SaaS类商品安全漏洞扫描操作指导及安全规范

安全漏洞扫描操作指导

发布SaaS类商品如涉及为用户提供网站服务（包括业务前台，管理后台portal等），您需确保您的应用不存在恶意内容，高危漏洞等。商家需按照云商店商品安全审核标准3.0自检SaaS网站并且完成通过安全漏洞扫描，具体操作流程如下：

操作步骤

1. 进入卖家中心页面。
2. 单击左侧导航的“应用接入 > 安全漏洞扫描”。
3. 在“基本信息”区域填写联系人、联系电话和邮箱，单击“保存”。

   

4. 在“扫描服务管理”区域单击“添加扫描服务”。

   

5. 填写扫描基本信息，单击“下一步”。

   

6. 按步骤完成域名所有权认证，勾选“我已阅读并同意《华为云漏洞扫描服务声明》，单击“完成认证”。

   

7. 填写网站登录信息，确认无误后单击“确认”。

   

8. 添加扫描服务后，单击右侧操作栏的“扫描”启动扫描服务，勾选商家自检项，单击“完成检测”。

   

   

   

   • 点击扫描后，后台大概需要30分钟反馈扫描结果，如扫描状态一直为等待中或者扫描失败，请提工单到云商店工程师解决。
   • 扫描名称不允许添加字符（包括空格）
   • 如未满足全部自检项，请修复安全问题再点击扫描。
   

   • 一次最多同时支持5个扫描服务。
   • 同一域名不可同时存在多处扫描，如域名已在其他账号或已在VSS服务进行扫描，请先将其扫描任务删除，再返回云商店卖家中心进行扫描。
   • 若一个商品有多个登录地址，可以创建多个扫描任务。同域名的扫描任务不可同时执行扫描操作，需先执行完一条任务后再扫描下一条。
   • 域名未认证的扫描服务不支持编辑；正在执行中的扫描服务不支持编辑和删除；已完成认证的扫描服务不支持修改域名。
   • 扫描任务结束后，可在任务栏查看到扫描结果和报告，发布商品时系统将自动关联商品的安全漏洞扫描结果并提交审核。

SaaS类商品发布安全规范

发布SaaS类商品如涉及为用户提供网站服务（包括业务前台，管理后台portal等），您需确保您的应用中不包含常见的web漏洞：如XSS、SQL注入、CSRF、XXE注入、OS注入、跨目录访问、文件上传漏洞、敏感信息泄露、URL重定向泄露、TLS配置缺陷、网页木马等，如检测结果中包含一个高危漏洞，则扫描结果为不通过，请整改后再发布上架。

• 漏洞扫描服务支持扫描的漏洞请参见：漏洞扫描服务支持扫描哪些漏洞？
• 漏洞扫描服务的扫描IP请参见：漏洞扫描服务的扫描IP有哪些？