CN104285219A - 统一扫描管理 - Google Patents

Abstract

识别要在计算环境的至少一部分上执行的特定扫描集。在多个扫描引擎中识别适于执行所述特定扫描集中的至少一个扫描的特定扫描引擎，所述多个扫描引擎中的每一个扫描引擎适于在计算环境中的一个或多个主机设备上执行一个或多个扫描。将请求发送到所述特定扫描引擎以便执行所述特定扫描集中的所述至少一个扫描，并且从与所述特定扫描集中的所述至少一个扫描相对应的所述特定扫描引擎接收扫描结果数据。

Description

统一扫描管理

技术领域

本公开通常涉及计算安全的领域，并且更具体地涉及安全扫描。

背景技术

现代组织越来越多地关心维持其计算环境的可靠性和安全性，假定计算机网络在实体内和实体间通信和事务中起的重要作用。各种工具由网络管理员、政府、安全顾问和黑客使用以便测试目标网络的漏洞，例如以网络上的任何计算机是否能够在没有授权的情况下被访问并且被远程地控制为例。一些网络安全工具能够测试对于可能的入侵的网络路径。从测试点起，诸如traceroute和ping的简单命令能够用于手动地映射网络拓扑，并且大致确定什么网络地址是“活跃的”以及哪些计算机在网络上是“醒着的”(即，确定哪些计算机是打开的并且对网络分组做出响应)。诸如端口扫描仪的工具能够用于测试目标网络上的单独的目标计算机以便确定什么网络端口是打开的。如果发现了打开的端口，则这些端口会提供对于可能的入侵的通路，并且潜在地代表会由恶意黑客利用的漏洞。能够在计算环境内采用各种工具，导致运行各种不同的测试并且返回数据。管理员和安全分析员能够在一些情况下经过从不相关的工具返回的数据来工作，以便试图合成各种结果并且理解该结果、生成报告等等。

附图说明

图1是根据至少一个实施例包括多个扫描引擎的示例计算***的简化示意图；

图2是根据至少一个实施例包括示例资产管理***和示例扫描引擎的示例计算***的简化方框图；

图3A-3B是根据至少一个实施例基于代理的扫描引擎的示例实现的简化方框图；

图4A-4E是说明根据至少一个实施例的示例资产管理***和示例扫描引擎的示例操作的简化方框图；

图5A-5G是说明根据至少一个实施例的示例资产管理***和示例扫描引擎的示例操作的简化方框图；

图6A-6B是说明根据至少一个实施例用于扫描计算环境的部分的示例技术的简化流程图。

在各种附图中相似的附图标记和名称指示相似的元件。

具体实施方式

概览

通常，在这一说明书中描述的主题的一个方面可以被体现在方法中，所述方法包括下列动作：识别要在计算环境的至少一部分上执行的特定扫描集并且在多个扫描引擎中识别适于执行所述特定扫描集中的至少一个扫描的特定扫描引擎。多个扫描引擎中的每一个扫描引擎能够适于在计算环境中的一个或多个主机设备上执行一个或多个扫描。能够将请求发送到特定扫描引擎以便执行特定扫描集中的至少一个扫描，并且能够从与特定扫描集中的至少一个扫描相对应的特定扫描引擎接收扫描结果数据。

在这一说明书中描述的主题的另一通常的方面可以被体现在***中，所述***包括至少一个处理器设备、至少一个存储器元件和资产管理***服务器。资产管理***服务器可以适于在由至少一个处理器设备执行时识别要在计算环境的至少一部分上执行的特定扫描集并且在多个扫描引擎中识别适于执行特定扫描集中的至少一个扫描的特定扫描引擎。资产管理***服务器能够进一步适于将请求发送到特定扫描引擎以便执行特定扫描集中的至少一个扫描并且从与特定扫描集中的至少一个扫描相对应的特定扫描引擎接收扫描结果数据。多个扫描引擎中的每一个扫描引擎能够适于在计算环境中的一个或多个主机设备上执行一个或多个扫描。

这些和其它实施例可以分别可选地包括下列特征中的一个或多个。所述请求经过代理被发送。特定扫描引擎可以是适于执行计算环境的所述部分的外部扫描的基于网络的扫描引擎。特定扫描引擎可以是在计算环境的所述部分中在特定目标设备上托管的基于主机的扫描引擎，并且适于执行特定目标设备的内部扫描。多个计算语言中的特定计算语言能够通过特定扫描引擎从该请求被识别，并且扫描引擎可以利用特定扫描引擎上的多个语言解释程序中的相对应的语言解释程序以便执行特定扫描集中的至少一个扫描。该请求可以使特定语言解释程序在特定扫描集中的至少一个扫描期间在特定扫描引擎上被激活。特定扫描集可以至少部分地基于可应用于计算环境的所述部分的计算环境的安全策略。识别特定扫描集可以包括基于安全策略来生成特定扫描集。安全策略可以是设备中心策略、组织特定策略和调控策略中的一个。

进而，这些和其它实施例也可以分别可选地包括下列特征中的一个或多个。多个扫描引擎中的第二扫描引擎可以被识别以便执行特定扫描集中的另一扫描，并且所述请求可以被发送到第二扫描引擎以便执行特定扫描集中的另一扫描。扫描结果数据也可以被从与特定扫描集中的另一扫描相对应的第二扫描引擎接收。与特定扫描集中的每一个扫描相对应的所接收的扫描结果数据可以被聚集。特定扫描引擎可以是适于执行计算环境的所述部分的外部扫描的基于网络的扫描引擎，并且第二扫描引擎可以是在计算环境的所述部分中的特定目标设备上被托管并且适于执行特定目标设备的内部扫描的基于主机的扫描引擎。到第二扫描引擎的执行另一扫描的请求可以对从特定扫描集接收的与特定扫描集中的至少一个扫描相对应的扫描结果数据做出响应而被发送。计算环境的所述部分可以包括整个计算环境。至少一个扫描可以是特定扫描集中的至少两个扫描中的第一个，并且可以对于特定扫描引擎识别至少两个扫描中不同于第一扫描的第二扫描。请求可以被发送到特定扫描引擎以便执行第二扫描，并且与第二扫描相对应的来自特定扫描引擎的扫描结果数据可以被接收。第二扫描可以涉及与第一扫描不同的扫描目标。第二扫描可以是与第一扫描不同类型的扫描。第二扫描可以利用与第一扫描不同的计算语言。可以识别要在计算环境的至少一部分上执行的不同的第二扫描集，多个扫描引擎中的一个或多个扫描引擎可以被识别以便执行第二扫描集中的扫描，可以将执行第二扫描集中的扫描的请求发送到被识别的扫描引擎，并且可以接收第二扫描集的扫描结果数据。特定扫描引擎可以执行特定扫描集和第二扫描集的每一个中的扫描。多个扫描引擎中的每一个扫描引擎可以是适于利用包括在各自扫描引擎上的各自语言解释程序库的统一扫描引擎。

所述特征中的一些或所有可以是计算机实现的方法或者被进一步包括在用于执行这一描述的功能的各自***或其它设备中。在附图和下面的描述中阐述了本公开的这些和其它特征、方面和实现的细节。通过说明书和附图以及权利要求，本公开的其它特征、目的和优点将变得明显。

示例实施例

图1是说明计算环境100的示例实现的简化方框图，计算环境100包括资产管理***105和多个计算设备以及其它主机设备(例如130、135、140)，计算设备包括用户计算设备110、115、120、125，并且主机设备包括提供各种服务、数据、应用和计算环境内的其它资源的设备。计算环境100可以附加地包括适于根据各种扫描脚本中的一个或多个来执行各种测试、探测、访问企图和其它扫描的多个扫描引擎150、155、160、165、170，每一个扫描引擎适于试图获得关于计算环境100的各种元件、其各自的主机设备(例如110、115、120、125、130、135、140)、由设备托管的应用和服务和计算环境100内的网络(例如145)以及诸如路由器、交换机、防火墙等等的单独的网络元件的信息。进而，在一些实现中，扫描引擎150、155、160、165、170能够扫描***部件以便附加地获得描述使用计算环境100的各种用户/人的属性以及该用户/人的行为倾向的信息。由扫描引擎150、155、160、165、170经过计算环境的各种扫描生成、发现和/或收集的数据可以结合计算环境100或者该计算环境的特定部分或元件的安全性相关评估而被聚集、合成和以其它方式进行处理。

在一些实现中，示例资产管理***105可以至少部分地集中由扫描引擎150、155、160、165、170执行的扫描的控制以及从该扫描获得的扫描结果数据的处理。在许多传统***中，多个不同的扫描实用程序可以独立于其它扫描实用程序而被提供，每一个扫描工具适于提供特定类型的扫描服务，例如特定类型的子***或设备的扫描，对于特定属性的扫描，等等。然而在一些实例中，多维扫描可以涉及各种不同的服务和设备的测试和扫描，并且涉及多个不同的扫描实用程序的调用。在典型的***中，每一个扫描实用程序将独立于其它扫描实用程序而扫描计算环境的其特定子集，在一些情况下执行冗余校验、扫描或者冗余地扫描特定设备或服务。此外，每一个独立的扫描实用程序将返回它自己的结果数据集，多维扫描(例如，涉及多个不同的扫描和扫描实用程序的扫描项目)产生多个独立的结果集的相对应的集。包括潜在地冗余或不一致的结果的各种结果集的合成和理解可以涉及管理人员筛查和过滤各种扫描结果以便生成结论、产生报告并且根据扫描得出含义连同其它困难和低效率。在一些情况下，根据本文描述的至少一些原理实现的资产管理***和扫描引擎可以克服这些缺陷以及在本文没有明确描述的其它缺陷。

端点或用户设备、网络元件、主机设备以及包括在计算环境100中的其它计算设备可以通过一个或多个网络(例如145)与其它设备进行通信和/或便于其它设备之间的通信。漏洞和威胁可以根据设备在计算环境100的内部和外部参与计算事务和通信而进行具体化。***内各种漏洞的存在会向通过利用漏洞的威胁危害的计算环境100打开门，该威胁包括计算机病毒、损坏的数据、未授权的***、数据或网络访问、数据失窃、蠕虫、恶意软件、黑客和其它威胁。这样的漏洞和威胁会对一个或多个设备、子网络或者计算环境本身造成风险。此外，计算环境根据其被管理的各种策略可以此外通过计算环境批准与一个或多个策略的特定符合性。有效而精确地扫描计算环境100内的设备和网络可以帮助确保支持各种安全标准和策略，并且维持整体计算环境100及其构成元件的安全性和健康状况。

通常，“服务器”、“客户端”、“计算设备”、“网络元件”、“主机”和“***”，包括示例计算环境100中的计算设备(例如，105、110、115、120、125、130、135、140等等)，可以包括操作为接收、传输、处理、存储或管理与计算环境100相关联的数据和信息的电子计算设备。如在这一文档中使用的，术语“计算机”、“处理器”、“处理器设备”或“处理设备”意在包含任意合适的处理设备。例如，可以使用诸如包括多个服务器计算机的服务器池的多个设备来实现被表示为计算环境100内的单个设备的元件。进而，计算设备的任何、所有或一些可以适于执行任何操作***，包括Linux、UNIX、Microsoft Windows、Apple OS、Apple iOS、Google Android、Windows Server等等，以及适于虚拟化包括定制和专有操作***的特定操作***的执行的虚拟机。

进而，服务器、客户端、网络元件、***和计算设备(例如105、110、115、120、125、130、135、140等等)可以分别包括一个或多个处理器、计算机可读存储器和一个或多个接口连同其它特征和硬件。服务器可以包括任何适当的软件部件或模块或者能够托管和/或提供软件应用和服务(例如，资产管理***105、扫描引擎150、155、160、165、170和包括分布式、企业或基于云的软件应用、数据和服务的其它服务、应用和其它程序)的计算设备。例如，服务器可以配置为托管、服务或以其它方式管理与其它服务和设备通过接口连接、与其它服务和设备协调或者依赖于其它服务和设备或由其它服务和设备使用的数据结构、模型、数据集、软件服务和应用。在一些实例中，服务器、***、子***或计算设备可以被实现为能够被托管在公共计算***、服务器、服务器池或云计算环境中并且共享包括共享存储器、处理器和接口的计算资源的设备的某种组合。

用户、端点或客户端计算设备(例如110、115、120、125等等)可以包括传统和移动计算设备，包括个人计算机、膝上型计算机、平板计算机、智能电话、个人数字助理、特征电话、手持视频游戏控制台、桌上型计算机、互联网使能的电视机以及被设计为与用户通过接口进行连接并且能够通过一个或多个网络(例如145)与其它设备进行通信的其它设备。用户计算设备和计算设备(例如105、110、115、120、125、130、135、140等)的属性通常可以从一个设备到另一设备广泛地改变，包括各自的操作***和被装入、安装、执行、操作或者以其它方式对于每一个设备可访问的软件程序的集。例如，计算设备可以运行、执行、安装或者以其它方式包括程序的各种集，包括操作***、应用、插件、小应用程序、虚拟机、机器图像、驱动器、可执行文件和能够由各自设备运行、执行或者以其它方式使用的其它基于软件的程序的各种组合。

一些计算设备可以进一步包括至少一个图形显示设备和用户界面，允许用户观看应用和在计算环境100中提供的其它程序的图形用户界面并且与该图形用户界面进行交互，包括与在计算设备内托管的应用进行交互的程序的用户界面和图形表示以及与资产管理***105或者一个或多个扫描引擎150、155、160、165、170相关联的图形用户界面。而且，尽管可以就被一个用户使用而言来描述用户计算设备(例如110、115、120、125等等)，但是本公开设想许多用户可以使用一个计算机或者一个用户可以使用多个计算机。

尽管将图1描述为包含多个元件或者与多个元件相关联，但是并不是在本公开的每一个可选实现中都可以利用在图1的计算环境100内说明的所有元件。此外，结合图1的示例描述的一个或多个元件可以位于计算环境100外部，而在其它实例中，某些元件可以被包括其它所描述的元件以及在所说明的实现中没有描述的其它元件中的一个或多个内或者作为其一部分。进而，图1中说明的某些元件可以与其它部件进行组合，并且用于除了本文公开的那些目的之外的可选或附加的目的。

图2是说明包括与多个代理(例如210、215)协同操作的示例资产管理***205的示例***的简化方框图200，所述代理配备有适于基于从资产管理***205接收的指令和请求来执行基于主机的扫描(例如在扫描引擎225的情况下)或基于网络的扫描(例如在扫描引擎220的情况下)的扫描引擎(例如220、225)。扫描结果可以使用基于网络和基于主机的扫描引擎(例如分别为220、225)从扫描生成并且被发送到资产管理***205用于集中式管理、分析和处理。在一些情况下，资产管理***205可以通过包括基于网络和基于主机的扫描引擎的多个不同的扫描引擎来协调涉及许多扫描(即，扫描的集)的扫描，并且基于在扫描集的一个或多个部分期间接收的扫描结果来修改由扫描引擎使用的扫描脚本。进而，使用一个或多个不同的扫描引擎获得或生成的结果数据可以被集中地报告到资产管理***用于通过资产管理***进行聚集、合成和分析。

在一些实现中，示例资产管理***205可以包括用于执行包括在资产管理***205的一个或多个部件中的功能的一个或多个处理器设备255和存储器元件258。例如，在资产管理***205的一个示例实现中，可以提供扫描控制器260、资产仓库管理器265和策略管理器270。示例扫描控制器260可以例如包括用于与一个或多个扫描引擎(例如220、225)通过接口进行连接并且管理由扫描引擎执行的扫描集和单独扫描的功能。在一些实例中，策略(例如275)可以与计算环境的一个或多个部件相关联，例如整个环境、网络、一个或多个子网、一个或多个设备、一个或多个应用、一个或多个用户等等。这样的策略可以包括用户中心策略(例如对特定用户对计算环境的设备和网络的使用应用的)、设备中心策略(例如对计算环境内的特定设备应用的)、组织特定策略(例如由在特定组织的计算环境内管理使用和配置的组织设置的策略)和调控策略(例如由工业、政府或其它实体设置的策略，设置在由实体管理的特定背景内使用的计算***的***要求和准则(例如Sarbanes-Oxley***符合策略、支付卡工业(PCI)策略、健康保险携带和责任法案(HIPAA)策略等等))连同其它示例。扫描控制器260可以适于生成特定扫描，包括涉及在一些情况下由多个不同的扫描引擎(例如220、225)执行的扫描序列的扫描集，处理与特定策略(例如275)的符合性或特定策略(例如275)的准则。可以使用扫描控制器260生成并维持各种扫描脚本278，用于在结合一个或多个策略274执行扫描时使用。

扫描脚本278可以由扫描控制器260推到一个或多个特定扫描引擎220、225，用于由扫描引擎在执行相对应的扫描任务时使用。扫描脚本278可以包括可执行指令，其在由扫描引擎读取或执行时识别特定扫描目标、要执行的扫描以及在一些实例中由扫描引擎在执行扫描任务时使用的计算语言的类型。扫描脚本的执行可以使扫描引擎执行一个或多个扫描任务(例如，利用一个或多个语言解释程序)。在一些实例中，扫描可以涉及来自计算环境内的特定设备或应用的数据的集合。扫描可以包括访问目标计算设备或应用的特定资源的企图(从目标的观点看是授权或未授权的)。扫描可以包括监控计算环境内的特定设备或应用对被发送到该计算设备或应用的特定刺激或数据的响应。实际上，扫描可以包括通过扫描引擎的数据的生成，以便作为输入被提供到、传送到或者以其它方式发送到扫描的目标，扫描引擎进一步监控扫描目标对被发送的数据的响应。由扫描引擎发送的这样的数据可以基于从扫描控制器260接收的特定扫描脚本278并且使用其中数据将被生成并且在扫描内被发送的计算语言。进而，从目标返回的数据可以使用扫描引擎的一个或多个语言解释程序被解释，以便生成描述目标的响应和扫描的其它结果的扫描结果数据。

扫描控制器260可以进一步与扫描引擎(例如210、215)通过接口进行连接以便获得从由扫描引擎执行的扫描任务返回的扫描结果数据。进而，在一些实现中，扫描控制器260可以根据扫描的特定目标(例如测量与扫描所基于的特定安全策略的符合性等等)来组织并聚集扫描结果数据(例如280)。进而，扫描控制器260可以处理扫描结果数据以便确定期望的信息从扫描获得或者确定特定类型的扫描在获得对于特定扫描或扫描的集期望的特定信息时是不成功的，该信息例如是用于确定与扫描所基于的特定安全策略的符合性的信息等等。在这样的实例中，扫描控制器260可以通过永久地取消扫描、使用另一扫描脚本替换扫描脚本、将补充扫描脚本发送到扫描引擎、在另一扫描引擎上调用另一扫描连同用于控制扫描的处理的其它示例等等来修改扫描。

除了基于从先前的或正在进行的扫描获得的扫描结果来修改扫描以外，扫描控制器260也可以识别适于执行特定扫描的特定扫描引擎。例如，扫描控制器260可以确定一个或多个基于主机的扫描引擎(例如225)应该用于特定扫描。在其它实例中，扫描控制器260可以确定应该使用一个或多个基于网络的扫描引擎(例如220)。在基于网络的扫描引擎的情况下，扫描控制器260可以此外确定特定的基于网络的扫描引擎是否能够与特定远程扫描目标(例如计算设备230、240、245、250)进行通信并且从而扫描该特定远程扫描目标。这样的确定可以包括确定特定扫描引擎是否与扫描目标位于相同的网络上，或者以其它方式能够与远程扫描目标通过接口进行连接。例如，在一些实现中，扫描控制器260可以根据扫描目标到扫描引擎的映射来识别(即，识别哪些扫描控制器能够与哪些扫描目标进行通信)特定的基于网络的扫描引擎适于与扫描目标进行通信。如果扫描控制器260进一步确定被映射的扫描引擎能够在扫描目标上执行特定的期望扫描，则扫描控制器260可以通过一个或多个网络(例如145)向扫描引擎(例如220)转发扫描脚本(例如278)，用于由扫描引擎在扫描该扫描目标(例如计算设备240)时使用。

在一些实例中，扫描引擎到扫描目标的映射可以结合对计算环境内的***资产进行分类的资产仓库282而被维持。***资产可以包括网络、应用和其它程序、计算环境内的单独设备或子***、被识别为使用计算环境的特定用户或人等等。资产仓库282可以进一步对各种***资产的被识别的属性进行分类，以便例如帮助识别***实体的漏洞。包括在资产仓库282中的信息也可以由扫描控制器260访问以便通知如何在特定扫描目标(即，待扫描的***资产)上执行特定扫描、扫描哪个扫描目标、要调用哪个扫描引擎来扫描特定扫描目标、扫描目标要考虑的属性等等。此外，特定***资产的扫描可以导致额外信息和***资产的属性的发现。这样的信息可以被添加到或者代替在资产仓库中例如由与扫描控制器260进行通信操作的资产仓库管理器265进行记录(document)的各自***资产的其它信息，以及其它示例实现。在一些实现中，资产仓库管理器265可以包括用于构建、更新和以其它方式维护包括描述在计算环境内发现的***资产的记录的资产仓库282的功能。

除了扫描控制器260和资产仓库管理器265以外，资产管理***205可以进一步包括策略管理器270，其可以用于对在资产仓库282中识别和分类的***资产定义并应用安全策略。可以使用策略管理器270来维护并访问安全策略275的库。在一些实现中，安全策略275可以包括标准安全策略(例如，通常在整个计算环境中可应用)以及环境特定安全策略。实际上，在一些示例中，策略管理器270可以包括允许管理员用户为他们各自的计算环境定义并生成新的定制安全策略的功能。进而，策略管理器270可以根据用户输入的关联或自动关联(例如基于规则的策略分配，其基于在资产仓库282中记录的各自***资产的属性)做出哪个策略275应用于哪个***实体的关联。这样的关联也可以由扫描控制器260考虑以便识别将在与特定策略175的实施或审查相对应的一个扫描或扫描集中扫描的计算环境(例如，特定扫描目标设备、特定子网络等等)的部分，连同其它示例。

从扫描(例如通过由资产管理***205控制的扫描引擎220、250)收集的信息可以用于对特定***资产实施特定安全策略。例如，策略管理器270和/或资产仓库管理器265可以用于与部署在计算环境内的各种安全工具(例如285)通过接口进行连接。安全工具285可以被部署为远离***资产(例如230、235、240)，允许策略实施远离并且代表目标(即，一个或多个安全工具285进行的安全实施动作的目标)而发生，允许安全实施而没有策略(或实施工具)被推到目标本身。这可能例如在移进和移出被监控的网络的移动设备以及未被管理的设备的安全实施中是有用的，该未被管理的设备例如是移动设备、客户设备以及不包括代理或能够实施重要安全策略的其它本地安全工具的其它设备。这样的安全工具285可以例如包括防火墙、网络网关、邮件网关、主机入侵保护(HIP)工具、网络入侵保护(NIP)工具、防恶意软件工具、数据损失防止(DLP)工具、***漏洞管理器、***策略符合性管理器、资产临界性工具、入侵检测***(IDS)、入侵保护***(IPS)和/或安全信息管理(SIM)工具连同其它示例。然而，例如经过代理(例如215)或其它工具的本地安全实施也是可能的，该代理或其它工具运行、被装入或者以其它方式直接与目标设备通过接口进行连接并且为资产管理***205提供用于直接在目标设备处实施策略的接口，连同其它示例。

转到图3A-3B，示出了根据至少一些实施例的示例统一扫描引擎部署的简化方框图300a-b。例如，如在图3A中说明的特定示例实现中示出的，代理305a被表示为被托管在主机设备310上，代理便于与资产管理***205的通信。在这一特定示例中，代理305a可以包括“狭槽”(例如315、320)或接口，允许可***工具和***被包括在代理305a上并且被从代理305a调用以便利用与资产管理***205通信的代理305a。例如，在代理305a的特定示例中，HIP模块(例如325)被连接或“***”到代理305a中，允许HIP工具325经过代理305a由资产管理***205控制和/或与资产管理***205进行通信。额外的可***部件、工具或“插件”也可以被包括在代理305a上，实际上，单个代理(例如305a)可以包括多个可***部件，例如在这一示例中的防病毒部件(AV)328a等等。

进而，统一扫描引擎模块(例如330)可以被***在适合于与资产管理***205进行通信并且通过接口进行连接的代理305a中。统一扫描引擎330可以适于提供各种不同的扫描功能用于在使用资产管理***205指导的扫描中使用。例如，在图3A的特定示例中，统一扫描引擎330是适于结合扫描远程扫描目标来执行外部扫描任务的基于网络的扫描引擎。基于网络的扫描引擎(例如330)可以例如通过模拟目标外部的设备、网络或其它***资产并且监控扫描目标对所模拟的外部***资产的响应来提供扫描目标的外部视图(例如从其它***资产的角度，包括恶意设备、应用和用户)。使用基于网络的扫描引擎可发现的属性可以包括设备的打开的端口、可利用的网络接口、IP地址、MAC地址、主机名称、网络基本输入输出***、操作***、硬件配置文件、被托管的应用和服务连同设备的其它属性。因此，基于网络的统一扫描引擎330可以进一步适于通过一个或多个网络与位于远离托管代理305a的主机设备310的主机设备(即，潜在的扫描目标)进行通信，在该代理305a上包括可***的统一扫描引擎330。

统一扫描引擎330可以进一步包括计算机语言解释程序(例如335、340、345)的库，每一个语言解释程序为统一扫描引擎330提供根据各种不同的计算语言与各种不同类型的目标进行通信、将测试分组发送到各种不同类型的目标并且以其它方式扫描各种不同类型的目标的能力。在一些实例中，在两个不同的扫描之间的区别可以是计算语言，其中数据在扫描引擎和其目标之间被传送。例如，由两个不同类型的扫描引擎执行的基本扫描任务可以实质上类似，引擎之间的核心区别是在扫描任务中使用的计算语言。通过包括语言解释程序的扩展库，统一扫描引擎330基于它要运行的扫描能够结合一个或多个被激活的语言解释程序来利用在统一扫描引擎中提供的基本扫描功能，以便将特定扫描指令(例如扫描脚本)转换为语言特定扫描，该语言解释程序进一步能够接收并转换来自目标的激活语言之一形式的响应。作为示例，数据库语言解释程序340可以适于将扫描指令转换为数据、自变量、分组和特定目标数据库或数据库管理***能够理解的计算语言(例如结构查询语言(SQL)、XQuery语言(XQL)、企业Java Beans查询语言(BJB QL)连同其它语言)形式的其它通信。经过使用适当的语言解释程序(例如340)，目标数据库***可以从而理解“ping”和由扫描引擎330发送的其它传输，处理它们并且对它们做出响应，从而(有希望地)展现特定的属性，包括目标数据库***到扫描引擎330的漏洞。按照这种方式，可以提供单个扫描引擎330，该单个扫描引擎330可以在一些情况下使用在统一扫描引擎330上可用的可用语言解释程序(例如335、340、345)的库中的任意一个来执行各种各样的专门扫描。进而，应当认识到，语言解释程序库可以被扩展为新目标，并且扫描被识别和/或变得可用，从而允许每一个统一扫描引擎的功能可扩展。

尽管在图3A的特定示例中将统一扫描引擎表示为适于与特定代理(例如305a)一起操作的可***扫描引擎模块，该特定代理适于接受这样的模块，但是应该认识到，在其它实现中，可以提供独立于代理或其它工具的统一扫描引擎。实际上，在其它示例中，统一扫描引擎可以包括允许扫描引擎从资产管理***接收扫描请求并且将扫描结果传送到资产管理***而没有代理的额外功能。然而，实现基于代理的方案在一些实例中可以引入益处，例如为多个不同的工具和引擎(例如HIP模块325、AV模块328a、统一扫描引擎330等等)提供标准化平台，用于与至少部分地集中化的资产管理***(例如205)通过接口进行连接。实际上，标准化代理平台(例如代理305a)可以用于在计算环境内的各种主机上实现工具的各种不同的配置和组合。例如，在一些示例中，除了或代替相同代理305a上的基于网络的扫描引擎330以外，还可以实现基于主机的统一扫描引擎。

实际上，转到图3B，示出了包括也适于配备有包括示例统一扫描引擎部件(例如355)的多个可***部件的标准化资产管理***代理305b的第二实例的示例。然而，在图3B的示例中，不是接受适于扫描(多个)远程目标的基于网络的扫描引擎，基于主机的统一扫描引擎355被显示在适于本地和内部地(即，提供目标的内部视图(即，基于主机的扫描引擎的自己的主机360))扫描特定设备或***的代理305b上。在一些实例中，基于主机的统一扫描引擎和基于网络的统一扫描引擎二者可以被提供在相同主机上的相同代理上(例如以便提供基于网络的扫描以及基于网络的扫描引擎本身的主机的扫描)，或者第三类型的统一扫描引擎可以被提供在结合位于相同扫描引擎部件上的语言解释程序(例如35、340、345)的库来合并基于网络和基于主机的扫描功能二者的标准化代理305a、305b上，从而提供能够潜在地执行任何扫描(例如，基于从资产管理***205接收的扫描脚本)的统一扫描引擎。

处理基于主机的扫描能力的统一扫描引擎(例如355)可以包括用于访问、查询和测试各种内部资源的功能，这些内部资源也由各自主机(例如360)托管或使用，但是对于试图从外部渗透或暴露主机的属性的基于网络的扫描引擎不可访问。例如，基于主机的扫描引擎可以用于扫描口令和其它内部数据(例如以便确保它们的加密)，例如地址信息、服务、注册设置、网络基本输入输出接口名称和主机的其它属性。与基于网络的统一扫描引擎(例如330)一样，基于主机的扫描引擎也能够结合可用语言解释程序库中的一个或多个语言解释程序(例如335、340、345)利用其基于主机的数据挖掘、数据访问和其它数据扫描功能来执行各种各样的扫描。这样的扫描可以使基于主机的扫描引擎与各种不同的数据结构(例如内部数据库)、工具、程序和托管在本地主机(例如360)上的其它资源进行通信，并且收集描述这样的资源的信息。在一些实现中，语言解释程序的公共库可以用于提供基于网络和基于主机的统一扫描引擎。可以提供语言解释程序以便包括诸如Foundstone评估脚本语言(FASL)、扫描警告脚本语言(SASL)、网络评估脚本语言(WASL)、外壳脚本、开放漏洞评估语言(OVAL)、网络评估脚本语言(NASL)、Python、Perl、JavaScript、Ruby、Lua、Java、C++或扩展有与远程目标计算机上的开放网络服务通信并且访问该开放网络服务的能力或扩展有询问本地目标计算机的能力的任何其它计算机语言的语言，连同其它示例。

在结束扫描(或执行扫描的特定任务)并生成对于扫描的扫描结果时，基于主机的统一扫描引擎355也可以通过接口与资产管理***205进行连接并且将扫描结果传送到资产管理***205。此外，如同基于网络的统一扫描引擎(例如330)一样，基于主机的统一扫描引擎355也可以通过接口与资产管理***205进行连接以便获得扫描请求、扫描脚本和来自管理特定计算环境的扫描的资产管理***205的其它指导。实际上，在一些实现中，基于主机的统一扫描引擎355可以适于***到标准化代理平台(例如使用插头320b)的代理实例(例如305b)以便为相对应的资产管理***205提供这一接口。在这样的实现中，标准化代理(例如305a、305b)的实例可以被装入或安装到各种不同的主机上，以便提供用于允许至少部分地集中化的资产管理***205指导在计算环境上的安全相关扫描和安全策略实施的统一平台，该各种不同的主机包括不同类型的主机、操作***和配置。实际上，如在图3A和3B的示例中示出的，标准化代理的两个实例可以被包括在两个不同的主机310、360上，并且被提供有两组不同的插件，包括两种不同类型的统一扫描引擎(例如基于网络的和基于主机的)，每一种统一扫描引擎使用可扩展语言解释程序库，允许每一个统一扫描引擎动态地和灵活地执行各种各样的不同扫描，通过资产管理***简化扫描控制(例如因为资产管理***简单地识别基于主机或基于网络的统一扫描引擎的实例，包括扫描解释程序(例如335、340、345)的库)，连同其它示例。

转到图4A-4E的示例，示出了说明包括示例资产管理***205和多个基于代理的扫描引擎(例如代理405、420、425上的扫描引擎415、440、445)的示例操作的简化方框图400a-e，该操作涉及包括计算设备430、435、450和网络145的特定计算环境的扫描。在这一特定的示例中，资产管理***205识别要在计算环境的一部分上执行的特定扫描(或多个扫描的集)，该计算环境包括位于计算环境内的一个或多个设备。资产管理***205可以根据自动扫描计划表、自动地根据计算环境的一个或多个安全策略等等来识别将基于用户的请求而被执行的扫描。在这一特定示例中，要被执行的特定扫描试图从一个或多个基于网络的扫描(例如使用被托管在扫描引擎主机410上的基于网络的扫描引擎415)获得对于计算环境的期望的信息集。因此，资产管理***205可以通过将扫描请求455发送到扫描引擎主机410和安装在扫描引擎主机405上的代理405来开始扫描。扫描请求可以经过例如标准化代理的代理405(例如安装在每一个主机410、430、435上)而被传送到基于网络的扫描引擎415。

继续先前的示例并且转到图4B，网络扫描460可以由基于网络的扫描引擎415(例如通过网络145)对从资产管理***205接收到的扫描请求455做出响应来进行。在一些实例中，基于网络的扫描引擎415可以扫描计算环境中的单个设备，在其它实例中，例如在图4B的示例中，网络扫描引擎415可以根据从资产管理***205接收的扫描请求来执行计算环境中的多个不同设备(例如430、435、350)的多个扫描。数据可以经过扫描460由基于网络的扫描引擎415拦截、传送、访问或以其它方式取回。进而，如图4C所示，由基于网络的扫描引擎415从主机430、435、450的扫描460获得的信息和数据可以被传送(例如在465)到资产管理***205用于使用资产管理***205进行处理和/或报告。

除了基于网络的扫描以外，资产管理***205还可以确定特定扫描或扫描的集(例如结合特定安全策略的审查)包括计算环境的特定部分的基于网络和基于主机二者的扫描，如果可能。例如，如在图4D的示例中示出的，除了(和/或响应于)基于网络的扫描460以外，资产管理***205还可以将扫描请求470发送到被确定为相对应的基于主机的扫描或扫描任务的目标的设备(例如430、435)的特定基于主机的扫描引擎440、445。这样的扫描请求470可以经过被托管在扫描目标430、435上的各自代理420、425而被发送到基于主机的扫描引擎440、445。该各自代理420、425可以是在扫描主机410中使用的相同标准化代理(例如405)的实例。在一些实例中，不是计算环境中的所有计算设备都具有安装在设备(例如***450)上的代理或扫描引擎，尽管该设备对计算环境的整体安全配置文件和特定扫描集的目标感兴趣。在一些实例中，资产管理***205可以被限制到使扫描仅在“被管理的”设备(即，包括与资产管理***205进行通信的代理的设备)上被执行。在其它实例中，资产管理***205可以识别特定设备未被管理(即，不包括代理)并且使代理和/或扫描引擎被装在该设备上以便完成该设备的基于主机的扫描。例如在一些实现中，可以在被识别为未被管理的设备(例如450)上部署可解散的或以其它方式临时的代理或扫描引擎以便执行主机设备的内部扫描。在一些实例中，额外的基于网络的扫描(例如460)可以被执行以便试图从不拥有基于主机的扫描引擎的扫描目标提取信息。在其它实例中，资产管理***205可以确定仅一些被管理的设备将被扫描，继续仅扫描基于主机的扫描引擎(不管是基于代理的或者以其它方式的)位于其上的那些设备，或者选择扫描相关设备的某个其它子集。

对扫描请求470做出响应，基于主机的扫描引擎440、450可以根据扫描脚本或包括在资产管理***205的扫描请求470中的其它扫描指令来ping、检查、挑战、测试或以其它方式与其各自主机(例如430、435)的内部资源进行通信并且访问该内部资源。进而，经过主机430、435的基于主机的扫描获得的扫描结果475、480可以被分别传送到资产管理***205，如图4E所示。在图4A-4E的示例中，完成多个扫描，包括基于网络的和基于主机的扫描二者、各种设备的扫描，并且在一些实例中的变化类型的扫描，包括利用不同计算语言的扫描。可以使用至少部分地集中化的资产管理***205来产生并指导这样的扫描的集的紧密结合的战略，并且扫描集(例如460、470)的结果(例如465、475、480)可以被共同传送到资产管理***205以便被聚集并集中地处理来确定扫描集的结果和结论。

进而，不与扫描的特定目标一致的冗余的、过度包括的或其它扫描(和计算环境的潜在地、过度地负担的资源)可以由资产管理***205经过其对扫描的管理来管理并保持到最低水平。例如在一些实现中，随着扫描结果(例如465、475、480)被返回到资产管理***205，该扫描结果可以向资产管理***205通知扫描的进展，并且在一些情况下使资产管理***205添加、改变、跳过或以其它方式修改初始计划的扫描或扫描集。例如，来自计算环境内的一个或多个主机的基于网络的扫描的扫描结果可以影响(例如触发、添加、取消、修改)相同或其它远程主机的另一基于网络的扫描。来自基于网络的扫描的扫描结果也可以用于影响(例如触发、添加、取消、修改)由资产管理***205管理的相关的基于主机的扫描(例如在相同的扫描集中)，连同其它示例。类似地，一个或多个基于主机的扫描的扫描结果可以被资产管理***205考虑来引起在由资产管理***205管理的其它基于主机和/或基于网络的扫描中的变化。通过资产管理***205的这样的管理可以是除了扫描决策树和包括在扫描引擎中的其它逻辑以及由扫描引擎处理的扫描脚本以外还允许扫描引擎本身对由扫描引擎在特定扫描的执行期间或之前检测到的某些结果或输出来采取某些动作。

转到图5A-5G的示例，示出了说明资产管理***205和基于代理的扫描引擎的其它实现的进一步的示例操作的简化方框图500a-g。例如，如上所述，在一些实现中，统一扫描引擎(例如330、355a、355b)可以结合标准化代理(例如305a、305b、305c)使用以便执行如由资产管理***205管理的计算环境的特定扫描。如在图5A的示例中示出的，统一扫描引擎可以包括基于网络(例如330)和基于主机(例如355a、355b)的扫描引擎。进而，每一个统一扫描引擎可以包括在定制基于扫描的特定目标(例如设备360、520、525等等)使用扫描引擎可执行的特定扫描任务时使用的可用语言解释程序(例如505a-c、510a-c、515a-c)的库。语言解释程序可以包括用于解释特定类型的计算语言以便理解和执行以相对应的计算语言编写的扫描脚本、产生相对应的计算语言形式的输出、接受相对应的计算语言形式的输入或以其它方式使用相对应的计算语言的逻辑。

作为示例，如图5A所示，资产管理***205可以生成或识别首先试图经过基于主机的扫描获得关于特定扫描目标的特定期望信息的特定扫描或扫描的集。在其它实例中，扫描可以以基于网络的扫描开始，至少部分地同时执行基于网络和基于主机的扫描的组合，利用仅基于主机的扫描、仅基于网络的扫描，连同其它示例扫描集。然而，在图5A的特定示例中，资产管理***205可以识别代理305b、305c被安装在三个扫描目标(例如360、520、525)中的两个(例如360、520)上，并且经过与代理305b、305c的通信来进一步确定基于主机的统一扫描引擎355a、355b包括在代理305b、305c上以及基于主机的扫描在扫描目标360、520上可用。在一些实例中，可以根据引擎到主机的映射、资产仓库或者由资产管理***205维护或以其它方式对于资产管理***205可用的其它数据结构来确定主机设备360、520上的扫描引擎355a、355b的识别。

资产管理***205可以根据特定扫描集将扫描请求530发送到扫描引擎355a、355b。扫描请求的内容可以包括特定扫描脚本或其它指令，包括根据基于主机的扫描引擎的主机设备(例如360、520)的特定属性配置的脚本和指令。例如，扫描请求530可以适合于或基于例如记录在对于资产管理***可用的资产仓库中的主机设备的已知属性。在其它实例中，实质上相同的扫描请求可以被发送到每一个基于主机的扫描引擎355a、355b(例如通过各自代理305b、305c)以便在每一个目标上执行实质上相同的扫描。进而，在接收到各自扫描请求时，基于主机的扫描引擎355a、355b可以解释该请求，包括识别包括在该请求中的各自扫描脚本，并且基于所请求的扫描的性质来激活与要在被请求的扫描中使用的一个或多个计算语言相对应的一个或多个语言解释程序(例如505b-c、510b-c、515b-c)。在一些实例中，相对应的语言解释程序(例如505b-c、510b-c、515b-c)可以在扫描请求(例如530)本身内被识别。

转到图5B，在一个特定示例中，每一个基于主机的扫描引擎355a、355b可以基于在扫描请求530中由资产管理***205请求的一个或多个扫描来激活两个语言解释程序510b、510c和515b、515c。在图5A-5G的示例的表示中，被激活的语言解释程序被表示为阴影形式(例如510b、510c、515b、515c)，而不活动的语言解释程序被表示为无阴影的(例如505a-c、510a、515a)。在一些实现中，当语言解释程序是不活动时，它被锁定，仅来自资产管理***205的扫描请求(或被包括的扫描脚本)能够(临时)对语言解释程序进行解锁用于由扫描引擎在相对应的扫描期间使用。在这样的实例中，扫描引擎可以以其它方式不能够激活、访问和使用包括在它自己的语言解释程序的库中的语言解释程序。这例如在保护对特定得到许可的、专有的或体现在扫描和扫描脚本中的其它功能的访问时是有用的，将开发者的能力限制到在资产管理***205周围工作以便利用统一扫描引擎来再现(没有授权)特定得到许可的或专有的扫描，连同其它示例。

使用被激活的适当语言解释程序(例如510b、510c、515b、515c)，基于主机的统一扫描引擎355a、355b可以在它们各自主机360、520上执行被请求的扫描(例如535、540)以便识别被扫描的主机的各种资源的信息和数据。被发现的数据和信息可以接着被包括在由每一个基于主机的扫描引擎355a、355b发送到资产管理***205的扫描结果(例如545、550)中，如在图5C的示例中说明的。在这一特定示例中，资产管理***205可以检查由扫描引擎355a、355b返回的扫描结果545、550以便确定扫描在获得从扫描预期的信息方面是否成功。如果该信息被成功获得(例如向涉及计算环境的一个或多个资源或设备的安全状态的某些问题提供答案)，则资产管理***205可以结束扫描。然而，如果扫描在获得期望信息方面稍微不足，则额外的扫描可以由资产管理***205发起以便试图获得该信息。例如，在图5A-5C的示例中，没有代理或基于主机的扫描引擎可以对于扫描目标525的基于主机的扫描可用，从而导致关于对于扫描目标525获得的信息的低效率。此外或可选地，扫描535、540也可以在获得从扫描(或扫描的集)期望的所有信息方面不成功。因此，额外的扫描可以被请求或者扫描集中的条件扫描可以被触发以便补充扫描集中的其它扫描的结果，包括基于扫描结果545、550的资产管理***的分析的基于网络的扫描，如在图5D-5G的示例中示出的。

转到图5D的示例，一个或多个额外的扫描请求555可以被发送到由扫描引擎主机530托管在标准化代理305a上的基于网络的统一扫描引擎220。如在先前的示例中的，扫描请求555可以包括指导扫描引擎220例如基于各种扫描目标的属性、待扫描的信息的类型、先前扫描结果(例如545、550)等等来执行计算环境的特定扫描的信息。扫描请求555的内容可以由资产管理***205确定，以便优化在扫描中作为目标的计算环境的部分的扫描，同时工作来获得扫描结果的综合和令人满意的集。例如在图5D的特定示例中，资产管理***205可以确定额外的基于网络的扫描应该被试图来补充在基于主机的扫描540、545中获得的信息。转到图5E和5F的示例，两种不同类型的扫描，每一个扫描采用语言解释程序的不同集，可以由用于扫描主机520、525和用户端点主机360的资产管理***205确定，作为示例。因此，为了执行主机设备520、525的基于网络的扫描，可以基于在扫描请求555中请求的扫描，从语言解释程序的库识别(并激活)基于网络的扫描引擎220的第一语言解释程序505a。使用被激活的语言解释程序505a，基于网络的统一扫描引擎220可以根据扫描脚本或在扫描请求555中接收的其它扫描指令来执行目标主机设备520、525的各自扫描560。

进而，如在图5F中说明的，可以使用相同的基于网络的扫描引擎220但是采用与在主机设备520、525的扫描560中使用的语言解释程序不同的语言解释程序(例如515a)来执行不同类型的扫描565。对主机设备360、520、525的基于网络的扫描560、565做出响应或在主机设备360、520、525的基于网络的扫描560、565期间，可以例如使用在扫描中采用的各自语言解释程序(例如505a、515a)来收集信息，以便生成用于转发到资产管理***205的扫描结果570，如图5G所示。资产管理***205可以使用基于主机的扫描535、540的扫描结果545、550来处理从基于网络的扫描560获得的扫描结果570，以便生成例如结合计算环境的特定安全策略的审查而执行的扫描集的扫描结果的紧密结合的集。例如，***的至少部分可以由支付卡工业(PCI)安全策略管理，并且策略(在几个策略类别中)的审查可以使用多个扫描的集，包括基于主机和基于网络的扫描二者，连同其它示例来完成，这些扫描可以被运行来审查各种***资产与可应用的PCI策略的符合性。

应该认识到，关于图1-5G描述并说明的示例是仅出于说明在本公开中处理的各种概念的目的而提供的非限制性示例。例如，可以采用与上面描述的示例技术、***和工具不同但是无论如何适用在本文公开中论述的至少一些原理的技术、操作以及***和部件体系结构。例如，实际上，计算环境可以包括无数不同类型和配置的数百到数千个各种潜在的扫描目标。一系列相应不同的扫描可以由至少部分地集中化的资产管理***开发和维护用于由各种扫描引擎在扫描计算环境的全部或一部分，甚至包括计算环境的单个部件，时使用。给出这一多样性，采用具有统一扫描引擎体系结构的扫描引擎可能是有利的，实现在执行可能对于计算环境期望的广泛的一系列扫描时的灵活性。尽管具有这样的优点(和其它优点)，但是应该认识到，资产管理***可以管理仅利用传统扫描引擎、仅统一扫描引擎或者传统扫描引擎和统一扫描引擎的混合以及经由代理或其它解决方案通过接口与资产管理***进行连接的扫描引擎的扫描。此外，应该认识到，广泛的一系列语言解释程序可以结合统一扫描引擎的语言解释程序库来使用，并且包括在结合附图和本公开中的其它地方提到的语言解释程序的简化和有限集之外的语言解释程序。

转到图6A-6B，示出了说明与主机的扫描和计算环境内的其它资源有关的示例技术的简化流程图600a-b。例如在图6A的示例中，包括一个或多个扫描的特定扫描集可以例如由资产管理***识别(605)。特定扫描集的一个或多个扫描可以是特定计算环境的全部或一部分的扫描，包括计算环境内的一个或多个特定计算设备的扫描。可以识别(610)多个扫描引擎中能够执行特定扫描集的扫描的一个或多个扫描引擎。可以识别(610)具有执行各自扫描以及访问待扫描的计算环境的特定部分内的特定扫描目标的资源二者的功能的扫描引擎。多个扫描可以包括基于主机和基于网络的扫描二者。扫描请求可以例如被从资产管理***发送(615)到请求一个或多个扫描引擎中的特定扫描引擎执行扫描集中的各自一个或多个扫描的被识别的一个或多个扫描引擎。扫描引擎可以执行扫描并且将扫描结果返回到例如至少部分地集中化的资产管理***，连同其它示例。

转到图6B，扫描的执行可以包括诸如基于网络或基于主机的统一扫描引擎的扫描引擎的使用。扫描请求可以由多个扫描引擎中的特定扫描引擎接收625(例如由管理扫描的集的资产管理***识别(例如在610))以便执行扫描的集中的一个或多个扫描。扫描引擎上的多个语言解释程序中的一个或多个语言解释程序可以被识别630用于执行被请求的扫描。可以从或基于被请求(在625)的扫描请求来识别语言解释程序。使用被识别的语言解释程序，扫描引擎可以执行635被请求的扫描并且例如将结果返回640到资产管理***。扫描集中的额外扫描也可以由扫描引擎(或多个扫描引擎中的其它扫描引擎)请求并执行，包括利用多个语言解释程序中的不同语言解释程序的扫描和对扫描集中的其它扫描的被接收(例如在640)的扫描结果做出响应而请求的扫描，连同其它示例。

尽管就某些实现和通常相关联的方法而言描述了本公开，但是这些实现和方法的变更和置换对于本领域中的技术人员将是明显的。例如，本文描述的动作可以按照与如所描述的顺序不同的顺序被执行并且仍然实现期望的结果。作为一个示例，在附图中描绘的处理不一定要求所示出的特定顺序或连续顺序来实现期望结果。所说明的***和工具可以类似地采用可选的体系结构、部件和模块来实现类似的结果和功能。例如在某些实现中，多任务、并行处理和基于云的解决方案可能是有利的。在一个可选的***或工具中，可以在诸如便携式硬驱、拇指驱动等等的可移除存储设备上采用简化移动通信设备的无线认证功能。在这样的实例中，可移除存储设备可能缺乏用户接口但是拥有用于通过诸如蓝牙的短距离网络连接到协作计算设备并且通过短距离网络与协作计算设备共享认证数据以便认证无线便携式存储设备到一个或多个协作计算设备的持有者，允许用户经过无线存储设备访问(并保护)协作计算设备以及使用认证的协作计算设备来访问、消耗和修改存储在硬驱上的数据的无线访问功能。其它***和工具也可以利用本公开的原理。此外，可以支持各种用户接口布局和功能。其它变形在下面的权利要求的范围内。

在这一说明书中描述的主题和操作的实施例可以在数字电子电路中或在计算机软件、固件或硬件中，或在它们中的一个或多个组合中实现，该计算机软件、固件或硬件包括在这一说明书中公开的结构及其结构等效形式。在这一说明书中描述的主题的实施例可以被实现为一个或多个计算机程序，即，计算机程序指令的一个或多个模块，该程序指令在计算机存储介质上被编码用于由数据处理装置执行或控制数据处理装置的操作。可选地或此外，程序指令可以在人工生成的传播信号上被编码，该人工生成的传播信号例如是被生成以便对信息进行编码用于传输到适当的接收机装置来由数据处理装置执行的机器生成的电学、光学或电磁信号。计算机存储介质可以是或可以被包括在计算机可读存储设备、计算机可读存储衬底、随机或串行存取存储器阵列或设备或者它们中的一个或多个的组合中。而且，尽管计算机存储介质不是传播信号本身，但是计算机存储介质可以是在人工生成的传播信号中被编码的计算机程序指令的源或目的地。计算机存储介质也可以是或可以被包括在一个或多个单独的物理部件或介质(例如多个CD、磁盘或其它存储设备)中，包括分布式软件环境或云计算环境。

包括核心和接入网络的网络可以包括一个或多个网络元件，该接入网络包括无线接入网络。网络元件可以包括各种类型的路由器、交换机、网关、桥、负载平衡器、防火墙、服务器、联机服务节点、代理、处理器、模块或操作为在网络环境中交换信息的任何其它适当的设备、部件、元件或对象。网络元件可以包括适当的处理器、存储器元件、硬件和/或软件来支持(或以其它方式执行)与使用用于屏幕管理功能的处理器相关联的活动，如在本文概述的。而且，网络元件可以包括便于其操作的任何适当的部件、模块、接口或对象。这可以包括允许数据或信息的有效交换的适当算法和通信协议。

在这一说明书中描述的操作可以被实现为由数据处理装置对存储在一个或多个计算机可读存储设备上或从其它源接收的数据执行的操作。术语“数据处理装置”、“处理器”、“处理设备”和“计算设备”可以包括用于处理数据的所有类型的装置、设备和机器，通过示例的方式包括可编程处理器、计算机、片上***或多个处理器或前述设备的组合。装置可以包括通用或专用逻辑电路，例如中央处理单元(CPU)、叶片、专用集成电路(ASIC)或现场可编程门阵列(FPGA)连同其它适当的选择。尽管一些处理器和计算设备被描述和/或说明为单个处理器，但是可以根据相关联的服务器的特定需要来使用多个处理器。在可适用的场合，对单个处理器的提及意在包括多个处理器。通常，处理器执行指令并操控数据以便执行某些操作。装置除了硬件以外还可以包括创建用于讨论中的计算机程序的执行环境的代码，例如构成处理器固件、协议栈、数据库管理***、操作***、交叉平台运行时间环境、虚拟机或它们中的一个或多个的组合的代码。装置和执行环境可以实现各种不同的计算模型基础设施，例如网络服务、分布式计算和网格计算基础设施。

计算机程序(也被称为程序、软件、软件应用、脚本、模块、(软件)工具、(软件)引擎或代码)可以使用包括编译或解释语言、陈述性或过程语言的任何形式的编程语言进行编写，并且它可以被部署在任何形式中，包括作为独立程序或作为模块、部件、子例程、对象或适合于在计算环境中使用的其它单元。例如，计算机程序可以包括有形介质上的计算机可读指令、固件、有线或编程硬件或其任何组合，其当被执行时操作为执行至少本文所述的过程和操作。计算机程序可以但不需要与文件***中的文件相对应。程序可以被存储在保存其它程序或数据(例如存储在标记语言文档中的一个或多个脚本)的文件的一部分中、在专用于讨论中的程序的单个文件中或在多个协调文件(例如存储一个或多个模块、子程序或代码的部分的文件)中。计算机程序可以用于在一个计算机上或在位于一个地点处或分布在多个地点当中并通过通信网络互连的多个计算机上执行。

程序可以被实现为经过各种对象、方法或其它过程实现各种特征和功能的单独模块，或者可以在适当时替代地包括多个子模块、第三方服务、部件、库等等。相反，各种部件的特征和功能可以在适当时被组合到单个部件中。在某些情况下，程序和软件***可以被实现为复合被托管的应用。例如，复合应用的部分可以被实现为企业Java Beans(EJB)，或者设计时间部件可以具有将运行时间实现生成到诸如J2EE(Java 2平台，企业版本)、ABAP(高级商业应用编程)对象或微软的.NET的不同平台连同其它平台中的能力。此外，应用可以代表经由网络(例如经过互联网)访问和执行的基于网络的应用。进而，与特定被托管的应用或服务相关联的一个或多个处理可以被远程地存储、引用或执行。例如，特定被托管的应用或服务的一部分可以是与被远程调用的应用相关联的网络服务，而被托管的应用的另一部分可以是用于在远程客户端处进行处理的绑定的接口对象或代理。而且，任何或所有被托管的应用和软件服务可以是另一软件模块或企业应用(未示出)的孩子或子模块，而不偏离本公开的范围。仍然进一步地，被托管的应用的部分可以由直接在托管应用的服务器处以及远程地在客户端处工作的用户执行。

在这一说明书中描述的处理和逻辑流程可以由执行一个或多个计算机程序以便通过操作输入数据并生成输出来执行动作的一个或多个可编程处理器执行。处理和逻辑流程也可以由诸如FPGA(现场可编程门阵列)或ASIC(专用集成电路)的专用逻辑电路执行，并且装置也可以被实现为诸如FPGA(现场可编程门阵列)或ASIC(专用集成电路)的专用逻辑电路。

适合于执行计算机程序的处理器通过示例的方式包括通用和专用微处理器二者以及任何类型的数字计算机的任意一个或多个处理器。通常，处理器将从只读存储器或随机存取存储器或这两者接收指令和数据。计算机的基本元件是用于根据指令执行动作的处理器以及用于存储指令和数据的一个或多个存储器设备。通常，计算机还包括用于存储数据的一个或多个海量存储设备，例如磁盘、磁光盘或光盘，或者可操作地耦合为从该一个或多个海量存储设备接收数据或将数据传输到该一个或多个海量存储设备这两者。然而，计算机不需要具有这样的设备。而且，计算机可以被嵌入在另一设备中，例如移动电话、个人数字助理(PDA)、平板计算机、移动音频或视频播放器、游戏控制台、全球定位***(GPS)接收机或便携式存储设备(例如通用串行总线(USB)闪存驱动)，仅举几个例子。适合于存储计算机程序指令和数据的设备包括所有形式的非易失性存储器、介质和存储器设备，通过示例的方式包括半导体存储器设备，例如EPROM、EEPROM和闪存设备；磁盘，例如内部硬盘或可移除盘；磁光盘；以及CDROM和DVD-ROM盘。处理器和存储器可以由专用逻辑电路补充或合并在专用逻辑电路中。

为了提供与用户的交互，在这一说明书中描述的主题的实施例可以在具有用于向用户显示信息的诸如CRT(阴极射线管)或LCD(液晶显示器)监视器的显示设备以及键盘和诸如鼠标或轨迹球的指示设备的计算机上实现，用户可以通过指示设备向计算机提供输入。其它类型的设备也可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的感觉反馈，例如视觉反馈、听觉反馈或触觉反馈；并且来自用户的输入可以按照任何形式被接收，包括听觉、语音或触觉输入。此外，计算机可以通过将文档发送到由用户使用的包括远程设备的设备并从该设备接收文档来与用户进行交互。

在这一说明书中描述的主题的实施例可以在计算***中实现，该计算***包括例如作为数据服务器的后端部件，或者包括诸如应用服务器的中间件部件，或者包括前端部件，例如具有用户经过其能够与在这一说明书中描述的主题的实现进行交互的图形用户界面或网络浏览器的客户端计算机，或者一个或多个这样的后端、中间件或前端部件的任何组合。***的部件可以通过诸如通信网络的数字数据通信的任何形式或介质进行互连。通信网络的示例包括操作为便于***中的各种计算部件之间的通信的任何内部或外部网络、网络、子网络或其组合。网络可以例如在网络地址之间传送互联网协议(IP)分组、帧中继帧、异步传输模式(ATM)单元、语言、视频、数据和其它适当的信息。网络还可以包括一个或多个局域网(LAN)、无线接入网络(RAN)、城域网(MAN)、广域网(WAN)、互联网的全部或一部分、对等网络(例如，自组织对等网络)和/或一个或多个位置处的任何其它通信***。

计算***可以包括客户端和服务器。客户端和服务器通常远离彼此并且典型地经过通信网络进行交互。客户端和服务器的关系借助于在各自计算机上运行并且具有到彼此的客户端-服务器关系的计算机程序引起。在一些实施例中，服务器将数据(例如HTML页面)传输到客户端设备(例如为了向与客户端设备交互的用户显示数据并且从用户接收用户输入的目的)。在客户端设备处生成的数据(例如用户交互的结果)可以在服务器处从客户端设备被接收。

尽管这一说明书包含很多具体的实现细节，但是这些不应该被解释为对任何发明或可以被请求保护的内容的范围的限制，而是更确切地作为特定发明的特定实施例所特有的特征的描述。在单独实施例的背景中在这一说明书中描述的某些特征也可以被组合地实现在单个实施例中。相反，在单个实施例的背景中描述的各种特征也可以被单独地在多个实施例中或在任何适当的子组合中实现。而且，尽管特征可以在上面被描述为在某些组合中的动作并且甚至最初被这样请求保护，但是来自请求保护的组合的一个或多个特征可以在一些情况下被从组合删除，并且所请求保护的组合可以指向子组合或子组合的变形。

类似地，尽管在附图中以特定的顺序描述了操作，但是这不应该被理解为要求这样的操作以所示的特定顺序或以连续顺序被执行，或者所有所说明的操作都被执行，以便实现期望的结果。在某些情况下，多任务和并行处理会是有利的。而且，在上面描述的实施例中的各种***部件的分离不应该被理解为在所有实施例中要求这样的分离，并且应该理解，所描述的程序部件和***可以通常一起被集成在单个软件产品中或被封装到多个软件产品中。

因而，描述了主题的特定实施例。其它实施例在下面的权利要求的范围内。在一些情况下，在权利要求中引述的动作可以按照不同的顺序执行，并且仍然实现期望的结果。此外，在附图中描绘的处理并不一定要求所示的特定顺序或者连续顺序来实现期望的结果。

Claims (24)

1.一种方法，包括：

识别要在计算环境的至少一部分上执行的特定扫描集；

在多个扫描引擎中识别适于执行所述特定扫描集中的至少一个扫描的特定扫描引擎，其中，所述多个扫描引擎中的每一个扫描引擎适于在所述计算环境中的一个或多个主机设备上执行一个或多个扫描；

将请求发送到所述特定扫描引擎以便执行所述特定扫描集中的所述至少一个扫描；以及

从所述特定扫描引擎接收与所述特定扫描集中的所述至少一个扫描相对应的扫描结果数据。

2.如权利要求1所述的方法，其中，所述请求是经过代理被发送的。

3.如权利要求1所述的方法，其中，所述特定扫描引擎是适于执行所述计算环境的所述部分的外部扫描的基于网络的扫描引擎。

4.如权利要求1所述的方法，其中，所述特定扫描引擎是在所述计算环境的所述部分中的特定目标设备上托管的基于主机的扫描引擎并且适于执行所述特定目标设备的内部扫描。

5.如权利要求1所述的方法，其中，多个计算语言中的特定计算语言能够通过所述特定扫描引擎从所述请求被识别，并且所述扫描引擎适于利用所述特定扫描引擎上的多个语言解释程序中的相对应的语言解释程序，以便执行所述特定扫描集中的所述至少一个扫描。

6.如权利要求5所述的方法，其中，所述请求使所述特定语言解释程序在所述特定扫描集中的所述至少一个扫描期间在所述特定扫描引擎上被激活。

7.如权利要求1所述的方法，进一步包括：

识别所述多个扫描引擎中的第二扫描引擎以便执行所述特定扫描集中的另一扫描；

将请求发送到所述第二扫描引擎以便执行所述特定扫描集中的所述另一扫描，其中，也从所述第二扫描引擎接收与所述特定扫描集中的所述另一扫描相对应的扫描结果数据。

8.如权利要求7所述的方法，进一步包括聚集与所述特定扫描集中的每一个扫描相对应的被接收的扫描结果数据。

9.如权利要求7所述的方法，其中，所述特定扫描引擎是适于执行所述计算环境的所述部分的外部扫描的基于网络的扫描引擎，并且所述第二扫描引擎是在所述计算环境的所述部分中的特定目标设备上托管的基于主机的扫描引擎并且适于执行所述特定目标设备的内部扫描。

10.如权利要求7所述的方法，其中，发往所述第二扫描引擎的执行所述另一扫描的所述请求是对从所述特定扫描集接收的与所述特定扫描集中的所述至少一个扫描相对应的所述扫描结果数据做出响应而被发送的。

11.如权利要求1所述的方法，其中，所述特定扫描集至少部分地基于能够应用于所述计算环境的所述部分的所述计算环境的安全策略。

12.如权利要求11所述的方法，其中，识别所述特定扫描集包括基于所述安全策略生成所述特定扫描集。

13.如权利要求11所述的方法，其中，所述安全策略是设备中心策略、组织特定策略和调控策略中的一个。

14.如权利要求1所述的方法，其中，所述计算环境的所述部分包括所述计算环境。

15.如权利要求1所述的方法，其中，所述至少一个扫描是所述特定扫描集中的至少两个扫描中的第一个，并且位于所述至少两个扫描中且与所述第一扫描不同的第二扫描对于所述特定扫描引擎而被识别，所述方法进一步包括：

将请求发送到所述特定扫描引擎以便执行所述第二扫描；并且

从所述特定扫描引擎接收与所述第二扫描相对应的扫描结果数据。

16.如权利要求15所述的方法，其中，所述第二扫描涉及与所述第一扫描不同的扫描目标。

17.如权利要求15所述的方法，其中，所述第二扫描是与所述第一扫描不同类型的扫描。

18.如权利要求17所述的方法，其中，所述第二扫描利用与所述第一扫描不同的计算语言。

19.如权利要求1所述的方法，进一步包括：

识别要在所述计算环境的至少一部分上执行的不同的第二扫描集；

在所述多个扫描引擎中识别一个或多个扫描引擎以便执行所述第二扫描集中的扫描；以及

请求所述一个或多个扫描引擎执行所述第二扫描集中的所述扫描；并且

从所述一个或多个扫描引擎接收对于所述第二扫描集的扫描结果数据。

20.如权利要求19所述的方法，其中，所述特定扫描引擎被包括所述一个或多个扫描引擎中。

21.一种被编码在包括用于执行的代码的非暂态介质中的逻辑，所述代码当由处理器执行时能够操作为执行包括下列的操作：

识别要在计算环境的至少一部分上执行的特定扫描集；

在多个扫描引擎中识别适于执行所述特定扫描集中的至少一个扫描的特定扫描引擎，其中，所述多个扫描引擎中的每一个扫描引擎适于在所述计算环境中的一个或多个主机设备上执行一个或多个扫描；

将请求发送到所述特定扫描引擎以便执行所述特定扫描集中的所述至少一个扫描；以及

从所述特定扫描引擎接收与所述特定扫描集中的所述至少一个扫描相对应的扫描结果数据。

22.一种***，包括：

至少一个处理器设备；

至少一个存储器元件；以及

资产管理***服务器，当由所述至少一个处理器设备执行时，所述资产管理***服务器适于：

识别要在计算环境的至少一部分上执行的特定扫描集；

在多个扫描引擎中识别适于执行所述特定扫描集中的至少一个扫描的特定扫描引擎，其中，所述多个扫描引擎中的每一个扫描引擎适于在所述计算环境中的一个或多个主机设备上执行一个或多个扫描；

将请求发送到所述特定扫描引擎以便执行所述特定扫描集中的所述至少一个扫描；并且

从所述特定扫描引擎接收与所述特定扫描集中的所述至少一个扫描相对应的扫描结果数据。

23.如权利要求22所述的***，进一步包括所述多个扫描引擎，所述多个扫描引擎包括至少一个基于网络的扫描引擎和至少一个基于主机的扫描引擎。

24.如权利要求23所述的***，其中，所述多个扫描引擎中的每一个扫描引擎是统一扫描引擎，所述统一扫描引擎适于利用包括在各自统一扫描引擎上的语言解释程序的各自库。