漏洞管理是指持續(xù)識(shí)別、報(bào)告和修復(fù)從網(wǎng)絡(luò)到云平臺(tái)的網(wǎng)絡(luò)資產(chǎn)中的安全風(fēng)險(xiǎn)。部署具有廣泛漏洞管理系統(tǒng)的良好網(wǎng)絡(luò)安全措施以確保數(shù)據(jù)和應(yīng)用程序安全變得至關(guān)重要。既然我們已經(jīng)回答了“什么是漏洞管理”這個(gè)問題，讓我們更深入地了解漏洞管理的各個(gè)方面、它的生命周期、好處和最佳實(shí)踐。

漏洞管理生命周期是什么樣的？

漏洞管理生命周期是一個(gè)導(dǎo)致檢測(cè)、識(shí)別、修復(fù)和確認(rèn)漏洞緩解的過程。本節(jié)詳細(xì)介紹漏洞管理生命周期中包含的漏洞管理流程。

1. 漏洞檢測(cè)

一個(gè)完善的漏洞管理生命周期始于全面的漏洞掃描或評(píng)估，手動(dòng)執(zhí)行或使用自動(dòng)化工具檢測(cè)系統(tǒng)中存在的所有漏洞。這包括執(zhí)行經(jīng)過身份驗(yàn)證和未經(jīng)身份驗(yàn)證的掃描、測(cè)試業(yè)務(wù)邏輯錯(cuò)誤以及消除誤報(bào)。 一般來說，它應(yīng)該能夠檢測(cè)已知的 CVE，以及 OWASP Top 10 和 SANS 25 等標(biāo)準(zhǔn)框架中提到的漏洞，以及基于當(dāng)前惡意利用趨勢(shì)的漏洞。

2. 漏洞識(shí)別

漏洞管理的下一步涉及使用漏洞掃描程序識(shí)別在系統(tǒng)中發(fā)現(xiàn)的漏洞。檢測(cè)到的漏洞與漏洞掃描程序數(shù)據(jù)庫(kù)相匹配，以識(shí)別可能對(duì)您的資產(chǎn)安全構(gòu)成威脅的漏洞。在較慢的交通時(shí)間安排此類掃描至關(guān)重要，因?yàn)樗赡軙?huì)導(dǎo)致正常操作條件中斷。

3. 漏洞評(píng)估

對(duì)已識(shí)別威脅的評(píng)估是根據(jù)每個(gè)漏洞造成的風(fēng)險(xiǎn)級(jí)別對(duì)它們進(jìn)行優(yōu)先級(jí)排序。這使團(tuán)隊(duì)能夠了解哪些漏洞需要立即修復(fù)，并制定一個(gè)勤奮的計(jì)劃來代替它。CVSS 或通用漏洞評(píng)分系統(tǒng)根據(jù)一些設(shè)定的特征（如特征和對(duì)云的具體影響）評(píng)估漏洞。根據(jù)分?jǐn)?shù)，修補(bǔ)漏洞。

4. 報(bào)告

一旦進(jìn)行了評(píng)估并且漏洞被修補(bǔ)、緩解或保留原樣，漏洞掃描器就會(huì)生成一份詳細(xì)的漏洞報(bào)告。該報(bào)告詳細(xì)介紹了掃描的詳細(xì)信息、用于檢測(cè)漏洞的方法以及用作標(biāo)準(zhǔn)參考的漏洞數(shù)據(jù)庫(kù)。除此之外，還列出了發(fā)現(xiàn)的漏洞，并對(duì)其 CVSS 分?jǐn)?shù)以及可能的補(bǔ)救措施進(jìn)行了廣泛解釋。

5.整治

根據(jù)漏洞造成的風(fēng)險(xiǎn)評(píng)估漏洞后，現(xiàn)在是響應(yīng)和修復(fù)發(fā)現(xiàn)的每個(gè)漏洞的時(shí)候了。這是根據(jù)風(fēng)險(xiǎn)評(píng)估的數(shù)據(jù)完成的。根據(jù)威脅級(jí)別，可以選擇四種通用措施來為云創(chuàng)建可行且健康的安全解決方案。這包括修補(bǔ)、屏蔽和緩解。

• 修補(bǔ)：指的是立即修復(fù)存在漏洞的最高風(fēng)險(xiǎn)，直到問題被徹底根除。
• 緩解：另一個(gè)步驟是嘗試減少它們對(duì)云安全造成的風(fēng)險(xiǎn)或問題。這反過來又減少了它們被發(fā)現(xiàn)和利用的機(jī)會(huì)。
• 屏蔽：對(duì)難以修復(fù)或無法修復(fù)的漏洞，在漏洞周圍進(jìn)行防護(hù)罩覆蓋，從而有效隔離漏洞。
• 不采取行動(dòng)：一些缺陷的 CVSS 分?jǐn)?shù)極低，利用它們的利弊遠(yuǎn)遠(yuǎn)超過了利弊，因此沒有對(duì)它們采取任何行動(dòng)。

6.重新掃描

修復(fù)后的最后一步是重新掃描，以確保資產(chǎn)的安全系統(tǒng)沒有所有最初發(fā)現(xiàn)的缺陷。 漏洞管理生命周期中的這一步驟還評(píng)估補(bǔ)丁的可靠性以及為修復(fù)漏洞而采取的其他緩解措施。它還可以提高您作為注重安全的供應(yīng)商的聲譽(yù)并提高可信度。

漏洞管理的好處詳解

以下是為什么網(wǎng)絡(luò)安全中的漏洞管理很重要并且在效率、成本和時(shí)間方面獲得更多好處的一些原因。

1. 有助于保持合規(guī)性

許多組織需要遵守各種法規(guī)和行業(yè)標(biāo)準(zhǔn)，例如 PCI DSS、HIPAA 和 NIST，這些標(biāo)準(zhǔn)要求定期進(jìn)行漏洞評(píng)估。使用漏洞管理系統(tǒng)有利于合規(guī)性，因?yàn)樗梢宰詣?dòng)化并提高漏洞修復(fù)過程的效率，從而有助于滿足合規(guī)性要求。

2. 及時(shí)識(shí)別威脅

漏洞管理生命周期投入了大量時(shí)間和資源來快速及時(shí)地檢測(cè)潛在威脅、風(fēng)險(xiǎn)和漏洞。這種早期威脅識(shí)別會(huì)產(chǎn)生重大影響，因?yàn)樗梢源_保您組織的 Web 應(yīng)用程序、網(wǎng)絡(luò)、云基礎(chǔ)設(shè)施和/或其他網(wǎng)絡(luò)資產(chǎn)得到持續(xù)保護(hù)。

3.附帶補(bǔ)救援助

威脅和漏洞管理計(jì)劃可以幫助組織根據(jù)漏洞的嚴(yán)重性和潛在影響確定漏洞的優(yōu)先級(jí)，從而使他們能夠首先關(guān)注最關(guān)鍵的問題。通過自動(dòng)修復(fù)主動(dòng)識(shí)別和解決漏洞，組織可以最大限度地降低安全漏洞的風(fēng)險(xiǎn)并保護(hù)其敏感數(shù)據(jù)。

4.資產(chǎn)的持續(xù)監(jiān)控

漏洞管理程序可以持續(xù)監(jiān)控網(wǎng)絡(luò)、系統(tǒng)和應(yīng)用程序是否存在新漏洞，并在發(fā)現(xiàn)新漏洞時(shí)立即向管理員發(fā)出警報(bào)。

5. 時(shí)間和成本效益

漏洞的快速檢測(cè)和修復(fù)意味著用于修復(fù)漏洞和處理漏洞利用井噴的費(fèi)用將大大減少。沒有良好的漏洞管理解決方案可能會(huì)使組織花費(fèi)寶貴的時(shí)間和金錢來修復(fù)利用此類漏洞的后遺癥，而不是修復(fù)漏洞本身。這就是良好的漏洞管理有助于節(jié)省時(shí)間和大量人力的地方。

6.有效的預(yù)防措施

由于 24*7 的缺陷檢測(cè)、評(píng)估和修復(fù)，網(wǎng)絡(luò)安全漏洞管理可以幫助組織成功防止針對(duì)其敏感數(shù)據(jù)和應(yīng)用程序的大量攻擊。

漏洞管理最佳實(shí)踐

本節(jié)概述了如何以最佳方式管理漏洞。

全面的漏洞掃描

使用全面的漏洞掃描器是良好的安全漏洞管理的重要組成部分。應(yīng)由具有廣泛漏洞數(shù)據(jù)庫(kù)的掃描儀提供連續(xù)掃描。該組件決定掃描器檢測(cè)和識(shí)別漏洞的能力。一個(gè)好的掃描儀還應(yīng)該能夠執(zhí)行登錄后掃描、檢測(cè)邏輯錯(cuò)誤、清除任何誤報(bào)并確保沒有漏報(bào)。

確保整合

將威脅和漏洞管理集成到開發(fā)中，可以在應(yīng)用程序的整個(gè)過程中持續(xù)掃描漏洞。這種集成允許持續(xù)遵守重要的監(jiān)管標(biāo)準(zhǔn)，如GDPR、ISO 27001、HIPAA 和 PCI-DSS。

常規(guī)滲透測(cè)試

定期進(jìn)行滲透測(cè)試是 IT 漏洞管理的一個(gè)很好的做法。他們通過利用發(fā)現(xiàn)的漏洞來正確評(píng)估現(xiàn)實(shí)生活中此類攻擊可能造成的損害程度，從而比漏洞掃描更進(jìn)一步。

漏洞優(yōu)先級(jí)

漏洞優(yōu)先級(jí)排序是一個(gè)值得遵循的好做法，因?yàn)樗梢詭椭s小構(gòu)成最大威脅的漏洞的范圍，并且需要其他人立即修復(fù)這些漏洞，這些漏洞由于風(fēng)險(xiǎn)低而只能被緩解或保留。CVSS（通用漏洞評(píng)分系統(tǒng)）是一種允許漏洞優(yōu)先級(jí)排序的流行系統(tǒng)。

事件響應(yīng)程序

IR 是漏洞管理的重要組成部分，因?yàn)樗窃趷阂夤舫晒Πl(fā)生時(shí)的備份計(jì)劃。事件響應(yīng)程序允許遵循無縫的步驟操作。這導(dǎo)致了一個(gè)有效的系統(tǒng)來包含和解決由被利用的漏洞造成的損害。

員工培訓(xùn)

在漏洞管理方面，員工培訓(xùn)是另一種最佳實(shí)踐。漏洞管理不僅涉及資產(chǎn)及其網(wǎng)絡(luò)安全，還涉及主要由員工處理的物理安全。因此，員工培訓(xùn)是強(qiáng)制性的，這樣員工就可以做出有安全意識(shí)的選擇，并意識(shí)到他們可能成為犧牲品的各種威脅。

自動(dòng)化補(bǔ)丁管理

采用自動(dòng)化補(bǔ)丁管理系統(tǒng)可確保檢測(cè)到的漏洞可以及時(shí)、一致的方式得到修復(fù)，而不會(huì)影響補(bǔ)丁的效率和合規(guī)性。

結(jié)論

盡管有最好的意圖，但應(yīng)用程序中的漏洞是不可避免的，但是，防止它們對(duì)您的資產(chǎn)造成負(fù)面影響的一種重要方法是及時(shí)識(shí)別和緩解它們。漏洞管理是解決此問題的最佳方法，因?yàn)樗且粋€(gè)連續(xù)的過程，可以與 SOC 和 IR 等安全的其他各個(gè)方面集成。