搜索

[13200] 2018-09-18_解析漏洞管理的五个阶段

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2018-09-18_解析漏洞管理的五个阶段 解 析 漏 洞 管 理 的 五 个 阶 段 米 雪 儿   F r e e B u f   2 0 1 8 - 0 9 - 1 8 在 组 织 内 部 建 立 良 好 的 信 息 安 全 计 划 的 关 键 ， 是 要 拥 有 一 个 良 好 的 漏 洞 管 理 计 划 。 大 多 数 （ 如 果 不 是 全 部 的 话 ） 监 管 政 策 和 信 息 安 全 框 架 都 建 议 ， 将 强 大 的 漏 洞 管 理 计 划 作 为 组 织 在 构 建 其 信 息 安 全 计 划 时 应 该 做 的 第 一 件 事 。 互 联 网 安 全 中 心 也 特 别 将 其 列 为 “ T o p   2 0   C I S 控 制 ” 中 的 第 三 名 。 多 年 来 ， 我 看 到 过 各 种 不 同 的 漏 洞 管 理 计 划 ， 并 与 许 多 在 多 年 来 ， 我 看 到 过 各 种 不 同 的 漏 洞 管 理 计 划 ， 并 与 许 多 在 V M 程 序 中 具 有 不 同 成 熟 度 的 公 司 合 作 。 本 文 将 概 述 程 序 中 具 有 不 同 成 熟 度 的 公 司 合 作 。 本 文 将 概 述 基 于 能 力 成 熟 度 模 型 （ 基 于 能 力 成 熟 度 模 型 （ C M M ） 的 五 个 成 熟 阶 段 ， 来 让 您 了 解 如 何 使 您 的 组 织 更 上 一 层 楼 ， 达 到 下 一 个 成 熟 度 ） 的 五 个 成 熟 阶 段 ， 来 让 您 了 解 如 何 使 您 的 组 织 更 上 一 层 楼 ， 达 到 下 一 个 成 熟 度 阶 段 。 阶 段 。 什 么 是 能 力 成 熟 度 模 型 （ 什 么 是 能 力 成 熟 度 模 型 （ C M M ） ？ ） ？ C M M 是 一 种 模 型 ， 可 帮 助 以 渐 进 和 可 定 义 的 方 法 来 开 发 和 优 化 流 程 。 有 关 该 模 型 的 更 多 详 细 信 息 ， 请 点 此 链 接 查 询 。 以 下 为 C M M 的 五 个 阶 段 ：
第 第 1 阶 段 ： 初 始 阶 段 ： 初 始 在 漏 洞 管 理 计 划 的 初 始 阶 段 ， 通 常 没 有 或 只 有 很 少 的 流 程 和 程 序 。 漏 洞 扫 描 由 第 三 方 供 应 商 完 成 ， 作 为 渗 透 测 试 或 外 部 扫 描 的 一 部 分 。 根 据 审 核 员 或 相 关 监 管 要 求 ， 这 些 扫 描 通 常 每 年 进 行 一 到 四 次 。 执 行 漏 洞 扫 描 的 供 应 商 将 提 供 组 织 内 漏 洞 的 报 告 。 然 后 ， 组 织 通 常 会 修 复 所 有 严 重 或 高 危 级 别 的 漏 洞 ， 以 确 保 自 身 保 持 合 规 性 。 一 旦 取 得 及 格 分 数 ， 剩 下 的 信 息 就 会 被 归 档 处 理 。 正 如 我 们 在 过 去 几 年 中 所 看 到 的 那 样 ， 安 全 性 不 能 仅 仅 被 视 为 合 规 性 的 复 选 框 （ c h e c k b o x ） 。 如 果 您 仍 处 于 这 一 阶 段 ， 那 么 您 可 能 会 成 为 攻 击 者 的 主 要 目 标 。 如 果 您 尚 未 开 始 能 力 成 熟 度 模 型 ， 那 么 建 议 您 尽 快 完 全 这 第 一 阶 段 。 第 第 2 阶 段 ： 管 理 阶 段 ： 管 理 在 漏 洞 管 理 程 序 的 管 理 阶 段 ， 漏 洞 扫 描 是 在 内 部 进 行 的 。 组 织 内 部 定 义 了 一 组 漏 洞 扫 描 程 序 。 他 们 会 购 买 一 个 漏 洞 管 理 解 决 方 案 ， 并 开 始 每 周 或 每 月 扫 描 一 次 。 在 运 行 未 经 身 份 验 证 的 漏 洞 扫 描 时 ， 安 全 管 理 员 会 从 外 部 角 度 查 看 漏 洞 。 在 这 个 阶 段 ， 我 看 到 的 大 多 数 组 织 都 没 有 得 到 高 层 管 理 人 员 的 支 持 ， 因 此 掌 握 的 预 算 也 就 十 分 有 限 。 这 导 致 组 织 只 能 去 购 买 相 对 便 宜 的 解 决 方 案 ， 或 使 用 免 费 的 开 源 漏 洞 扫 描 程 序 。 虽 然 低 端 解 决 方 案 确 实 提 供 了 基 本 的 扫 描 功 能 ， 但 它 们 的 数 据 收 集 、 业 务 环 境 和 自 动 化 的 可 靠 性 也 会 受 到 限 制 。 使 用 低 端 解 决 方 案 可 能 会 出 现 不 同 的 问 题 。 首 先 是 漏 洞 报 告 的 准 确 性 和 优 先 级 。 如 果 您 向 系 统 管 理 员 发 送 包 含 大 量 误 报 的 报 告 ， 您 将 立 即 失 去 他 们 的 信 任 。 因 为 他 们 和 其 他 所 有 人 一 样 ， 工 作 非 常 忙 碌 ， 所 以 他 们 希 望 能 够 有 效 地 、 最 大 限 度 地 利 用 自 己 的 时 间 。 由 此 ， 可 靠 准 确 的 报 告 对 于 确 保 及 时 进 行 补 救 至 关 重 要 。 第 二 个 问 题 是 ， 即 便 验 证 了 漏 洞 确 实 是 易 受 攻 击 的 ， 又 将 如 何 确 定 哪 些 漏 洞 应 该 优 先 进 行 修 复 呢 ？ 大 多 数 解 决 方 案 会 按 高 ， 中 ， 低 或 1 - 1 0 分 来 分 类 评 级 。 由 于 系 统 管 理 员 拥 有 的 资 源 有 限 ， 他 们 一 次 只 能 修 复 几 个 漏 洞 。 他 们 如 何 确 定 哪 个 “ 高 ” 更 高 ？ 哪 个 1 0 分 更 为 紧 迫 ？ 如 果 没 有 适 当 的 优 先 级 ， 这 可 能 是 一 项 艰 巨 的 任 务 。 当 然 ， 诸 如 C V S S 之 类 的 行 业 标 准 对 于 共 同 的 通 信 机 制 是 有 必 要 的 。 除 此 之 外 ， 能 够 优 先 排 序 则 提 供 了 巨 大 的 价 值 。 第 第 3 阶 段 ： 定 义 阶 段 ： 定 义 在 漏 洞 管 理 计 划 的 定 义 阶 段 ， 整 个 过 程 和 程 序 都 已 经 具 备 了 良 好 的 特 征 ， 且 在 整 个 组 织 中 得 到 了 很 好 的 理 解 。 信 息 安 全 团 队 也 已 经 得 到 了 执 行 管 理 层 的 支 持 以 及 系 统 管 理 员 的 信 任 。
在 此 阶 段 中 ， 信 息 安 全 团 队 也 已 经 证 明 ， 他 们 选 择 的 漏 洞 管 理 解 决 方 案 对 于 在 组 织 的 网 络 上 进 行 扫 描 是 可 靠 且 安 全 的 。 根 据 互 联 网 安 全 中 心 的 建 议 ， 经 过 身 份 验 证 的 漏 洞 扫 描 至 少 每 周 运 行 一 次 ， 并 将 特 定 于 受 众 的 报 告 传 递 到 组 织 中 的 各 个 级 别 。 系 统 管 理 员 会 收 到 特 定 的 漏 洞 报 告 ， 而 管 理 层 则 会 收 到 漏 洞 风 险 趋 势 报 告 。 此 外 ， 将 漏 洞 管 理 状 态 数 据 与 信 息 安 全 生 态 系 统 的 其 余 部 分 进 行 共 享 ， 可 以 为 信 息 安 全 团 队 提 供 可 操 作 的 情 报 。 例 如 ， 如 果 在 外 部 防 火 墙 上 检 测 到 漏 洞 ， 则 可 以 在 安 全 事 件 和 事 件 管 理 （ S I E M ） 工 具 中 运 行 快 速 关 联 ， 以 确 定 哪 些 系 统 易 受 该 漏 洞 攻 击 。 我 发 现 ， 目 前 大 多 数 组 织 都 介 于 “ 第 二 阶 段 ” （ 管 理 ） 和 “ 第 三 阶 段 ” （ 定 义 ） 之 间 。 如 上 所 述 ， 一 个 非 常 常 见 的 问 题 是 如 何 获 得 系 统 管 理 员 的 信 任 。 如 果 最 初 选 择 的 解 决 方 案 不 符 合 组 织 的 要 求 ， 则 很 难 重 新 获 得 信 任 。 第 第 4 阶 段 ： 量 化 管 理 阶 段 ： 量 化 管 理 在 漏 洞 管 理 程 序 的 定 量 管 理 阶 段 ， 程 序 的 特 定 属 性 是 可 量 化 的 ， 并 且 向 管 理 团 队 提 供 度 量 标 准 。 以 下 是 每 个 组 织 应 跟 踪 的 一 些 漏 洞 度 量 标 准 ： 近 期 组 织 的 漏 洞 管 理 系 统 未 扫 描 的 组 织 业 务 系 统 的 百 分 比 是 多 少 ？ 每 个 组 织 的 业 务 系 统 的 平 均 漏 洞 分 数 是 多 少 ？ 每 个 组 织 的 业 务 系 统 的 漏 洞 总 分 是 多 少 ？ 平 均 而 言 ， 将 操 作 系 统 软 件 更 新 完 全 部 署 到 业 务 系 统 中 需 要 多 长 时 间 ？ 平 均 而 言 ， 将 应 用 程 序 软 件 更 新 完 全 部 署 到 业 务 系 统 中 需 要 多 长 时 间 ？ 这 些 指 标 可 以 进 行 整 体 查 看 ， 也 可 以 按 各 个 业 务 部 门 进 行 细 分 ， 以 查 看 哪 些 业 务 部 门 正 在 降 低 风 险 ， 哪 些 业 务 部 门 处 于 比 较 落 后 的 状 态 。 第 五 阶 段 ： 优 化 第 五 阶 段 ： 优 化 在 漏 洞 管 理 程 序 的 优 化 阶 段 ， 前 一 阶 段 定 义 的 度 量 标 准 旨 在 进 行 改 进 。 优 化 每 个 指 标 将 确 保 漏 洞 管 理 程 序 不 断 减 少 组 织 的 攻 击 面 。 信 息 安 全 团 队 应 该 与 管 理 团 队 合 作 ， 为 漏 洞 管 理 计 划 设 定 可 实 现 的 目 标 。 一 旦 达 到 这 些 目 标 ， 就 可 以 设 定 新 的 、 更 积 极 的 目 标 ， 以 实 现 持 续 的 流 程 改 进 。 漏 洞 管 理 与 资 产 发 现 相 结 合 ， 占 据 了 “ T o p   2 0   C I S 控 制 ” 的 前 三 名 。 因 此 ， 确 保 漏 洞 管 理 计 划 的 持 续 成 熟 是 减 少 组 织 攻 击 面 的 关 键 。 如 果 我 们 每 个 人 都 可 以 减 少 攻 击 面 ， 我 们 可 以 让 这 个 网 络 世 界 更 安 全 ！ 关 于 关 于 “ T o p   2 0   C I S 控 制 控 制 ”
硬 件 资 产 的 库 存 和 控 制 ； 软 件 资 产 的 库 存 和 控 制 ； 持 续 漏 洞 管 理 ； 管 理 权 限 的 控 制 使 用 ； 移 动 设 备 、 笔 记 本 电 脑 、 工 作 站 和 服 务 器 上 的 硬 件 和 软 件 的 安 全 配 置 ； 审 计 日 志 的 维 护 、 监 控 和 分 析 ； 电 子 邮 件 和 W e b 浏 览 器 保 护 ； 恶 意 软 件 防 御 ； 网 络 端 口 、 协 议 和 服 务 的 限 制 和 控 制 ； 数 据 恢 复 功 能 ；
网 络 设 备 （ 例 如 防 火 墙 、 路 由 器 和 交 换 机 ） 的 安 全 配 置 ； 边 界 防 御 ； 数 据 保 护 ； 访 问 控 制 （ 只 赋 予 “ 需 要 的 ” 人 员 访 问 权 限 ） ； 无 线 访 问 控 制 ； 账 户 监 控 ； 实 施 安 全 意 识 和 培 训 计 划 ； 应 用 软 件 安 全 ； 事 件 响 应 和 管 理 ； 渗 透 测 试 和 “ 红 队 ” 练 习 ； 点 击 查 看 完 整 白 皮 书 ： * 参 考 来 源 ： 参 考 来 源 ： t r i p w i r e ， 米 雪 儿 编 译 整 理 ， 转 载 请 注 明 来 自 ， 米 雪 儿 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理