源動(dòng)態(tài)調(diào)節(jié)、代理緩存機(jī)制和實(shí)時(shí)任務(wù)調(diào)度等領(lǐng)先技術(shù)，實(shí)現(xiàn)了對(duì)大規(guī)模網(wǎng)站的快速、穩(wěn)定的掃描。產(chǎn)品會(huì)自動(dòng)獲取網(wǎng)站包含的相關(guān)信息，并全面模擬網(wǎng)站訪問的各種行為，比如按鈕點(diǎn)擊、鼠標(biāo)移動(dòng)、表單復(fù)雜填充等，通過內(nèi)建的"安全模型"，全面、深度、準(zhǔn)確地檢測(cè)Web應(yīng)用系統(tǒng)潛在的各種應(yīng)用弱點(diǎn)，有助于提高主動(dòng)防御能力。
智能的引擎調(diào)度
采用智能的調(diào)度算法和多引擎分離技術(shù)，引擎包含任務(wù)調(diào)度、業(yè)務(wù)調(diào)度引擎、爬蟲引擎和漏洞檢測(cè)引擎，各引擎實(shí)現(xiàn)相互獨(dú)立，根據(jù)引擎資源的使用情況，進(jìn)行動(dòng)態(tài)調(diào)整和智能的任務(wù)調(diào)度，在保證準(zhǔn)確率的前提下大幅提高了檢測(cè)的速度。
強(qiáng)大的漏洞取證功能
產(chǎn)品擁有漏洞取證功能，支持當(dāng)前各種主流的數(shù)據(jù)庫(kù)如（Mysql、Oracle、MSSQL、DB2、Informix、Sybase、PostgreSQL、Access、 Ingres、Sqlite等）。通過當(dāng)前弱點(diǎn)，模擬黑客使用的漏洞發(fā)現(xiàn)技術(shù)和攻擊手段，對(duì)目標(biāo)WEB應(yīng)用的安全性做出深入分析，并實(shí)施無害攻擊，取得系統(tǒng)安全威脅的直接證據(jù)。幫助使用工具的人員對(duì)Web安全的理解，驗(yàn)證漏洞是否存在危害。因此，如果Web應(yīng)用脆弱性評(píng)估系統(tǒng)能自動(dòng)利用檢測(cè)出來的漏洞取得系統(tǒng)安全威脅的直接證據(jù)的話，將極大幫助工具使用人員。
豐富的漏洞知識(shí)庫(kù)
產(chǎn)品擁有齊全漏洞知識(shí)庫(kù)，WEB漏洞庫(kù)條數(shù)保持國(guó)內(nèi)領(lǐng)先，全面支持并兼容CVE、CWV等國(guó)際標(biāo)準(zhǔn)，全面支持OWASP TOP 10檢測(cè)，支持對(duì)當(dāng)前各種主流的WEB應(yīng)用、操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用服務(wù)、國(guó)內(nèi)外主流CMS及各類第三方組件等漏洞檢測(cè)，掃描快速、準(zhǔn)確。
多視角的風(fēng)險(xiǎn)評(píng)估
采用多視角風(fēng)險(xiǎn)評(píng)估模型，通過橫向和縱向?qū)Ρ确治觯梢苑奖阒庇^地了解網(wǎng)站當(dāng)前安全狀況以及安全趨勢(shì)。系統(tǒng)提供了安全評(píng)估和風(fēng)險(xiǎn)自評(píng)兩種模式，既可以周期性的進(jìn)行全面安全檢測(cè)，還可以結(jié)合實(shí)際業(yè)務(wù)系統(tǒng)進(jìn)行深入的安全評(píng)估。產(chǎn)品還可以通過歷史掃描結(jié)果進(jìn)行趨勢(shì)分析，更深入了解Web站點(diǎn)的安全態(tài)勢(shì)。
人性化的報(bào)表展示
產(chǎn)品支持常規(guī)報(bào)表、行業(yè)報(bào)表（OWASP Top 10）、等級(jí)保護(hù)合規(guī)性報(bào)表、趨勢(shì)分析報(bào)表。直觀的統(tǒng)計(jì)分析，完備的風(fēng)險(xiǎn)評(píng)估，并提供多層次、多角度分析視角，滿足不同管理角色需求的詳細(xì)的脆弱點(diǎn)分析報(bào)表。同時(shí)，系統(tǒng)支持各類格式輸出，并可自定義內(nèi)容。
多元化的升級(jí)方式
升級(jí)頻率：每周一次漏洞庫(kù)升級(jí)。
升級(jí)方式：支持離線、在線、定時(shí)升級(jí)，滿足各種應(yīng)用場(chǎng)景。
重要安全漏洞的實(shí)時(shí)通知公告。
部署方式
網(wǎng)絡(luò)層即插即用無需改變拓?fù)浣Y(jié)構(gòu)，支持多種靈活的部署方式，定期地對(duì)目標(biāo)網(wǎng)站進(jìn)行檢測(cè)，同時(shí)給出相應(yīng)的解決建議，用戶根據(jù)這些解決建議來做出相應(yīng)的防護(hù)。
