管理安全控制台

默认的安全控制台设置适用于广泛的网络环境，而您可以修改设置以满足具体的扫描要求。

ヒント: 点击管理页面中控制台旁的管理，启动安全控制台配置面板。

查看一般配置设置

在一般页面，您可以查看正在使用的安全控制台实例的版本和序列号。

更改安全控制台网络服务器默认设置

安全控制台运行自己的网络服务器，提供用户界面。

若要更改安全控制台网络服务器默认设置：

  1. 进入管理页面。
  2. 点击用于安全控制台的管理设置。
  3. 进入网络服务器页面。
  4. 输入访问端口的新号码。
  5. 输入新会话超时时间。这个值是允许用户无活动的秒数，超过后安全控制台将超时，需要重新登录。
  6. 输入初始请求的新数值，且如必要，输入最大请求处理程序线程。

建议您首先咨询技术支持部门。在此情况下，线程指安全控制台允许的同时连接数。通常来讲，一个单独浏览器会话算作一个线程。如果同时用户需求很高，那么您可以提高线程数以改善性能。安全控制台可按要求动态增加线程计数，所以手动增加可能不太必要。

  1. 根据需要输入失败登录的新阈值数。这是安全控制台在封锁潜在用户前准许的失败登录尝试数。
  2. 点击保存。

管理 HTTPS 证书

本应用程序提供在安装过程中创建的自我签名 X.509 证书。建议使用由受信任的认证机构 (CA) 签名的证书将其替换。

注意: 签名的证书必须基于应用程序生成的 CSR。本应用程序不允许导入您生成的任意密钥对或证书。

若要管理证书并生成新的证书签名请求 (CSR)：

  1. 进入管理页面。
  2. 点击用于安全控制台的管理设置。
  3. 进入网络服务器页面。
  4. 点击管理证书。

安全控制台将显示标记为管理证书的方框。

s_manage_certificate.jpg

 管理证书

  1. 点击创建新证书。

安全控制台将显示用于添写新证书信息的方框。

  1. 输入信息并点击创建。

s_manage_certificate_create.jpg 

    管理证书–创建新证书

    出现一个对话框，指示已创建新的自我签名证书。

  1. 点击现在创建 CSR。

您可以点击稍后，在其他时间再回到此步以继续操作。

  1. 复制已生成的 CSR 并发送到您的 CA。
  2. 在 CA 签名后，点击管理证书对话框的导入证书。
  3. 将其粘贴到文本框中并点击导入。

s_manage_certificate_import.jpg

    管理证书–导入证书签名请求

  1. 点击保存，保存新的安全控制台信息。

新证书名称将出现在网络服务器页面。

更改默认扫描引擎设置

安全控制台通过网络与分布式扫描引擎通讯，从而启动扫描并检索扫描结果。如果您想更快速地获取扫描状态信息，或减少安全控制台至扫描引擎通讯所需的带宽或资源消耗，则您可以在安全控制台配置面板的扫描引擎页面调节各种设置。请参看以下部分：

配置安全控制台与分布式扫描引擎的连接

安全控制台建立与分布式扫描引擎的连接，从而启动扫描并检索扫描结果。低网络带宽、过多延迟或如果扫描引擎正执行很多数量的同时扫描，会中断此通讯。如果您的环境中存在任何这些状况，那么可以尝试在扫描引擎配置页面增加连接设置：

注意: 建议您在调节设置前咨询技术支持部门。

可按以下步骤配置这些设置。

  1. 进入安全控制台配置面板的扫描引擎页面。
  2. 点击管理标签。
  3. 在管理页面，点击安全控制台的管理。
  4. 点击安全控制台配置面板的扫描引擎。
  5. 调节连接设置。
  6. 在连接超时字段编辑值，更改连接超时前等待的毫秒数值。
  7. 在响应超时字段编辑值，更改安全控制台放弃等待扫描引擎的响应前的等待毫秒数值。
  8. 点击面板顶栏的保存以保存更改。
  9. 重启安全控制台使配置更改生效。

ヒント: 因于读取毫秒值十分困难，所以一种更容易读取的时间值会显示在每个值字段的右边。在更改任一超时值的时候，注意其相等的值的变化。

创建扫描引擎与安全控制台之间的受信任配对

您可以在扫描引擎与安全控制台之间创建受信任的连接，进而在它们之间创建配对。共享密钥是使用的一段数据，所以控制台将识别并信任来自于该引擎的传入通讯。

注意: 生成的每个共享密钥可被多个引擎使用。共享密钥在其生成后的 60 分钟内有效。60 分钟后，如果您想要创建其他受信任的配对，将需要生成新的共享密钥。

若要创建受信任配对：

  1. 请确保基于网络或基于主机的防火墙不会阻止访问您的 InsightVM 安全控制台的端口 40815。如果您想要使用 40815 以外的其他端口，请将您控制台内 nsc.xml 文件的此行 (\[installation directory]\nsc\conf\nsc.xml) 更改为您想要使用的端口：

    <EngineListener port="40815"/>

    重启您的安全控制台。

  2. 在安全控制台上生成一个共享密钥。为实现此目的，进入管理页面，点击引擎旁的管理。在生成扫描引擎共享密钥下，点击生成。将共享密钥复制到文本文件中。
  1. 登录至扫描引擎运行的主机，访问命令行界面。对于 Windows 主机，您可以使用远程桌面协议。对于 Unix 及相关主机，您可以使用 SSH。对于 Linux，请用以下命令访问引擎的控制台：

screen -r

  1. 通过安全控制台主机的 IP 地址或主机名称将该安全控制台添加至您的引擎。例如：

添加控制台 10.1.1.4

  1. 输入以下命令，查找安全控制台的 ID

显示控制台

  1. 用您刚刚找到的 ID 连接至安全控制台。例如：

连接至控制台 2

  1. 验证是否连接成功。输入：

显示控制台

对于您刚刚连接的控制台 ID，connectTo 的值应为 1。

  1. 向引擎上的安全控制台添加共享密钥。例如：

添加共享密钥 2

将您从安全控制台复制的共享密钥粘贴至提示窗口中。

如果该共享密钥被成功应用，您会看到一条验证消息。

  1. 启用引擎上的控制台。例如：

启用控制台 2

您会看到随着配对的进行而记录了许多行内容。

  1. 返回安全控制台网页界面上的扫描引擎页面。点击刷新显示的引擎。验证是否添加了您刚刚配对的扫描引擎。点击该扫描引擎的刷新图标，确认安全控制台可查询到它。

默认情况下，当您用此方法创建一个受信任配对时，通讯方向将为从引擎至控制台的方向。若要更改此方向，请参见更改控制台中的扫描引擎通讯方向。

更改控制台中的扫描引擎通讯方向

您可以更改安全控制台与每台远程扫描引擎间的通讯起始方向。首选哪一选项取决于您的网络配置。如果通讯方向的默认设置为从控制台至引擎的方向，安全控制台将发起与扫描引擎的通讯。如果通讯方向为从引擎至控制台的方向，扫描引擎将主动通知控制台可以进行通讯。此选项使位于防火墙后面且配置为允许入站连接的控制台建立一条与扫描引擎的通讯通道。

注意: 引擎至控制台的选项不适用于本地扫描引擎或托管式引擎。

若要更改扫描引擎的通讯方向：

  1. 进入管理页面。
  2. 选择引擎旁的管理。

  1. 在通讯状态一栏切换设置，使箭头指向或背向所需的方向。

您也可以将光标悬停在箭头上，查看当前的通讯状态。

可能的选项包括：

控制台与引擎之间无法通讯，但是未出现任何错误。

注意: 在长时间未进行通讯的情况下，有时会发生这种情况。这时，将光标悬停在箭头上会产生一个 ping，如果通讯成功，则通讯状态会变为可用状态。

 

分配用于监控扫描的线程

安全控制台分配线程池以检索扫描状态信息。您可以调节线程数，它与安全控制台可同时检索的扫描状态消息数一致。例如，如果您增加分布式扫描引擎的数量和同时运行扫描的数量，那么您可以增加池中的线程，这样安全控制台可以同时检索更多的状态消息。

注意:  建议您在调节设置前咨询技术支持部门。

请记住，检索时间会随例如带宽和延迟等网络状况变化。无论何时在使用中的活动线程数超过了池中的总线程数，安全控制台便会在特定时间间隔后移除未使用的扫描状态线程。如果您注意到扫描状态消息的频率整体下降，那么您可以增加超时值。

按以下步骤可调整扫描状态线程的池设置：

  1. 进入安全控制台配置面板的扫描引擎页面。
  2. 点击管理标签。
  3. 在管理页面，点击安全控制台的管理。
  4. 点击安全控制台配置面板的扫描引擎。
  5. 调整扫描状态设置。
  1. 在线程闲置超时字段编辑值，更改安全控制台移除未使用的扫描线程前等待的毫秒数值。
  2. 在线程池大小字段编辑值，更改用于监控扫描状态的池中线程数值。
  3. 点击面板顶栏的保存以保存更改。
  4. 重启安全控制台使配置更改生效。

ヒント: 因于读取毫秒值十分困难，所以一种更容易读取的时间值会显示在每个值字段的右边。在更改任一超时值的时候，注意其相等的值的变化。

从分布式扫描引擎中检索增加的扫描结果

安全控制台通过网络与扫描引擎通讯，从而检索扫描结果。在默认情况下，安全控制台逐步增加地从分布式扫描引擎检索扫描结果，在网页界面显示整合数据后的结果，而不是在每次扫描完成后检索结果的完整集合。这样，您可以在一项扫描处于进程中时查看可用的扫描结果。

增加的检索会在扫描中调节带宽使用率。让安全控制台在扫描结束时检索所有的数据也是不必要的做法，否则会造成大量、暂时的带宽使用上升，尤其在大批量数据的情况下。

安全控制台配置面板的扫描引擎页面将显示用于逐步增加检索扫描结果的复选框。它默认为选中状态。除非技术支持部门指导，否则不要禁用此选项。

管理安全控制台数据库

查看安全控制台数据库信息

您可以在安全控制台配置面板的数据库页面查看安全控制台数据库的名称和类型。您亦可以更改已显示的数据库设置。

点击保存以保存更改。

迁移数据库

本应用程序的数据库是所有主要操作的核心组件，如扫描、报告、资产和漏洞管理以及用户管理。应用程序执行这些任务的效率高度依靠数据库性能。当前的 PostgreSQL 数据库版本 9.4.1 拥有众多在性能和稳定性方面的提高。本应用程序利用这些改进的优势，灵活地满足您的环境的需求。未来的发行版本将包括需要最新 PostgreSQL 版本的强大功能。

注意: 只有管理员可以迁移数据库。

如果您的安装版本正运行早期的 PostgreSQL 版本，则您可以使用安全控制台网页界面的工具将其迁移到最新版本。

迁移包括五项必需的任务：

不支持在迁移至新版本后恢复旧版本平台 PostgreSQL 数据库的备份。当您执行并验证了迁移至最新版本且确认了数据库一致性后，您需要立即备份数据库，以免恢复数据库的更早版本，这点十分重要。参看 备份迁移后数据库。

本文档亦介绍了可选的迁移后任务：

准备迁移

做一些准备可保证迁移花费尽可能少的时间并成功：

为迁移释放磁盘空间

在多数情况下，如果您没有足够的磁盘空间执行迁移，则开始迁移按钮是禁用的。但是，在一些环境下，开始迁移按钮可能是已启用的，但在迁移过程中仍可能发生磁盘空间不足的问题。例如，查看关于 Linux 文件系统的部分。尝试以下所列顺序可释放磁盘空间。在每个步骤后均检查开始迁移按钮是否启用。

注意: 建议您的可用磁盘空间等于 1.6 GB + （1.3 x 数据库_大小）。

运行以下数据库维护任务，以移除不必要的数据和释放未使用的表空间：

如果您最近没运行过这些任务，则这样会释放大量的空间。建议您按以下顺序单独运行每项任务。完成每项任务后，再尝试运行迁移。重新索引可能会提供您需要的所有空间，而清理数据库或压缩表就不必要了，否则根据您的数据库大小可能花费大量的时间。参看 执行数据库维护。

将以下目录从主机系统中搬走，迁移完成后再将其恢复：

注意: 随着本应用程序积累数据，这些目录和文件占用的磁盘空间也会越来越多。

若要为迁移释放空间：

  1. 从主机系统中移除与本应用程序无关的、不是运行其他应用程序必需的任何文件或目录。您可以在迁移完成后恢复这些内容。
  2. 删除主机系统中 java.io.tmpdir 目录的内容。目录位置取决于操作系统。

注意: 如果在先前的迁移尝试失败后出现了磁盘空间不足的问题，请参看 解决失败的迁移。

执行以上步骤后，再尝试开始迁移。如果您的磁盘空间仍不足，请联系技术支持部门。

在 Linux 中释放空间

在默认情况下，Linux 文件系统预留 5% 的磁盘空间以用于享有特权的或 root 级别的进程。尽管这些预留空间不足以用于数据库迁移，但本应用程序亦将其包括在迁移前总可用空间的计算中。结果是，迁移可能开始进行，但最终失败，这是因为实际可用磁盘空间低于在计算中检测出的空间。您可以降低预留磁盘空间量，使实际可用空间更匹配迁移前计算的结果。可以使用 tune2fs 实用工具这样做。操作命令包括预留磁盘空间百分比的参数和本应用程序安装在的分区。

例如：tune2fs -m 1 /dev/sdf1

开始和监控迁移

若要监控迁移：

  1. 进入管理页面。
  2. 选择迁移。此链接仅在您企业内部尚未有人进行过迁移的情况下适用。
  3. 在迁移页面查看您的数据库迁移状态。
  4. 如果页面显示您安装的 PostgreSQL 版本早于 9.0.3 且系统已准备迁移，则点击开始迁移。

点击开始迁移后，本应用程序即进入维护模式。扫描和运行报告等正常操作便无法使用。参看 在维护模式下运行。如果您是管理员，则可以登录以监控迁移状态消息。

在迁移过程中，本应用程序会把数据从旧 PostgreSQL 数据库复制到新的 PostgreSQL 数据库。迁移需要这两个数据库都有充足的磁盘空间。

在迁移完成后，本应用程序也会备份旧 PostgreSQL 数据库并将其保存在目录 [installation_directory]/nsc/nxpgsql-backup-[timestamp]。

预计的迁移时间系基于数据库的大小。

所有迁移进程结束后，本应用程序会重启，正常操作便会恢复。

如果您在迁移完成前点击取消按钮停止迁移，则本应用程序将中断迁移进程。然后您可以以正常操作模式重启本应用程序。

即使迁移失败，您当前的 PostgreSQL 版本数据库仍将完好无损，亦可以顺利地继续使用本应用程序。参看 解决失败的迁移。

在极罕见的情况下，本应用程序会在执行完迁移进程后在维护模式中显示迁移常见问题，而不是迁移详细结果的状态消息。如果发生这种情况，在重启服务器前请联系技术支持部门以寻求协助。如果发生了这种情况且您无意重启了服务器，或在迁移后的任何时间内于数据库迁移页面注意到您的环境中运行的 PostgreSQL 版本早于 9.4，则您亦应联系技术支持部门。

解决耗时长且无新状态消息的迁移

迁移可能需要 30 分钟至一个小时以上，这取决于数据量。因此，长时间的迁移并不罕见，而无新状态消息的延长期限也并不一定说明迁移“已中止”。

当没有状态消息时，您可以执行几项快速检查以确认迁移仍在继续：

  1. 在 Linux 中运行 top 命令或在 Windows 中运行任务管理器，检查 PostgreSQL 进程是否在运行以及占用 CPU 资源。
  2. 检查位于 [installation_directory]/nsc/nxpgsql/pgsqlpgsql/bin/pgrade_*.log 的迁移日志文件，查看关于被复制数据库表的消息。

安全控制台将在进程完成后显示一条通知。

验证迁移是否成功

按以下步骤可验证迁移是否成功：

  1. 进入管理页面。
  2. 点击管理。
  3. 进入数据库标签。
  4. 读取显示在页面上的已安装 PostgreSQL 版本。

如果迁移成功，则已安装版本将是 9.4.1。

或者

  1. 打开位于 [installation_directory]\nsc\logs 的 nsc.log 文件，验证 PostgreSQL 9.4.1 是否正在运行。
  2. 搜索字符串 PostgreSQL。您将找到带有此字符串实例的活动 PostgreSQL 版本号，

它将如以下示例在某一行显示：

NSC 2015-06-11T18:45:01 PostgreSQL 9.4.1, compiled by Visual C++ build 1500, 64-bit

确认完迁移成功后，执行以下步骤：

  1. 搬回您为迁移释放空间而从主机系统搬走的任何文件或目录。参看 为迁移释放磁盘空间。
  2. 将 [installation_directory]/nsc/nxpgsql-backup-[timestamp] 目录搬到外部位置存储。

此目录包括迁移前数护库，包括 postgresql.conf 文件。

注： 在您恢复正常操作前，按以下部分所述方法验证数据库的一致性。

如果您在迁移前修改了 postgresql.conf 或 pg_hba.conf，则您将需要重新应用这些配置文件的任何自定义设置。参看 恢复自定义 PostgreSQL 设置。您可以参考旧的 PostgreSQL 存档版本中的已修改配置文件的自定义设置。

保证数据库一致性

此操作包括两步。检查数据库一致性和清理数据库需花费少量时间。

若要验证数据库一致性并正确响应：

  1. 进入管理页面。
  2. 点击诊断。

安全控制台将显示故障排除页面。

  1. 仅选择数据库诊断复选框。
  2. 点击执行诊断。

页面将出现一份表单，列出了所有诊断测试的结果。含有字母 X 的红圈指示了一致性问题。

  1. 进入管理页面。
  2. 点击维护。

安全控制台将显示数据库维护页面。

  1. （可选）选择清理数据库任务，移除任何不必要数据。
  2. 点击开始数据库维护。

注意: 所有诊断选项已默认选中，但只有数据库诊断对验证迁移后数据一致性有用。取消选中其他任何已选中的复选框可仅查看此任务的信息。

开始这些操作后，本应用程序即会关闭并再以维护模式重启。任何进程中的扫描或报告将在完成前停止，而任何相关数据也将丢失。您必须在本应程序完成维护操作后重新运行任何报告或扫描并以正常模式重启。若需更多信息，请参看 在维护模式下运行。

备份迁移后数据库

在验证迁移成功和保证数据一致性后，您须立即备份数据库，这十分重要。备份会预留迁移后数据库的基准实例，并免去恢复 PostgreSQL 9.0 数据库备份的需要。

仅在完成了先前步骤后再执行此步：

若需要关于备份数据库的指南，请参看数据库备份/恢复以及数据保留。

恢复在迁移中备份的数据库

在迁移完成后，本应用程序会备份 PostgreSQL 9.0 数据库并将其保存在目录 [installation_directory]/nsc/nxpgsql-backup-[timestamp]。

按以下步骤可恢复此特定数据库：

  1. 关闭本应用程序。
  2. 重命名迁移后数据库的 pgsql 目录。

此目录位于 [installation_directory]/nsc/nxpgsql。

  1. 复制名称为 nxpgsql-backup-[timestamp] 的备份目录到 [installation_directory]/nsc，并重命名为 nxpgsql。
  2. 启动本应用程序，继续操作。

ヒント: 保留所有原始的权限属性，移动备份目录。这样做可以免去 Linux 要求 nxpgsql 是目录拥有者的麻烦以及 Windows 要求给予系统用户目录访问权的必要。

如果您计划恢复在迁移过程中备份的数据库，要记住几点：

如果您在迁移后运行扫描或报告，再恢复备份数据库，那么安全控制台网页界面将不会列出在迁移和恢复之间的扫描或报告实例，因为已恢复的数据库不含有这些记录。

当您在恢复后开始运行扫描或报告时，已恢复数据库包含的相关扫描或报告实例会覆盖在恢复前文件系统中生成的实例。

图表在最初将不会与已恢复的数据库同步，因为它们始终反映的是最新站点、扫描或资产组的信息。每份图表将在一个事件与其关联后才刷新并与已恢复的数据库同步。例如，运行一项扫描将刷新和同步任何已关联站点或资产组的图表。

恢复自定义 PostgreSQL 设置

PostgreSQL 数据库在迁移后会应用其默认设置。如果您先前修改了 postgresql.conf 文件以调节数据库性能或 pg_hba.conf 以启用远程连接数据库，那么您将需要重新应用这些已修改的设置。

迁移完成后，您可以参考旧的 PostgreSQL 存档版本中的配置文件，此文件位于目录 [instsallation_directory]/nsc/nxpgsql-backup-[timestamp]。

주의: 不要直接将旧的配置文件复制到新的数据库位置中。否则会因为兼容性问题阻止数据库启动。逐一比较每份文件的每个设置，并且只编辑在之前的 PostgreSQL 安装版本中修改的属性。

解决失败的迁移

即使您迁移失败了，您当前的 PostgreSQL 版本数据库仍将完好无损。仅需启动本应用程序，继续正常操作即可。

再次运行迁移前，查明是否由于磁盘空间不足而导致失败。在某些情况下，迁移可能在结束前就超过了可用的磁盘空间，即使自动的迁移前检查确认了有足够可用的磁盘空间。

若要故障排除失败的迁移：

注意: 即使您在失败后不想再尝试迁移，您仍应该删除 /nxpgsql-temp 目录，因为它会占用大量磁盘空间。

如果迁移是由于系统故障或断电而失败，而您再次尝试运行迁移，那么您可能遇到磁盘空间限制的问题。这是因为在失败的迁移尝试中，本应用程序创建一个 nxpgsql-temp 目录。仅需删除此目录并再次开始迁移。临时目录位于 [installation_directory]/nsc。

在维护模式下运行

注意: 只有全局管理员才被准许在维护模式下运行本应用程序。

维护模式是一种启动模式，在此模式中本应用程序执行一般性维护任务，并从其子系统中的一个或多个严重故障中恢复。在维护模式中，您不能运行扫描或报告。可用的功能包括记录、数据库和安全控制台网页界面。

注意: 当出现严重的内部错误时，本应用程序会自动以维护模式运行。

当本应用程序以维护模式运行时，您将在登录后看到 /admin/maintenance/index.html 页面。此页面显示了所有可用的维护任务，并指出了正执行任务的当前状态。直至当前任务完成后才能选择新任务。之后，您可以切换任务或点击重启以返回到正常操作模式。

若要在维护模式下工作：

  1. 点击管理标签。
  2. 在管理页面点击维护。

安全控制台将显示维护模式页面。