Rapid7 InsightVM Scan Engine 镜像文档

镜像概述和主要用途

InsightVM Scan Engine 是 Rapid7 InsightVM 安全解决方案的核心组件，作为扫描过程的执行单元，用于网络资产的漏洞扫描和策略合规性评估。扫描引擎由 InsightVM Security Console（安全控制台）统一管理，负责资产发现、漏洞检测及合规性检查，并将收集的数据临时存储后提交至安全控制台，由控制台整合数据至 PostgreSQL 数据库进行分析和报告生成。

核心功能和特性

• 资产发现：扫描目标网络以识别活跃资产。
• 漏洞检测：检查资产是否存在已知漏洞。
• 合规性评估：根据配置的扫描模板评估资产的策略合规性。
• 数据临时存储：仅在本地临时存储扫描数据，最终由安全控制台统一管理。
• 与安全控制台集成：通过加密连接与 Security Console 通信，数据最终存储于控制台数据库。
• 轻量级存储需求：相比安全控制台，对主机存储要求显著降低。

使用场景和适用范围

适用于企业级网络安全评估，需配合 InsightVM Security Console 使用，主要场景包括：

• 定期网络漏洞扫描与风险评估
• 企业安全策略合规性检查
• 多区域分布式扫描部署（通过部署多个扫描引擎）
• 临时或动态环境中的安全评估（如容器化部署场景）

基本信息

维护者

Rapid7

支持标签

• latest
• (product-version)（产品版本，如 6.6.0）
• (product-version)-content(content-version)（产品版本+内容版本，如 6.6.0-content202310）

支持架构

amd64

获取帮助与反馈

• 文档：扫描引擎***文档
• 技术支持：Rapid7 支持

使用方法

前提条件

• 已部署 InsightVM Security Console
• 已获取控制台地址（CONSOLE_ADDRESS）和共享密钥（SHARED_SECRET，从控制台生成）

快速启动（Docker Run）

1. 连接至安全控制台（反向配对）

扫描引擎主动连接至安全控制台，适用于控制台可被扫描引擎访问的场景：

bash
docker run \
  --env CONNECT_TO_SHARED_SECRET=<共享密钥> \
  --env CONNECT_TO_ADDRESS=<控制台地址> \
  rapid7/insightvm_scan_engine:latest

2. 接受安全控制台连接（标准配对）

扫描引擎监听端口，等待控制台主动连接，需映射端口：

bash
docker run \
  --env ACCEPT_FROM_ADDRESS=<控制台地址> \
  --env ACCEPT_FROM_SHARED_SECRET=<共享密钥> \
  -p 40814:40814 \  # 控制台与扫描引擎通信端口
  rapid7/insightvm_scan_engine:latest

3. 使用外部挂载（持久化数据）

挂载配置、密钥、日志和扫描数据目录，确保数据持久化：

bash
docker run \
  --env CONNECT_TO_SHARED_SECRET=<共享密钥> \
  --env CONNECT_TO_ADDRESS=<控制台地址> \
  -v /var/docker/nse-container/data/rapid7/nexpose/nse/conf:/opt/rapid7/nexpose/nse/conf \
  -v /var/docker/nse-container/data/rapid7/nexpose/nse/keystores:/opt/rapid7/nexpose/nse/keystores \
  -v /var/docker/nse-container/data/rapid7/nexpose/nse/logs:/opt/rapid7/nexpose/nse/logs \
  -v /var/docker/nse-container/data/rapid7/nexpose/nse/scans:/opt/rapid7/nexpose/nse/scans \  
  rapid7/insightvm_scan_engine:latest

使用 Docker Compose 部署

1. 单容器连接至安全控制台

yaml
version: "3"
services:
  nse-1:
    image: rapid7/insightvm_scan_engine:latest
    volumes:
      - /var/docker/nse-1/data/rapid7/nexpose/nse/conf:/opt/rapid7/nexpose/nse/conf
      - /var/docker/nse-1/data/rapid7/nexpose/nse/keystores:/opt/rapid7/nexpose/nse/keystores
      - /var/docker/nse-1/data/rapid7/nexpose/nse/logs:/opt/rapid7/nexpose/nse/logs
      - /var/docker/nse-1/data/rapid7/nexpose/nse/scans:/opt/rapid7/nexpose/nse/scans
    environment:
      - CONNECT_TO_ADDRESS=<控制台地址>
      - CONNECT_TO_SHARED_SECRET=<共享密钥>

2. 单容器接受控制台连接

yaml
version: "3"
services:
  nse-1:
    image: rapid7/insightvm_scan_engine:latest
    ports:
      - "40814:40814"  # 映射通信端口
    volumes:
      - /var/docker/nse-1/data/rapid7/nexpose/nse/conf:/opt/rapid7/nexpose/nse/conf
      - /var/docker/nse-1/data/rapid7/nexpose/nse/keystores:/opt/rapid7/nexpose/nse/keystores
      - /var/docker/nse-1/data/rapid7/nexpose/nse/logs:/opt/rapid7/nexpose/nse/logs
      - /var/docker/nse-1/data/rapid7/nexpose/nse/scans:/opt/rapid7/nexpose/nse/scans
    environment:
      - ACCEPT_FROM_ADDRESS=<控制台地址>
      - ACCEPT_FROM_SHARED_SECRET=<共享密钥>

3. 多扫描引擎部署

同时启动多个扫描引擎实例，连接至同一控制台：

yaml
version: "3"
services:
  nse-1:
    image: rapid7/insightvm_scan_engine:latest
    volumes:
      - /var/docker/nse-1/data/rapid7/nexpose/nse/conf:/opt/rapid7/nexpose/nse/conf
      - /var/docker/nse-1/data/rapid7/nexpose/nse/keystores:/opt/rapid7/nexpose/nse/keystores
      - /var/docker/nse-1/data/rapid7/nexpose/nse/logs:/opt/rapid7/nexpose/nse/logs
      - /var/docker/nse-1/data/rapid7/nexpose/nse/scans:/opt/rapid7/nexpose/nse/scans
    environment:
      - CONNECT_TO_ADDRESS=<控制台地址>
      - CONNECT_TO_SHARED_SECRET=<共享密钥>
  
  nse-2:
    image: rapid7/insightvm_scan_engine:latest
    volumes:
      - /var/docker/nse-2/data/rapid7/nexpose/nse/conf:/opt/rapid7/nexpose/nse/conf
      - /var/docker/nse-2/data/rapid7/nexpose/nse/keystores:/opt/rapid7/nexpose/nse/keystores
      - /var/docker/nse-2/data/rapid7/nexpose/nse/logs:/opt/rapid7/nexpose/nse/logs
      - /var/docker/nse-2/data/rapid7/nexpose/nse/scans:/opt/rapid7/nexpose/nse/scans
    environment:
      - CONNECT_TO_ADDRESS=<控制台地址>
      - CONNECT_TO_SHARED_SECRET=<共享密钥>
  
  nse-3:
    image: rapid7/insightvm_scan_engine:latest
    volumes:
      - /var/docker/nse-3/data/rapid7/nexpose/nse/conf:/opt/rapid7/nexpose/nse/conf
      - /var/docker/nse-3/data/rapid7/nexpose/nse/keystores:/opt/rapid7/nexpose/nse/keystores
      - /var/docker/nse-3/data/rapid7/nexpose/nse/logs:/opt/rapid7/nexpose/nse/logs
      - /var/docker/nse-3/data/rapid7/nexpose/nse/scans:/opt/rapid7/nexpose/nse/scans
    environment:
      - CONNECT_TO_ADDRESS=<控制台地址>
      - CONNECT_TO_SHARED_SECRET=<共享密钥>

配置参数

环境变量

1. 反向配对模式（扫描引擎主动连接控制台）

• CONNECT_TO_ADDRESS
  安全控制台的IP地址或主机名，扫描引擎将主动连接至此地址。
• CONNECT_TO_SHARED_SECRET
  控制台生成的共享密钥（用于身份验证）。若提供，扫描引擎将自动配对至控制台；若不提供，需在控制台的“扫描引擎管理”页面手动添加。

2. 标准配对模式（接受控制台连接）

• ACCEPT_FROM_ADDRESS
  允许连接的安全控制台IP地址，仅接受此地址的控制台连接。
• ACCEPT_FROM_SHARED_SECRET
  控制台生成的共享密钥（用于身份验证）。若提供，控制台需正确响应密钥挑战；若不提供，扫描引擎将信任首个来自指定地址的控制台连接。

挂载点

参考文档

• Rapid7 InsightVM 扫描引擎***文档