Alvindag/vulnerability-management-platform

# 漏洞管理平台 这是一个作为个人网络安全作品集一部分而自建的集成漏洞管理平台。该平台由两个协同工作的基于 Flask 的 Web 应用程序组成 —— **IVAN** 负责发现网络中的漏洞，**VRAM** 负责对漏洞进行跟踪、评分和管理，直至修复。 该项目旨在不依赖商业工具的情况下，展示在网络风险、风险管理、安全软件开发和合规对齐方面的实战技能。 ## 平台概述 ``` ┌─────────────────────────────────────────────────────┐ │ │ │ IVAN (Port 5054) VRAM (Port 5053) │ │ Network Scanner ──▶ Risk & Vuln Register │ │ │ │ • CIDR host discovery • Vulnerability tracking│ │ • Port scanning • CVSS scoring │ │ • SSL/TLS auditing • Risk register │ │ • HTTP header checks • Asset inventory │ │ • Default cred testing • Remediation workflow │ │ • PDF scan reports • Compliance mapping │ │ • PDF/export reports │ └─────────────────────────────────────────────────────┘ ``` IVAN 通过内部 API 将严重和高危发现直接推送到 VRAM 中，从而构建起从发现到跟踪修复的无缝流水线。 ## 工具 | 工具 | 描述 | 端口 | 技术栈 | |------|-------------|------|-------| | [VRAM](./vram/) | 漏洞与风险评估管理器 | 5053 | Flask · SQLite · ReportLab | | [IVAN](./ivan/) | 内部漏洞评估与网络扫描器 | 5054 | Flask · SQLite · Scapy · ReportLab | ## 核心功能 ### IVAN —— 内部漏洞评估与网络扫描器 - 对任意 CIDR 范围进行 Ping 扫描 + TCP 回退主机发现 - 带服务 Banner 抓取的 TCP Connect 端口扫描 - 三种扫描配置：快速（前 100 个端口）、标准（前 1000 个）、深度（全部 65535 个） - SSL/TLS 审计 —— 过期证书、自签名证书、弱协议（SSLv3/TLS1.0/1.1） - HTTP 安全头审计 —— CSP、HSTS、X-Frame-Options 等 - 默认凭据测试 —— FTP 匿名登录、Redis 无认证、MongoDB 无认证、SNMP - SMBv1 检测（EternalBlue/WannaCry 风险） - 基于主机的类 CVSS 风险评分（0–10 分制） - 通过 ReportLab 生成 PDF 扫描报告 - 一键将严重/高危发现推送到 VRAM ### VRAM —— 漏洞与风险评估管理器 - 漏洞登记簿，支持全生命周期跟踪（开放 → 进行中 → 已解决） - CVSS 评分与自动严重程度映射 - 风险登记簿，包含可能性 × 影响矩阵（低 / 中 / 高 / 严重） - 与漏洞和风险关联的资产清单 - 合规框架映射 —— NIST CSF、ISO 27001 Annex A - 基于角色的访问控制（管理员、IT 安全部、管理层、部门主管） - 所有操作的完整审计日志 - PDF 和 CSV 导出 - 用于接收 IVAN 发现的内部 API 端点 ## 截图 ## 快速开始 ### 前置条件 - Python 3.9+ - pip ### 运行 VRAM ``` cd vram pip install -r requirements.txt python app.py # → http://localhost:5053 # 默认登录：admin / admin123 ``` ### 运行 IVAN ``` cd ivan pip install -r requirements.txt python app.py # → http://localhost:5054 # 默认登录：admin / admin123 ``` ## 工作流程 1. 启动两个应用程序 2. 在 IVAN 中 → 创建新扫描 → 输入目标 CIDR（例如 `10.0.0.0/24`） → 选择扫描配置 3. 等待扫描完成 —— 结果将实时显示 4. 按主机和严重程度审查发现 5. 点击 **→ 推送到 VRAM** 将所有严重和高危发现发送过去 6. 在 VRAM 中 → 审查导入的漏洞 → 分配负责人 → 设定目标日期 → 跟踪修复进度 ## 项目背景 该平台从零开始构建，作为一个作品集项目，旨在展示以下方面的实战能力： - **网络安全** —— 主机发现、端口扫描、服务指纹识别 - **漏洞管理** —— CVSS 评分、生命周期跟踪、修复工作流 - **安全 Web 开发** —— Flask、基于角色的访问控制、会话管理、审计日志 - **合规性** —— NIST CSF 和 ISO 27001 控制措施映射 - **系统集成** —— 连接两个独立应用程序的内部 REST API 这些工具已在真实的内部网络上进行了测试，产出了真实的发现结果，并经由 VRAM 进行了跟踪和修复。 ## 作者 **Alvin E.J. Dagbui** IT 官员兼系统管理员 | 数字取证与网络安全硕士 (GIMPA) | Google 网络安全证书 [LinkedIn](https://linkedin.com/in/alvin-dagbui) · [GitHub](https://github.com/alvindagbui) ## 免责声明 这些工具仅供在您拥有或获得明确书面授权进行测试的网络上使用。未经授权的网络扫描是非法的。作者不对滥用行为承担责任。 ## 许可证 MIT License —— 详情见 [LICENSE](./LICENSE)。

标签：CVSS评分, Facebook API, Flask, GPT, Python, SQLite, SSL/TLS审计, 加密, 占用监测, 安全仪表盘, 安全合规, 安全工具开发, 安全运营, 密码管理, 扫描框架, 插件系统, 数据统计, 无后门, 漏洞处置, 漏洞扫描器, 漏洞管理, 端口扫描, 网络代理, 网络安全, 资产管理, 足迹分析, 逆向工具, 防御工程, 隐私保护