网络要求

非电信客户的应用系统网络与扫描器网络可达即可提供扫描服务（内网需提供用于部署扫描器的内网主机，内外网需保证路由可达）。

服务流程

业务受理单

客户应如实填写以下信息（必须填满）

1. 被检测的 IP 主机信息；
2. 被检测主机的操作系统类型及版本；
3. 业务接口人联系方式，客户需指定一个具有对漏洞扫描方案及漏洞扫描过程中出现的问题有决定权的业务接口联系人；
4. 客户提供扫描资产时需对所提交资产所有权负责，保证资产归提交人合法所有；
5. 客户需签订漏洞扫描授权书；

审核阶段

对委托单位提交的受理单信息进行核查,核查内容：

1. 判断资产所在环境是公网还是内网。
2. 若是公网需要保证被扫描资产路由可达。
3. 若是内网环境，需确认委托单位提供可访问到内网主机的跳板机。
4. 受理单审核通过后进入漏洞扫描实施阶段。

业务受理单无问题进入下一阶段；如有问题返回客服，由客服继续与客户沟通，直到业务受理单填满无问题。

实施阶段

1.漏洞扫描实施方案

业务受理单确认无误后进入实施阶段，漏洞扫描操作人员接到客服的业务受理单后确认受理单信息：Ip、版本、授权等并就扫描计划和受理单内容与客户确认。扫描任务实施前，分析客户主机情况，制定扫描方案，明确漏洞扫描任务具体实施时间、目标范围、合理的扫描方式以及最佳扫描策略，并就扫描方案与客户进行沟通确认，由于在漏洞扫描期间客户方未关闭安全防护设备所造成的漏扫结果不准确，乙方不承担责任。

2.实施漏洞扫描

扫描实施前若客户网络环境公网不能直达，需部署扫描器，也可配合客户自己部署，策略模板由我们提供，部署时间预计 1 个工作日。

关于扫描进度，目前扫描器扫描一个 C 段地址大约需要 6 个小时左右时间，扫描期间实时就扫描过程中发生的问题与客户沟通，最后扫描的结果将存放到扫描结果专用堡垒机上。

漏洞扫描的风险规避，由于漏洞扫描属于黑盒测试，因此可能对被测试目标造成不可预知的风险；此外对于性能比较敏感的测试目标，如一些实时性要求比较高的系统，由于扫描可能引起网络流量的增加，因此可能会引起被扫描目标的服务质量降低。因此需进行如下的风险规避措施：

• 扫描时段选择：一般会选择在夜间或安排在业务量不大的时段进行漏洞扫描。
• 扫描策略选择：根据系统的具体情况配置合理的扫描策略。

3. 编写扫描报告

漏洞扫描完成后输出漏洞扫描服务报告，报告编写时间 2 个工作日。

4. 报告审核修订

由专人对输出的漏洞扫描服务报告进行审核修订，审核修订时间1 个工作日。

5. 报告提交

报告提交方式采取邮件回复的方式提交：客户通过邮件向天翼云漏洞扫描平台发起 操作指导8报告接收申请，漏洞扫描服务报告以回复邮件方式给客户。

6. 质保服务

在客户收到漏洞扫描服务报告后，乙方参与漏扫项目的专家为客户持续提供3 天时间用于咨询报告中的不明事项。

7. 结束服务

在完成以上各阶段工作后，漏洞扫描项目经理告知客服此次漏扫服务结束。