搜索

[13921] 2019-03-28_个人总结的漏洞管理流程分享

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2019-03-28_个人总结的漏洞管理流程分享 个 人 总 结 的 漏 洞 管 理 流 程 分 享 原 创   白 河 · 愁   F r e e B u f   2 0 1 9 - 0 3 - 2 8 一 、 概 述 一 、 概 述 合 适 的 漏 洞 响 应 可 以 尽 快 减 少 易 受 攻 击 的 产 品 实 例 的 数 量 ， 并 减 少 针 对 易 受 攻 击 系 统 的 攻 击 。 合 适 的 漏 洞 响 应 可 以 尽 快 减 少 易 受 攻 击 的 产 品 实 例 的 数 量 ， 并 减 少 针 对 易 受 攻 击 系 统 的 攻 击 。 良 好 的 漏 洞 管 理 流 程 的 作 用 ： 对 组 织 ： 提 升 漏 洞 修 复 效 率 降 低 漏 洞 再 次 发 生 的 可 能 性 漏 洞 修 复 建 议 知 识 库 降 低 整 体 安 全 风 险 对 用 户 ： 降 低 用 户 个 人 信 息 暴 露 的 风 险 二 、 漏 洞 处 理 相 关 的 标 准 和 流 程 二 、 漏 洞 处 理 相 关 的 标 准 和 流 程 2 . 1   I S O / I E C   2 9 1 4 7   和 和   I S O / I E C   3 0 1 1 1
漏 洞 批 露 标 准 漏 洞 批 露 标 准 I S O / I E C   2 9 1 4 7 ： ： 供 应 商 应 该 有 明 确 的 方 式 来 接 收 漏 洞 报 告 ；
供 应 商 应 在 7 个 日 历 日 内 确 认 收 到 漏 报 报 告 ； 供 应 商 应 与 发 现 者 沟 通 协 调 （ 了 解 发 现 者 的 期 望 和 详 细 的 漏 洞 信 息 ） ； 供 应 商 应 发 布 包 含 有 用 信 息 的 建 议 ， 至 少 ： 漏 洞 的 独 特 标 识 符 受 影 响 的 产 品 如 果 利 用 漏 洞 ， 损 害 的 影 响 / 严 重 程 度 如 何 消 除 或 缓 解 问 题 （ 指 导 或 补 丁 说 明 ） 如 果 发 现 者 希 望 公 开 漏 洞 ， 建 议 给 予 发 现 者 咨 询 相 关 的 奖 励 。 漏 洞 处 理 流 程 漏 洞 处 理 流 程 I S O / I E C   3 0 1 1 1 ： ： 供 应 商 应 该 有 一 个 流 程 和 组 织 结 构 来 支 持 漏 洞 调 查 和 补 救 ； 供 应 商 应 该 进 行 根 本 原 因 分 析 ； 供 应 商 应 权 衡 各 种 补 救 方 案 以 适 应 现 实 世 界 的 风 险 因 素 ： 平 衡 速 度 和 漏 洞 修 复 的 彻 底 性 供 应 商 应 尝 试 与 其 他 供 应 商 进 行 适 当 的 协 调 ： 多 供 应 商 问 题 供 应 链 问 题 2 . 2   漏 洞 处 理 流 程 漏 洞 处 理 流 程 供 应 商 漏 洞 验 证 相 关 的 工 作 ： 初 步 调 查 ： 供 应 商 尝 试 确 认 潜 在 漏 洞 ； 根 本 原 因 分 析 ： 供 应 商 尝 试 确 定 漏 洞 的 根 本 原 因 ； 进 一 步 调 查 ： 供 应 商 试 图 在 产 品 或 服 务 中 查 找 相 同 类 型 漏 洞 的 其 他 实 例 ，   或 在 其 他 产 品 中 ； 优 先 级 ： 供 应 商 将 漏 洞 所 构 成 的 威 胁 视 为 受 影 响 的 产 品 或 在 线 服 务 用 户 ； 对 于 每 个 受 影 响 的 产 品 或 在 线 服 务 ， 可 能 存 在 相 同 基 础 问 题 的 不 同 严 重 性 。 供 应 商 处 理 漏 洞 可 能 的 情 况 ： 无 法 复 现 的 漏 洞 已 知 重 复 错 误 — — 问 题 是 一 个 重 复 的 漏 洞 ， 已 经 通 过 此 过 程 解 决 或 已 经 修 复 过 时 的 产 品 错 误 — — 该 漏 洞 存 在 于 供 应 商 不 再 支 持 的 产 品 中 非 安 全 性 错 误 — — 问 题 是 一 个 没 有 安 全 隐 患 ， 或 者 目 前 已 知 技 术 无 法 利 用 的 错 误
第 三 方 错 误 — — 该 漏 洞 是 由 第 三 方 代 码 ， 配 置 引 起 的 ， 或 者 存 在 于 供 应 商 不 直 接 负 责 的 规 范 中 开 发 漏 洞 修 复 策 略 ： 解 决 方 案 决 策 ： 供 应 商 确 定 如 何 全 面 解 决 漏 洞 ， 如 何 减 少 成 功 利 用 漏 洞 的 影 响 ， 或 如 何 减 少 暴 露 。 生 成 修 复 补 丁 ： 供 应 商 生 成 修 补 程 序 ， 修 复 程 序 ， 升 级 程 序 或 文 档 或 配 置 更 改 以 解 决 漏 洞 。 测 试 修 复 策 略 （ 补 丁 ） ： 供 应 商 开 发 并 执 行 适 当 的 测 试 ， 以 确 保 在 所 有 支 持 的 平 台 上 解 决 了 漏 洞 问 题 。 发 放 漏 洞 修 复 方 案 ： 在 线 服 务 漏 洞 解 决 方 案 ： 遵 循 组 织 的 生 产 系 统 更 新 部 署 或 配 置 更 改 过 程 。 产 品 漏 洞 解 决 方 案 ： 对 于 受 影 响 的 用 户 必 须 采 取 某 些 措 施 来 保 护 自 己 的 产 品 中 的 漏 洞 （ 例 如 ， 安 装 补 丁 ） 。 修 复 方 案 发 布 后 工 作 。 案 例 维 护 ： 解 决 方 案 发 布 后 ， 可 能 会 继 续 对 解 决 方 案 进 行 进 一 步 更 新 。 安 全 开 发 生 命 周 期 反 馈 ： 供 应 商 使 用 在 根 本 原 因 分 析 期 间 获 得 的 信 息 更 新 开 发 生 命 周 期 ， 以 防 止 新 的 或 更 新 的 产 品 或 服 务 中 出 现 类 似 的 漏 洞 。 监 控 ： 对 于 在 线 服 务 漏 洞 ， 在 供 应 商 应 用 补 救 措 施 后 ， 供 应 商 应 监 控 产 品 或 服 务 的 稳 定 性 。 用 于 开 发 的 补 丁 后 发 布 监 控 可 以 帮 助 将 通 信 集 中 到 大 多 数 受 影 响 的 用 户 。 2 . 3   信 息 安 全 技 术 信 息 安 全 技 术   网 络 安 全 漏 洞 管 理 规 范 网 络 安 全 漏 洞 管 理 规 范 漏 洞 生 命 周 期 的 相 关 阶 段 漏 洞 生 命 周 期 的 相 关 阶 段 漏 洞 管 理 生 命 周 期 包 含 以 下 阶 段 ： 漏 洞 发 现 ： 通 过 人 工 或 者 自 动 的 方 法 对 漏 洞 进 行 探 测 、 分 析 ， 并 证 实 漏 洞 存 在 的 真 实 性 的 过 程 。 漏 洞 接 收 ： 通 过 相 应 途 径 接 收 漏 洞 报 告 者 提 交 的 漏 洞 信 息 的 过 程 。
漏 洞 验 证 ： 收 到 漏 洞 报 告 后 ， 进 行 漏 洞 信 息 的 技 术 验 证 、 确 认 和 反 馈 的 过 程 。 漏 洞 处 置 ： 通 过 升 级 版 本 、 补 丁 、 更 改 配 置 等 方 式 ， 对 漏 洞 进 行 修 补 的 过 程 。 漏 洞 发 布 ： 通 过 公 开 渠 道 （ 如 网 站 、 邮 件 列 表 等 ） 将 漏 洞 信 息 向 社 会 公 布 ， 或 向 限 定 范 围 的 个 人 和 组 织 公 布 的 过 程 。 督 促 核 查 ： 督 促 并 监 督 漏 洞 管 理 活 动 的 实 施 情 况 。 漏 洞 报 告 应 包 含 的 内 容 ： 报 告 人 信 息 姓 名 组 织 邮 箱 电 话 是 否 公 开 身 份 漏 洞 信 息 漏 洞 名 称 漏 洞 位 置 （ 相 关 产 品 / 服 务 名 称 、 版 本 、 U R L 地 址 或 者 目 录 ） 漏 洞 所 属 （ 关 联 厂 商 ， 信 息 系 统 管 理 者 ） 漏 洞 描 述 漏 洞 复 现 方 法 漏 洞 利 用 场 景 描 述 漏 洞 预 估 等 级 漏 洞 修 复 建 议 2 . 4   信 息 安 全 技 术 ， 网 络 安 全 漏 洞 分 类 分 级 指 南 信 息 安 全 技 术 ， 网 络 安 全 漏 洞 分 类 分 级 指 南 2 . 4 . 1   漏 洞 分 类 漏 洞 分 类
2 . 4 . 2   漏 洞 分 级 漏 洞 分 级
2 . 5   互 联 网 公 司 的 漏 洞 和 威 胁 情 报 的 分 级 分 类 互 联 网 公 司 的 漏 洞 和 威 胁 情 报 的 分 级 分 类 2 . 5 . 1   漏 洞 处 理 漏 洞 处 理 预 报 告 阶 段 预 报 告 阶 段 ： 漏 洞 报 告 者 前 往 指 定 反 馈 平 台 注 册 帐 号 。
报 告 阶 段 报 告 阶 段 ： 报 告 者 登 录 指 定 安 全 反 馈 平 台 ， 提 交 相 关 信 息 （ 状 态 ： 未 审 核 ） 。 处 理 阶 段 处 理 阶 段 ： 一 个 工 作 日 内 ， 工 作 人 员 会 确 认 收 到 的 报 告 并 跟 进 开 始 评 估 问 题 （ 状 态 ： 审 核 中 ） ， 三 个 工 作 日 内 工 作 人 员 处 理 问 题 、 给 出 结 论 并 计 分 （ 状 态 ： 已 确 认 / 已 忽 略 ） 。 必 要 时 与 报 告 者 沟 通 确 认 ， 请 报 告 者 予 以 协 助 。 修 复 阶 段 修 复 阶 段 ： 针 对 安 全 漏 洞 ， 业 务 部 门 修 复 漏 洞 并 安 排 更 新 上 线 ， 修 复 时 间 根 据 问 题 点 严 重 程 度 及 修 复 难 度 而 定 ， 一 般 来 说 ， 严 重 漏 洞 2 4 小 时 内 ， 高 危 三 个 工 作 日 内 ， 中 风 险 七 个 工 作 日 内 。 客 户 端 漏 洞 受 版 本 发 布 限 制 ， 修 复 时 间 根 据 实 际 情 况 确 定 。 由 于 情 报 分 析 调 查 的 时 间 较 长 ， 因 此 确 认 周 期 相 比 漏 洞 的 时 长 较 长 完 成 阶 段 完 成 阶 段 ： 完 成 处 理 后 ， 更 新 处 理 状 态 ， 报 告 者 可 见 更 新 状 态 。 2 . 5 . 1 . 1   漏 洞 分 级 严 重 严 重 漏 洞 容 易 直 接 或 间 接 利 用 ， 利 用 后 会 对 核 心 业 务 / 核 心 服 务 器 、 生 产 环 境 用 户 数 据 造 成 严 重 的 安 全 事 故 。 包 括 但 不 限 于 ： 直 接 获 取 核 心 服 务 器 权 限 的 漏 洞 ， 包 括 但 不 限 于 任 意 代 码 执 行 、 远 程 命 令 执 行 、 上 传 W e b S h e l l 并 可 执 行 、 S Q L 注 入 获 取 系 统 权 限 、 缓 冲 区 溢 出 （ 包 括 可 利 用 的 A c t i v e X 缓 冲 区 溢 出 ） 等 。 生 产 业 务 系 统 严 重 的 逻 辑 设 计 缺 陷 ， 包 括 但 不 限 于 账 户 、 支 付 方 面 的 安 全 问 题 ， 如 ： 任 意 账 户 登 录 、 任 意 账 户 密 码 修 改 、 任 意 账 户 资 金 消 费 、 支 付 交 易 方 面 的 严 重 漏 洞 。 严 重 的 敏 感 信 息 泄 漏 ， 包 括 但 不 限 于 核 心 D B （ 资 金 、 用 户 、 交 易 相 关 ） 的 S Q L 注 入 ， 可 获 取 大 量 核 心 用 户 的 身 份 信 息 、 订 单 信 息 、 银 行 卡 信 息 等 接 口 问 题 引 起 的 敏 感 信 息 泄 露 。 高 危 高 危 漏 洞 一 旦 被 利 用 会 导 致 业 务 系 统 或 服 务 器 被 直 接 控 制 ， 存 在 批 量 数 据 泄 漏 、 服 务 器 权 限 被 控 制 等 风 险 。 包 括 但 不 限 于 ： 重 要 敏 感 数 据 信 息 泄 露 ， 包 括 但 不 仅 限 于 非 核 心 D B   S Q L 注 入 、 源 代 码 压 缩 包 泄 漏 、 服 务 器 应 用 加 密 可 逆 或 明 文 、 移 动 A P I 访 问 摘 要 、 硬 编 码 等 问 题 引 起 的 敏 感 信 息 泄 露 。 敏 感 信 息 越 权 访 问 。 包 括 但 不 仅 限 于 绕 过 认 证 直 接 访 问 管 理 后 台 、 后 台 弱 密 码 、 获 取 大 量 内 网 敏 感 信 息 的 漏 洞 。 越 权 敏 感 操 作 。 包 括 但 不 仅 限 于 账 号 越 权 修 改 重 要 信 息 、 进 行 订 单 普 通 操 作 、 重 要 业 务 配 置 修 改 等 较 为 重 要 的 越 权 行 为 。 影 响 应 用 正 常 运 转 ， 造 成 不 良 影 响 的 漏 洞 ， 包 括 但 不 限 于 应 用 层 拒 绝 服 务 等 。 直 接 获 取 非 核 心 业 务 系 统 权 限 的 漏 洞 ， 包 括 但 不 限 于 可 以 利 用 的 远 程 代 码 执 行 漏 洞 等 。 中 危 中 危 漏 洞 被 利 用 后 产 生 的 影 响 在 承 受 的 范 围 内 ， 且 不 会 造 成 批 量 数 据 泄 漏 ， 受 其 他 机 制 有 效 保 护 的 且 较 难 利 用 的 高 危 漏 洞 。 包 括 但 不 限 于 ： 普 通 信 息 泄 露 ， 包 括 但 不 仅 限 于 客 户 端 明 文 存 储 密 码 以 及 w e b 路 径 遍 历 、 系 统 路 径 遍 历 。 普 通 越 权 操 作 ， 包 括 但 不 仅 限 于 不 正 确 的 直 接 对 象 引 用 。 需 交 互 方 可 对 用 户 产 生 危 害 的 漏 洞 ， 包 括 但 不 仅 限 于 一 般 页 面 的 存 储 型 X S S 、 反 射 型   X S S （ 包 括 反 射 型
D O M - X S S ） 、 重 要 敏 感 操 作 C S R F 。 拒 绝 服 务 漏 洞 。 包 括 但 不 限 于 导 致 网 站 应 用 拒 绝 服 务 等 造 成 影 响 的 远 程 拒 绝 服 务 漏 洞 。 本 地 保 存 的 敏 感 认 证 密 钥 信 息 泄 漏 且 能 做 出 有 效 利 用 。 低 危 低 危 漏 洞 不 会 直 接 造 成 影 响 ， 以 普 通 安 全 b u g 的 形 式 存 在 ， 漏 洞 被 利 用 后 不 会 有 用 户 或 服 务 受 到 明 显 的 影 响 。 包 括 但 不 限 于 ： 轻 微 信 息 泄 露 ， 包 括 但 不 限 于 路 径 信 息 泄 露 、 S V N 信 息 泄 露 、 P H P i n f o 、 异 常 信 息 泄 漏 ， 以 及 客 户 端 应 用 本 地 S Q L 注 入 （ 仅 泄 漏 数 据 库 名 称 、 字 段 名 、 c a c h e 内 容 ） 、 日 志 打 印 、 配 置 信 息 、 异 常 信 息 等 。 本 地 拒 绝 服 务 ， 包 括 但 不 限 于 客 户 端 本 地 拒 绝 服 务 （ 解 析 文 件 格 式 、 网 络 协 议 产 生 的 崩 溃 ） ， 由 A n d r o i d 组 件 权 限 暴 露 、 普 通 应 用 程 序 权 限 引 起 的 问 题 等 。 难 以 利 用 但 存 在 安 全 隐 患 的 漏 洞 。 包 括 但 不 仅 限 于 难 以 利 用 的 S Q L 注 入 点 、 可 引 起 传 播 和 利 用 的 S e l f - X S S 、 有 一 定 影 响 的 C S R F 、 U R L 跳 转 漏 洞 。 提 示 提 示 不 涉 及 安 全 问 题 的   B u g ， 包 括 但 不 仅 限 于 产 品 功 能 缺 陷 、 网 页 乱 码 、 样 式 混 乱 、 静 态 文 件 目 录 遍 历 、 应 用 兼 容 性 等 问 题 。 无 法 利 用 的 漏 洞 ， 包 括 但 不 仅 限 于 S e l f - X S S 、 无 敏 感 操 作 的   C S R F 、 无 意 义 的 异 常 信 息 泄 漏 、 内 网 I P   地 址 / 域 名 泄 漏 。 不 能 直 接 反 映 漏 洞 存 在 的 其 他 问 题 ， 包 括 但 不 仅 限 于 纯 属 用 户 猜 测 的 问 题 。 2 . 5 . 1 . 2   影 响 范 围 说 明 关 于 业 务 规 模 关 于 业 务 规 模 【 大 】 业 务 中 涉 及 用 户 、 商 户 及 资 金 等 敏 感 数 据 的 核 心 应 用 业 务 核 心 应 用 业 务 。 【 中 】 业 务 中 不 涉 及 用 户 、 商 户 、 骑 手 及 资 金 等 敏 感 数 据 的 一 般 应 用 业 务 一 般 应 用 业 务 。 【 小 】 定 义 为 第 三 方 供 应 系 统 第 三 方 供 应 系 统 提 供 的 系 统 。 2 . 5 . 1 . 3   漏 洞 描 述 项 项 目 目 说 明 说 明 漏 洞 定 义 攻 击 者 通 过 操 纵 某 些 数 据 ， 使 得 程 序 偏 离 设 计 者 的 逻 辑 ， 进 而 引 发 的 安 全 问 题 。 漏 洞 名 称 P H P T E S T   v 1 . 0 . 0 前 台 无 限 制 G e t s h e l l 漏 洞 分 类 包 括 ： X S S 跨 站 ； S Q L 注 入 ； X X E ； 命 令 执 行 ； 文 件 包 含 ； 任 意 文 件 操 作 ； 权 限 绕 过 ； 存 在 后 门 ； 文 件 上 传 ； 逻 辑 漏 洞 ； 栈 溢 出 ； 堆 溢 出 ； 内 存 破 坏 ； 整 数 溢 出 ； 释 放 后 重 用 ； 类 型 混 淆 ； 沙 盒 绕 过 ； 本 地 提 权 ； 拒 绝 服 务 ； C R L F 注 入 ； S S R F ； 点 击 劫 持 ； 时 间 竞 争 漏 洞 ； 敏 感 信 息 泄 露 等 风 险 评 价 严 重 / 高 / 中 / 低 / 提 示
利 用 方 式 远 程 / 本 地 / 物 理 用 户 交 互 不 需 要 登 录 / 需 登 录 / 需 登 录 ( 开 放 注 册 ) 权 限 要 求 访 客 / 普 通 用 户 / 功 能 管 理 员 / 系 统 管 理 员 利 用 接 口 h t t p : / / v i c t i m . c o m / s h o w . p h p ? i d = 1 0 0 & c a t = n e w s 漏 洞 参 数 i d 漏 洞 证 明 测 试 步 骤 及 截 图 风 险 描 述 漏 洞 利 用 方 法 修 复 建 议 项 项 目 目 说 明 说 明 关 于 漏 洞 风 险 级 别 关 于 漏 洞 风 险 级 别 可 以 参 考 ： h t t p s : / / w w w . f i r s t . o r g / c v s s / s p e c i f i c a t i o n - d o c u m e n t 2 . 5 . 2   威 胁 情 报 处 理 威 胁 情 报 处 理 2 . 5 . 2 . 1   安 全 情 报 威 胁 系 数
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理