Nexpose 術語

API（應用程序編程接口）

API是開發人員可以通過使用程序調用與其他軟件應用程序集成的功能。術語API也指兩組XML API之一，每組都有自己包含的操作：API v1.1和Extended API v1.2。

Appliance

設備是作為專用硬件/軟件單元提供的一組Nexpose組件。設備配置包括安全控制臺/掃描引擎組合和僅掃描引擎版本。

Asset

資產是應用程序在掃描過程中發現的網絡上的單個設備。在Web界面和API中，資產也可以稱為設備。請參閱Managed asset和 Unmanaged asset。資產的數據已集成到掃描數據庫中，因此可以在站點和資產組中列出。在這方面，它與節點不同。參見Node。

Asset group

Asset group是被管理資產的邏輯集合，特定成員有權訪問這些資產以創建或查看報告或跟蹤補救通知單。Asset group可能包含屬于多個站點或其他Asset group的Asset。Asset group是靜態的還是動態的。Asset group不是站點。

Asset Owner

Asset Owner是預設角色之一。具有此角色的用戶可以查看有關發現的Asset的數據，運行手動掃描以及在可訪問的站點和Asset Owner中創建和運行報告。

Asset Report Format (ARF)

Asset Report Format (ARF)是基于XML的報告模板，可基于連接類型，主機名和IP地址提供資產信息。此模板是向美國政府提交策略掃描結果報告以進行SCAP認證所必需的。

Asset search filter

資產搜索過濾器是一組條件，用戶可以使用這些條件來優化對資產的搜索以包括在動態資產組中。資產搜索過濾器不同于動態發現過濾器。

身份驗證

身份驗證是安全應用程序驗證嘗試獲得訪問權限的客戶端或用戶的登錄憑據的過程。默認情況下，該應用程序使用內部進程對用戶進行身份驗證，但是您可以將其配置為使用外部LDAP或Kerberos源對用戶進行身份驗證。

Average risk

平均風險是風險趨勢報告配置中的設置。它基于對報告日期范圍內資產的風險分數的計算。例如，平均風險為您概述了資產高低或無變化的資產遭受攻擊的可能性。有些資產的風險評分比其他資產高。計算平均分數可提供有關資產可能受到攻擊的脆弱性的高級視圖。

Benchmark

在掃描FDCC策略合規性的情況下，基準是共享相同源數據的策略的組合。策略管理器中的每個策略都包含其各自基準中包含的一些或全部規則。

Breadth

廣度是指掃描范圍內的資產總數。

Category

在掃描FDCC策略合規性的上下文中，類別是策略模板中針對掃描模板的策略分組。策略的類別基于其來源，目的和其他條件。

檢查類型

檢查類型是掃描期間要運行的特定檢查類型。示例：不安全檢查類型包括攻擊性漏洞測試方法，這些方法可能導致目標資產拒絕服務；策略檢查類型用于驗證是否符合策略。檢查類型設置在掃描模板配置中使用，以細化掃描范圍。

互聯網安全中心（CIS）

互聯網安全中心（CIS）是一個非營利性組織，通過為橋接公共部門和私營部門提供有價值和可信賴的環境來改善全球安全狀況。獨聯體在國家和國際兩級的關鍵安全政策和決定的制定中起著領導作用。策略管理器提供檢查是否符合CIS基準的要求，包括技術控制規則和強化網絡設備，操作系統以及中間件和軟件應用程序的值。執行這些檢查需要啟用策略管理器功能和CIS掃描的許可證。

命令控制臺

命令控制臺是安全控制臺Web界面中的頁面，用于輸入命令以運行某些操作。使用此工具時，您可以看到實時診斷以及“安全控制臺”活動的幕后視圖。要訪問命令控制臺頁面，請單擊“ *管理”頁面上“ *疑難解答”項旁邊的“運行安全控制臺命令”鏈接。

通用配置枚舉（CCE）

通用配置枚舉（CCE）是用于為配置控件分配稱為CCE的唯一標識符的標準，以允許在不同環境中對這些控件進行一致的標識。將CCE實施為符合未經身份驗證的掃描儀產品的SCAP標準的一部分。

通用平臺枚舉（CPE）

通用平臺枚舉（CPE）是一種用于識別操作系統和軟件應用程序的方法。其命名方案基于統一資源標識符（URI）的通用語法。將CCE實施為符合未經身份驗證的掃描儀產品的SCAP標準的一部分。

常見漏洞和披露（CVE）

通用漏洞和披露（CVE）標準規定了應用程序應如何識別漏洞，從而使安全產品更易于交換漏洞數據。CVE被實施為符合未經身份驗證的掃描儀產品的SCAP標準的一部分。

通用漏洞評分系統（CVSS）

通用漏洞評分系統（CVSS）是用于計算漏洞風險評分的開放框架。CVSS的實現是其符合未經身份驗證的掃描儀產品的SCAP標準的一部分。

合規

合規是滿足政府或受尊重的行業實體指定的標準的條件。該應用程序測試資產是否符合許多不同的安全標準，例如支付卡行業（PCI）強制要求的標準以及美國國家標準與技術研究院（NIST）針對聯邦桌面核心配置（FDCC）定義的標準。

連續掃描

如果連續掃描在計劃的窗口內完成了對站點資產的覆蓋，則將從頭開始。這是一個站點配置設置。

覆蓋范圍

覆蓋范圍指示漏洞檢查的范圍。新聞頁面上針對某個版本列出的覆蓋范圍改進表示已添加漏洞檢查或為準確性或其他條件對現有檢查進行了改進。

關鍵性

關鍵程度是您可以將其應用于具有RealContext標簽的資產的值，以表明其對您的業務的重要性。嚴重性級別從非常低到非常高。您可以使用應用的重要性級別來更改資產風險評分。請參閱下面的“ 風險調整后的風險”。

Criticality-adjusted 風險

要么

上下文驅動的風險

關鍵程度調整后的風險是將數字分配給關鍵程度并使用這些數字乘以風險分數的過程。

自定義標簽

使用自定義標簽，您可以根據可能對您的業務有意義的任何標準來識別資產。

深度

深度表示掃描將進行的徹底或全面。深度是指應用程序將探測單個資產以獲取系統信息和漏洞的級別。

發現（掃描階段）

發現是掃描的第一階段，其中應用程序在網絡上找到潛在的掃描目標。發現作為掃描階段與動態發現不同。

文件報告范本

文檔模板是為包含資產和漏洞信息的可讀報告而設計的。此模板類型可用的某些格式（文本，PDF，RTF和HTML）可方便共享信息，以供組織中的利益相關者（例如負責執行修復工作的主管或安全團隊成員）閱讀。

動態資產組

動態資產組包含符合一組特定搜索條件的掃描資產。您可以使用資產搜索過濾器（例如IP地址范圍或操作系統）定義這些條件。動態組中的資產列表可能會隨每次掃描或創建漏洞例外而更改。在這方面，動態資產組不同于靜態資產組。

動態發現

動態發現是一個過程，應用程序通過該過程通過與管理這些資產的服務器的連接自動發現資產。您可以使用條件過濾器來優化或限制資產發現。動態發現與發現（掃描階段）不同。

動態發現過濾器

動態發現過濾器是一組準則，用于完善或限制動態發現結果。這種類型的過濾器不同于素材資源搜索過濾器。

動態掃描池

動態掃描池功能使您可以使用掃描引擎池來增強掃描范圍的一致性。掃描引擎池是可以綁定到站點的一組共享掃描引擎，以便負載在共享掃描引擎之間平均分配。您可以使用擴展API v1.2配置掃描池。

動態網站

動態站點是通過vAsset發現發現的，用于掃描的資產的集合。如果發現連接更改或資產發現的篩選條件更改，則動態站點中的資產成員身份可能會更改。請參閱靜態站點，站點和動態發現。

利用

漏洞利用是指試圖通過安全漏洞或漏洞滲透網絡或訪問計算機的嘗試。惡意利用可能導致系統中斷或數據被盜。滲透測試人員僅使用良性漏洞來驗證漏洞的存在。Metasploit產品是執行良性利用的工具。請參閱Metasploit和已發布的利用。

導出報告模板

導出模板旨在將掃描信息集成到外部系統中。此類型可用的格式包括各種XML格式，數據庫導出和CSV。

接觸

暴露是一種漏洞，尤其是一種使資產易于受到惡意軟件或已知利用程序攻擊的漏洞。

可擴展配置清單描述格式（XCCDF）

根據美國國家標準技術研究院（NIST）的定義，“可擴展配置清單描述格式（XCCDF）”是一種用于編寫安全清單，基準和相關文檔的規范語言。XCCDF文檔表示針對某些目標系統集的安全配置規則的結構化集合。該規范旨在支持信息交換，文檔生成，組織和情況定制，自動合規性測試以及合規性評分。” 策略管理器檢查FDCC策略是否符合此格式。

假陽性

誤報是應用程序標記不存在的漏洞的實例。否定錯誤是指應用程序無法標記確實存在的漏洞的情況。

聯邦桌面核心配置（FDCC）

聯邦桌面核心配置（FDCC）是由美國國家標準技術研究院（NIST）推薦的配置安全設置的分組，適用于直接連接到美國政府機構網絡的計算機。策略管理器在掃描模板中提供對這些策略的遵從性檢查。執行這些檢查需要啟用策略管理器功能和FDCC掃描的許可證。

指紋識別

指紋識別是一種識別掃描目標的操作系統或檢測應用程序特定版本的方法。

全球管理員

全局管理員是預設角色之一。具有此角色的用戶可以執行應用程序中所有可用的操作，并且可以訪問所有站點和資產組。

Host

主機是向客戶虛擬機提供計算資源的物理或虛擬服務器。在高可用性虛擬環境中，主機也可以稱為節點。術語節點在應用程序中具有不同的上下文。參見Node。

延遲

延遲是一臺計算機通過網絡發送數據與另一臺計算機接收數據之間的延遲間隔。低延遲意味著短延遲。

位置標簽

使用“ 位置”標簽，您可以通過資產的實際或地理位置來識別資產。

惡意軟件

惡意軟件是旨在破壞或拒絕目標系統的操作，竊取或破壞數據，未經授權訪問資源或執行其他類似類型濫用的軟件。應用程序可以確定漏洞是否使資產容易受到惡意軟件攻擊。

惡意軟件套件

惡意軟件工具包也稱為漏洞攻擊工具包，它是一個軟件包，可讓惡意方輕松編寫和部署用于通過漏洞攻擊目標系統的代碼。

管理資產

受管資產是在掃描過程中發現并自動或手動添加到站點目標列表的網絡設備。只能檢查托管資產的漏洞并隨時間進行跟蹤。資產成為托管資產后，根據您的許可證，它將計入可以掃描的最大資產數量。

手動掃描

手動掃描是您可以隨時啟動的掃描，即使它計劃在其他時間自動運行。同義詞包括臨時掃描和計劃外掃描。

Metasploit

Metasploit是一種執行良性利用以驗證漏洞的產品。請參閱利用。

MITRE

MITER Corporation是定義用于枚舉安全開發計劃的安全相關概念和語言的標準的機構。MITRE定義的枚舉的示例包括通用配置枚舉（CCE）和通用漏洞枚舉（CVE）。MITRE定義的語言的示例包括開放漏洞和評估語言（OVAL）。已實施許多MITER標準，尤其是在驗證FDCC符合性方面。

美國國家標準技術研究院（NIST）

美國國家標準技術研究院（NIST）是美國商務部內的非監管聯邦機構。該機構授權和管理許多安全措施，包括安全內容自動化協議（SCAP）。請參閱安全性內容自動化協議（SCAP）。

節點

節點是應用程序在掃描期間發現的網絡上的設備。應用程序將其數據集成到掃描數據庫中之后，該設備被視為可以在站點和資產組中列出的資產。請參閱資產。

開放式漏洞和評估語言（OVAL）

開放式漏洞和評估語言（OVAL）是用于收集和共享與安全相關的數據（例如FDCC策略檢查）的開發標準。為了符合FDCC要求，可以從安全控制臺Web界面的SCAP頁面下載應用程序在配置策略檢查期間導入的每個OVAL文件。

Override

替代是用戶對檢查是否符合配置策略規則的結果所做的更改。例如，用戶可以用“通過”結果覆蓋“失敗”結果。

支付卡行業（PCI）

支付卡行業（PCI）是一個理事會，負責為所有進行信用卡交易的商戶管理和執行PCI數據安全標準。該應用程序包括一個掃描模板和報告模板，供官方掃描中的認可掃描供應商（ASV）使用，以確保PCI合規性。

許可

權限是執行一項或多項特定操作的能力。某些權限僅適用于已分配用戶有權訪問的網站或資產組。其他人則不受這種訪問權限的限制。

政策

策略是計算機，操作系統，軟件應用程序或數據庫的一組主要與安全性相關的配置準則。在應用程序中，出于掃描目的，確定了兩種常規類型的策略：策略管理器策略和標準策略。該應用程序的策略管理器（已啟用許可證的功能）會掃描資產，以驗證其是否符合美國政府配置基準（USGCB），聯邦桌面核心配置（FDCC），互聯網安全中心（CIS）和國防信息所包含的策略。系統代理（DISA）標準和基準，以及基于這些策略的用戶配置的自定義策略。

策略管理器

策略管理器是啟用了許可證的掃描功能，可檢查是否符合聯邦桌面核心配置（FDCC），美國政府配置基準（USGCB）和其他配置策略。策略管理器結果顯示在“ 策略”頁面上，您可以通過單擊Web界面中的“ 策略”圖標來訪問。對于使用策略管理器檢查掃描的任何資產，它們也會顯示在“ 策略列表”表中。Policy Manager策略與標準策略不同，標準策略可以使用基本許可證進行掃描。

Policy Result

在FDCC策略掃描的情況下，結果是符合或不符合規則或策略的狀態。可能的結果包括“ 通過”，“ 失敗 ”或“ 不適用”。

策略規則

規則是構成FDCC配置策略的一組特定準則之一。

潛在漏洞

潛在漏洞是三種肯定的漏洞檢查結果類型之一。該應用程序在兩種情況下報告掃描期間的潛在漏洞：首先，在掃描模板中啟用了潛在漏洞檢查。其次，應用程序確定目標正在運行易受攻擊的軟件版本，但無法驗證是否已應用補丁或其他類型的補救措施。例如，資產正在運行數據庫的1.1.1版本。供應商發布了一個安全公告，指示1.1.1版易受攻擊。盡管資產上安裝了補丁，但版本仍為1.1.1。在這種情況下，如果應用程序正在運行以檢查潛在漏洞，則只能將主機資產標記為潛在漏洞。XML和CSV報告中潛在漏洞的代碼是vp（易受攻擊，潛在）。

Published exploit

在應用程序的上下文中，已發布的漏洞利用是在Metasploit中開發的或在漏洞利用數據庫中列出的漏洞。

RealContext

RealContext是一項功能，使您可以根據資產對業務的影響來標記資產。您可以使用標簽來指定關鍵程度，位置或所有權。您還可以使用自定義標簽根據對組織有意義的任何標準來標識資產。

真實風險策略

真實風險是評估和分析風險的內置策略之一。這也是推薦的策略，因為它針對每個漏洞將唯一的漏洞利用和惡意軟件暴露指標應用于通用漏洞評分系統（CVSS）基本指標，以評估可能性（訪問向量，訪問復雜性和身份驗證要求）以及對受影響資產的影響（機密性，完整性）和可用性）。

報告模板

每個報告都是基于模板的，無論是產品隨附的模板之一還是為您的組織創建的自定義模板。

風險

在漏洞評估的上下文中，風險反映了網絡或計算機環境將受到威脅的可能性，并且它表征了損害的預期后果，包括數據被盜或損壞，服務中斷。隱含地，風險還反映了對受損害實體財務狀況和聲譽的潛在損害。

風險評分

風險評分是應用程序為每個資產和漏洞計算的等級。該分數表示在惡意利用時對網絡和業務安全構成的潛在危險。您可以將應用程序配置為根據幾種內置風險策略之一對風險進行評級，也可以創建自定義風險策略。

風險策略

風險策略是一種計算漏洞風險評分的方法。每種策略都強調某些風險因素和觀點。有四種內置策略可用：真實風險策略，TemporalPlus風險策略，時間風險策略和加權風險策略。您還可以創建自定義風險策略。

風險趨勢

風險趨勢圖顯示了資產的可能性的長期視圖以及可能隨時間變化的危害的潛在影響。風險趨勢可以基于平均或總風險評分。報告中的最高風險圖顯示了站點，組或資產級別上風險最大的貢獻者。跟蹤風險趨勢可幫助您評估對組織在這些領域地位的威脅，并確定您的漏洞管理工作是否令人滿意地將風險保持在可接受的水平或隨著時間的推移降低了風險。

角色

角色是一組權限。有五個預設角色。您還可以通過手動選擇權限來創建自定義角色。

掃瞄

掃描是應用程序發現網絡資產并檢查其是否存在漏洞的過程。請參閱漏洞利用和漏洞檢查。

掃描憑證

掃描憑據是應用程序提交給目標資產以進行身份驗證以獲取訪問權限并執行深度檢查的用戶名和密碼。許多平臺都支持許多不同的身份驗證機制。請參閱共享掃描憑據和特定于站點的掃描憑據。

掃描引擎

掃描引擎是兩個主要應用程序組件之一。它執行資產發現和漏洞檢測操作。掃描引擎可以分布在防火墻內或防火墻外，以覆蓋各種范圍。安全控制臺的每個安裝還包括一個本地引擎，可用于在控制臺的網絡范圍內進行掃描。

掃描模板

掃描模板是用于定義如何掃描資產的一組參數。各種預設掃描模板可用于不同的掃描方案。您還可以創建自定義掃描模板。掃描模板的參數包括：

• 發現資產和服務的方法
• 漏洞檢查的類型，包括安全和不安全
• Web應用程序掃描屬性
• 驗證是否符合各種平臺的政策和標準

計劃掃描

計劃的掃描會在預定的時間點自動開始。掃描計劃是站點配置中的可選設置。也可以隨時手動開始任何掃描。

安全控制臺

安全控制臺是兩個主要的應用程序組件之一。它控制掃描引擎并從中檢索掃描數據。它還控制所有操作，并提供基于Web的用戶界面。

安全內容自動化協議（SCAP）

安全內容自動化協議（SCAP）是用于表達和處理安全數據的標準的集合。它是由美國政府授權并由美國國家標準技術研究院（NIST）維護的。該應用程序符合未經身份驗證的掃描儀產品的SCAP標準。

安全管理器

安全管理器是預設角色之一。具有此角色的用戶可以在可訪問的站點和資產組中配置和運行掃描，創建報告以及查看資產數據。

共享掃描憑證

可以用于認證掃描的兩種憑證之一，共享掃描憑證由全局管理員或具有“管理站點”權限的用戶創建。共享憑據可以應用于任意數量的站點中的多個資產。

站點

站點是針對掃描的資產的集合。每個站點都與目標資產列表，掃描模板，一個或多個掃描引擎以及其他與掃描相關的設置相關聯。

特定于站點的掃描憑據

可用于對掃描進行身份驗證的兩種憑據中的一種，為單個站點配置創建了一組單實例憑據，并且只能在該站點中使用。

網站所有者

網站所有者是預設角色之一。具有此角色的用戶可以在可訪問的站點中配置和運行掃描，創建報告以及查看資產數據。

標準策略

與策略管理器策略不同，標準策略是應用程序可以使用基本許可證掃描的幾種策略之一。標準策略掃描可用于驗證Oracle，Lotus Domino，AS / 400，Unix和Windows系統上的某些配置設置。當您在掃描范圍內包含策略時，標準策略將顯示在掃描模板中。對于已掃描是否符合這些策略的任何資產，標準策略掃描結果將顯示在“ 高級策略列表”表中。

靜態資產組

靜態資產組包含滿足您根據組織需求定義的一組條件的資產。與動態資產組不同，靜態組中的資產列表不會更改，除非您手動對其進行更改。

靜態網站

靜態站點是針對掃描且已手動選擇的資產的集合。除非用戶更改站點配置中的資產列表，否則靜態站點中的資產成員身份不會更改。

時間風險策略

Temporal是內置的風險策略之一，它表明時間如何持續增加遭受破壞的可能性。該計算基于每個漏洞的公開時間（基于其公開的日期）乘以CVSS基本指標的倍數，以衡量可能性（訪問向量，訪問復雜性和身份驗證要求）和資產影響（機密性，完整性和可用性）。時間風險分數將低于TemporalPlus分數，因為時間限制了部分影響向量的風險貢獻。

TemporalPlus風險策略

TemporalPlus是內置的風險策略之一，它提供了對漏洞影響的更詳細的分析，同時表明時間如何持續增加遭受破壞的可能性。它使用漏洞的年齡作為CVSS基本指標的乘數，以用于可能性（訪問向量，訪問復雜性和身份驗證要求）和資產影響（機密性，完整性和可用性）。TemporalPlus風險評分將高于Temporal評分，因為TemporalPlus擴展了部分影響向量的風險貢獻。請參閱風險策略。

總風險

總風險是風險趨勢報告配置中的設置。它是指定期間內資產漏洞的總分。

美國政府配置基準（USGCB）

美國政府配置基線（USGCB）是一項為跨美國政府機構部署的信息技術產品創建安全配置基線的計劃。USGCB是從FDCC演變而來，在美國政府中已將其替換為配置安全任務。策略管理器檢查Microsoft Windows 7，Windows 7防火墻和Internet Explorer是否符合USGCB基準。執行這些檢查需要啟用策略管理器功能和USGCB掃描的許可證。

非托管資產

非托管資產是在掃描過程中發現但與托管資產沒有關聯或未添加到站點目標列表的設備。該應用程序旨在提供有關非托管資產的足夠信息，以便您可以決定是否進行管理。不受管理的資產不計入根據您的許可證可以掃描的最大資產數。

不安全檢查

不安全檢查是對可能導致目標系統拒絕服務的漏洞的測試。請注意，支票本身也可能導致拒絕服務。建議僅對不在生產中的測試系統執行不安全檢查。

更新資料

更新是對應用程序發布的一組更改。默認情況下，自動下載和應用兩種類型的更新：

內容更新包括漏洞的新檢查，補丁驗證以及安全策略的遵從性。內容更新在可用時總是自動發生。

產品更新包括性能改進，錯誤修復和新產品功能。與內容更新不同，可以禁用自動產品更新并手動更新產品。

用戶

用戶是預設角色之一。具有此角色的個人可以查看資產數據并在可訪問的站點和資產組中運行報告。

經過驗證的漏洞

經驗證的漏洞是已通過集成的Metasploit漏洞證明其存在的漏洞。

脆弱版本

漏洞版本是三種肯定的漏洞檢查結果類型之一。如果應用程序確定目標正在運行易受攻擊的軟件版本，并且可以驗證未應用修補程序或其他類型的補救措施，則該應用程序將在掃描過程中報告易受攻擊的版本。XML和CSV報告中易受攻擊的版本的代碼是vv（易受攻擊的版本檢查）。

脆弱性

漏洞是網絡或計算機中的安全漏洞。

漏洞類別

漏洞類別是一組具有共享條件的漏洞檢查。例如，Adobe類別包括檢查是否影響Adobe應用程序的漏洞。也有特定Adobe產品的類別，例如Air，Flash和Acrobat / Reader。漏洞檢查類別用于完善掃描模板的范圍。還可以根據類別過濾漏洞檢查結果，以完善報告的范圍。為制造商（例如Microsoft）命名的類別可以用作為其產品命名的類別的超集。例如，如果按Microsoft類別進行過濾，則固有地包括所有Microsoft產品類別，例如Microsoft Path和Microsoft Windows。這適用于其他“公司”類別，例如Adobe，Apple和Mozilla。

漏洞檢查

漏洞檢查是用于確定目標資產上是否存在安全漏洞的一系列操作。檢查結果為否定（未發現漏洞）或肯定

漏洞例外

漏洞例外是從報告和任何資產列表中刪除漏洞。在計算風險分數時也不會考慮已排除的漏洞。

發現漏洞

發現的漏洞是三種肯定的漏洞檢查結果類型之一。如果應用程序通過資產特定的漏洞測試（例如漏洞利用）驗證了該缺陷，則該應用程序將報告掃描期間發現的漏洞。在XML和CSV報告中發現的漏洞代碼是ve（易受攻擊）。

加權風險策略

加權是一種內置的風險策略，主要基于資產數據和漏洞類型，并且考慮了在配置站點時分配給站點的重要性或權重級別。