返新工頭三個星期，其中一項重點係熟習現有環境嘅 Tenable Security Center（Tenable.sc）。由 Administrator 同 Security Manager 嘅分工，到掃描設定、憑證管理、結果分析同報告，逐步掌握日常操作。

接手現有平台，要理解每項設定背後嘅用途，亦要識得喺掃描唔順利時搵出原因。

平台管理與帳戶維護

Administrator 主要處理平台設定，例如 Scanner、Scan Zone、Repository 同 Organization；Security Manager 則負責所屬組織嘅掃描、資產分類及報告，實際操作仍受角色權限限制。

另一項要熟習嘅係帳戶維護：底層 OS root 同 Tenable.sc admin 係兩套獨立帳戶，各自有不同嘅密碼重設及存取復原程序。處理前要確認部署方式、版本同內部維護程序，避免混淆作業系統與應用程式權限。

Scan Zone 與 Active Scan

首先要搞清楚各個 Scan Zone 對應邊啲網段、使用邊部 Scanner，以及 Scanner 到目標之間嘅路由、防火牆同服務連通性。

Active Scan 就將目標、Scan Policy、Credentials、Repository 同排程組合成實際任務。接手時要了解每個任務嘅用途、執行時間及對 Production 系統嘅影響，調整後先用少量獲授權主機驗證。

Scan Zone 唔應該當成掃描授權邊界：部分 legacy scan 指定單一 Zone 時，會忽略 Zone 嘅 IP 範圍，按任務 targets 執行，所以目標清單仍然要獨立核對。

Scan Credentials：Local Account 與 PAM

Credentialed Scan 可以登入目標，取得更深入嘅修補及設定資訊。憑證可以使用目標主機嘅 Local Account，亦可以經已配置及支援嘅 PAM 整合取得。Local Account 係帳戶類型，PAM 係管理及取用憑證嘅方式，兩者可以配合使用。

需要確認嘅包括帳戶權限、所需服務連線、密碼輪換，以及 PAM 取密授權。成功取得憑證，同成功登入目標，係兩個需要分開驗證嘅步驟。

同樣地，Scan 顯示完成，唔代表每部主機都成功完成認證掃描。

掃描排查：由 Plugin Output 搵原因

「主機掃唔到」同「掃到但認證失敗」需要不同排查方向。以下幾個 Plugin ID 係實用入口，分析時要保留 Informational 等級結果，先唔會漏咗診斷資訊。

19506：掃描基本資訊

Nessus Scan Information 可以查看 Scanner／Plugin Set 版本、Port Range、掃描時間，以及 Credentialed checks 等資訊。先確認資料係今次掃描，再配合其他 Plugin Output 判斷認證檢查情況。

21745：OS 修補檢查未完成

OS Security Patch Assessment Failed 代表未能完成 OS 修補評估；舊資料亦常稱為 Authentication Failure - Local Checks Not Run。原因可能係憑證、連線或其他問題，唔可以一見到就判定密碼錯誤，要睇實際 Output。

104410／110385：認證失敗與權限不足

  • 104410：提供咗憑證但認證失敗，可沿帳戶格式、密碼、鎖定狀態及登入限制排查。
  • 110385：權限不足，要核對系統存取及提權設定。

141118／110095：核對成功訊號

  • 141118：某個認證協定至少成功登入一次，唔代表所有本機檢查都成功。
  • 110095：對所報告嘅認證協定，未發現存取、權限或間歇性認證問題，可配合 19506 核對。

排查次序可以整理成：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

Target / Scan Zone / Scanner
            |
            v
Network / Firewall / Target Service
            |
            v
19506 + Authentication Plugin Output
            |
            v
Local Account / PAM / Privileges
            |
            v
Fix -> Small-scope Rescan -> Verify

如果主機完全冇結果，就先由任務記錄、目標清單及連通性入手。冇出現錯誤 Plugin，唔等於掃描成功。

Asset Tags、結果分析與報告

透過 Asset Tags／Asset Lists（名稱視版本而定），按系統用途、作業系統或負責團隊分類，令掃描範圍同報告更清晰。Dynamic 分類依賴已有探索／掃描資料，亦要留意分類結果有冇更新。

分析漏洞時，除咗 Severity，亦要睇 Plugin Output、受影響服務、系統重要性及修復建議。

Reports 用嚟設定報告內容、篩選條件同排程；Report Results 就用嚟查看執行狀態、下載輸出及追查報告失敗原因。出報告前，要核對資產範圍、Repository、資料時間，以及使用單次掃描定累積資料。

報告交畀相關團隊後，仲要跟進修復及複掃，先可以確認問題係咪真正解決。

下一步

三星期嘅重點係建立操作同排查基礎。之後會繼續熟習 Scanner／Plugin 更新、備份復原，以及掃描覆蓋率同認證成功率，令日常工作由「完成掃描」逐步做到「確認結果可信，再跟進修復」。

參考資料