搜索

[10980] 2017-01-31_企业应该如何应对上报的安全漏洞报告？

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2017-01-31_企业应该如何应对上报的安全漏洞报告？ 企 业 应 该 如 何 应 对 上 报 的 安 全 漏 洞 报 告 ？ A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 1 - 3 1 虽 然 现 在 外 面 有 很 多 人 都 非 常 愿 意 帮 助 你 的 企 业 去 解 决 你 们 的 安 全 问 题 ， 但 企 业 是 不 是 也 应 该 思 考 一 下 如 何 通 过 自 己 的 努 虽 然 现 在 外 面 有 很 多 人 都 非 常 愿 意 帮 助 你 的 企 业 去 解 决 你 们 的 安 全 问 题 ， 但 企 业 是 不 是 也 应 该 思 考 一 下 如 何 通 过 自 己 的 努 力 来 处 理 这 些 安 全 问 题 呢 ？ 力 来 处 理 这 些 安 全 问 题 呢 ？ 你 的 企 业 环 境 中 是 否 存 在 安 全 问 题 呢 ？ 这 种 可 能 性 很 高 ， 但 是 你 无 法 保 证 第 一 个 发 现 这 个 安 全 漏 洞 的 人 是 你 公 司 的 技 术 人 员 。 就 算 你 是 那 个 幸 运 儿 ， 就 算 你 的 企 业 既 没 有 发 生 过 数 据 泄 漏 ， 也 没 有 遭 受 过 勒 索 软 件 的 攻 击 ， 但 你 肯 定 也 从 某 位 安 全 专 家 或 者 某 位 专 业 客 户 的 口 中 了 解 过 这 些 安 全 问 题 。 他 们 的 善 意 提 醒 ， 你 是 否 真 的 听 进 了 呢 ？ T r o y   H u n t 是 一 位 安 全 顾 问 ， 他 自 己 也 在 管 理 着 一 个 网 站 ， 如 果 你 怀 疑 自 己 的 账 号 被 入 侵 或 者 数 据 库 发 生 了 泄 漏 ， 那 么 你 就 可 以 访 问 这 个 网 站 来 进 行 确 认 。 而 他 的 这 一 角 色 则 要 求 他 需 要 经 常 与 其 他 的 企 业 或 组 织 联 系 ， 以 沟 通 数 据 泄 漏 和 安 全 漏 洞 等 问 题 。 T r o y   H u n t 表 示 ： “ 很 多 企 业 并 不 会 去 理 睬 这 些 所 谓 的 善 意 提 醒 。 我 当 初 在 网 上 发 现 了 印 度 病 理 实 验 室 的 四 万 多 名 病 人 的 医 疗 报 告 ， 其 中 还 包 括 很 多 敏 感 信 息 ， 这 些 数 据 全 部 被 公 开 在 网 上 了 。 当 时 我 便 第 一 时 间 与 实 验 室 取 得 了 联 系 ， 但 并 没 有 起 到 什 么 效 果 。 而 且 我 发 现 ， 想 要 与 某 个 公 司 去 沟 通 这 些 安 全 问 题 ， 其 实 是 非 常 困 难 的 ， 大 型 公 司 也 不 例 外 。 我 也 发 现 过 很 多 次 数 据 泄 漏 事 件 ， 但 我 真 的 没 办 法 联 系 到 相 关 组 织 。 他 们 的 联 系 邮 箱 在 不 停 的 变 换 ， 就 连 网 站 域 名 的 W H O I S 信 息 中 的 联 系 方 式 都 在 不 断 变 换 。 ” 另 一 位 不 愿 透 露 姓 名 的 安 全 专 家 表 示 ， 他 曾 在 一 家 大 型 网 上 商 城 中 发 现 了 一 个 S Q L 注 入 漏 洞 ， 但 网 站 并 没 有 留 下 任 何 的 联 系 方 式 ， 他 们 只 在 网 站 中 提 供 了 一 个 用 于 提 交 问 题 的 表 单 。 大 约 在 十 天 之 后 ， 该 商 城 才 通 知 他 说 相 关 问 题 已 经 上 报 给 商 城 管 理 员 了 。 而 两 天 之 后 ， 他 竟 然 收 到 了 一 份 关 于 商 城 客 户 服 务 体 验 度 的 问 卷 调 查 。 直 到 目 前 为 止 ， 该 商 城 都 没 有 去 处 理 这 个 安 全 漏 洞 。 响 应 速 度 慢 也 是 很 正 常 的 ， 因 为 很 多 大 型 组 织 中 并 没 有 安 排 技 术 人 员 来 专 门 负 责 处 理 安 全 漏 洞 ， 而 且 也 没 有 部 署 任 何 的 安 全 响 应 策 略 。 H u n t 说 到 ： “ 他 当 初 曾 在 网 上 发 现 了 M i c h a e l   P a g e 公 司 （ 一 家 专 业 从 事 职 位 招 聘 和 人 力 解 决 方 案 的 服 务 机 构 ） 的 客 户 数 据 库 备 份 ， 当 他 将 此 事 件 告 知 该 公 司 之 后 ， 他 们 竟 然 花 了 一 周 的 时 间 才 弄 清 楚 到 底 发 生 了 什 么 。 ”   研 究 人 员 在 研 究 人 员 在 2 0 1 5 年 曾 对 福 布 斯 全 球 年 曾 对 福 布 斯 全 球 2 0 0 0 强 企 业 进 行 过 一 项 调 查 ， 调 查 结 果 显 示 ： 强 企 业 进 行 过 一 项 调 查 ， 调 查 结 果 显 示 ： 在 所 有 的 调 查 对 象 中 ， 只 有 6 % 的 企 业 对 外 公 开 了 漏 洞 提 交 方 法 。 而 且 ， 直 到 2 0 1 6 年 1 1 月 ， 美 国 国 防 部 才 制 定 并 公 开 了 自 己 的 漏 洞 提 交 政 策 。 政 策 中 详 细 描 述 了 漏 洞 提 交 步 骤 以 及 安 全 专 家 会 在 何 时 得 到 回 复 。 那 么 对 于 普 通 的 企 业 来 说 ， 你 们 是 不 是 也 应 该 有 自 己 的 漏 洞 提 交 以 及 漏 洞 处 理 政 策 呢 ？
及 时 联 系 ， 及 时 处 理 及 时 联 系 ， 及 时 处 理 大 多 数 安 全 专 家 在 发 现 漏 洞 之 后 ， 第 一 件 事 就 是 通 知 相 关 组 织 。 但 是 如 何 才 能 获 取 到 联 系 方 式 呢 ？ H u n t 认 为 ： “ 我 希 望 每 一 个 网 站 都 能 写 上 管 理 员 的 联 系 方 式 ， 如 果 我 想 与 他 们 交 流 安 全 问 题 的 话 ， 这 也 许 是 最 快 的 方 法 。 ” 在 了 解 到 安 全 问 题 之 后 ， 你 也 需 要 用 正 确 的 方 法 来 解 决 这 些 问 题 ， 这 也 就 意 味 着 你 必 须 提 前 部 署 好 安 全 响 应 机 制 。 每 一 家 公 司 在 解 决 了 一 个 安 全 问 题 之 后 ， 都 应 该 发 表 一 份 声 明 来 描 述 自 己 系 统 中 的 漏 洞 ， 并 告 诉 大 家 他 们 是 如 何 解 决 这 个 问 题 的 。 你 脑 袋 里 应 该 十 分 清 楚 整 个 漏 洞 处 理 流 程 ， 例 如 如 何 回 复 漏 洞 提 交 人 员 、 如 何 修 复 安 全 漏 洞 、 以 及 如 何 披 露 漏 洞 信 息 等 等 。 安 全 公 司 安 全 公 司 T r i p w i r e 的 产 品 副 总 裁 的 产 品 副 总 裁 D w a y n e   M e l a n c o n 认 为 ： 认 为 ： “ 企 业 不 仅 需 要 制 定 漏 洞 处 理 方 案 ， 而 且 还 要 专 门 开 设 一 个 “ 邮 箱 ” 之 类 的 东 西 来 处 理 安 全 人 员 提 交 上 来 的 漏 洞 报 告 。 除 此 之 外 ， 企 业 还 要 对 这 些 漏 洞 报 告 进 行 归 档 和 记 录 。 你 需 要 对 这 些 安 全 报 告 进 行 分 类 ， 你 需 要 了 解 这 些 安 全 问 题 是 否 真 实 存 在 ， 它 们 到 底 有 多 严 重 ， 以 及 它 们 会 给 企 业 带 来 怎 样 的 影 响 等 等 。 如 果 这 个 漏 洞 是 一 个 高 危 漏 洞 ， 并 且 会 严 重 企 业 业 务 的 正 常 运 作 ， 那 么 这 个 漏 洞 就 得 是 你 的 安 全 技 术 人 员 需 要 优 先 处 理 的 问 题 。 相 反 ， 如 果 只 是 密 码 政 策 的 问 题 ， 那 么 就 应 该 由 客 服 来 与 客 户 直 接 沟 通 ， 而 不 需 要 专 业 的 安 全 技 术 人 员 来 处 理 了 。 虽 然 密 码 问 题 听 起 来 没 有 安 全 漏 洞 那 么 严 重 ， 但 企 业 仍 然 要 重 视 这 方 面 的 问 题 ， 而 正 确 处 理 密 码 问 题 的 前 提 就 是 企 业 必 须 拥 有 良 好 的 安 全 基 础 。 ” 不 要 忽 略 任 何 一 个 “ 小 ” 问 题 ， 某 些 严 重 漏 洞 都 是 由 各 种 各 样 的 小 问 题 造 成 的 。 所 以 在 实 现 安 全 策 略 的 时 候 ， 一 定 要 对 安 全 防 御 机 制 中 的 任 何 一 个 部 分 进 行 深 入 地 检 查 ， 这 对 企 业 来 说 绝 对 是 有 百 利 而 无 一 害 的 。 除 此 之 外 ， 企 业 也 应 该 重 视 社 交 媒 体 所 带 来 的 负 面 效 应 。 有 的 用 户 可 能 会 在 T w i t t e r 或 者 F a c e b o o k 上 吐 槽 一 些 东 西 ， 而 你 最 不 愿 看 到 的 就 是 用 户 在 社 交 媒 体 上 公 开 讨 论 你 企 业 系 统 中 的 安 全 问 题 。
培 养 企 业 的 安 全 文 化 培 养 企 业 的 安 全 文 化 首 先 ， 当 你 听 到 有 人 说 你 的 系 统 中 存 在 安 全 漏 洞 时 ， 请 不 要 产 生 敌 对 心 理 。 也 许 当 你 一 开 始 听 到 这 个 消 息 时 你 会 觉 得 很 尴 尬 ， 但 你 至 少 要 给 这 些 敢 于 跟 你 讨 论 安 全 问 题 的 人 起 码 的 尊 重 和 感 激 。 这 些 人 是 带 着 善 意 来 帮 助 你 的 ， 如 果 安 全 漏 洞 落 入 了 坏 人 之 手 ， 你 可 以 想 象 一 下 你 的 企 业 会 经 历 怎 样 的 灾 难 。 除 了 你 的 安 全 团 队 之 外 ， 你 的 工 程 师 团 队 同 样 要 有 这 种 意 识 。 因 为 一 般 来 说 ， 负 责 修 复 这 些 安 全 漏 洞 的 人 是 你 公 司 的 I T 工 程 师 ， 而 基 本 上 漏 洞 信 息 也 会 在 第 一 时 间 报 告 给 他 们 ， 所 以 企 业 安 全 文 化 对 于 安 全 团 队 和 技 术 团 队 来 说 都 是 很 重 要 的 。 如 果 你 的 技 术 人 员 一 看 到 安 全 部 门 的 人 过 来 敲 门 ， 心 里 就 想 “ 这 些 家 伙 一 来 准 没 好 事 ” 的 话 ， 那 么 你 的 企 业 安 全 文 化 就 有 大 问 题 了 。 实 际 上 ， 处 理 漏 洞 报 告 的 流 程 应 该 成 为 你 设 计 、 部 署 、 以 及 测 试 系 统 的 一 个 环 节 。 你 的 系 统 何 时 被 启 动 ， 何 时 被 更 新 ， 团 队 的 所 有 人 都 应 该 十 分 清 楚 。 尤 其 是 工 程 师 团 队 、 产 品 团 队 、 法 律 团 队 和 客 服 团 队 ， 当 有 人 提 交 漏 洞 报 告 的 时 候 ， 团 队 中 的 每 一 个 人 都 不 应 该 对 此 表 示 惊 讶 。 简 而 言 之 ， 所 得 的 企 业 安 全 文 化 就 是 让 公 司 里 的 每 一 个 人 都 认 为 安 全 是 最 重 要 的 东 西 ， 而 修 复 外 部 人 员 提 交 的 安 全 漏 洞 是 他 们 所 有 工 作 中 的 重 中 之 重 ， 应 该 得 到 优 先 处 理 。 优 秀 的 企 业 安 全 文 化 可 以 更 好 地 帮 助 你 去 处 理 严 重 的 安 全 漏 洞 ， 企 业 内 部 团 队 之 间 的 沟 通 和 交 流 将 会 更 加 顺 畅 ， 团 队 间 的 工 作 也 会 结 合 得 更 加 紧 密 。
可 能 很 少 人 知 道 漏 洞 披 露 和 漏 洞 处 理 流 程 也 有 其 相 应 的 I S O 标 准 ， 如 果 你 正 在 寻 找 一 种 常 规 的 漏 洞 报 告 处 理 方 案 ， 你 不 妨 考 虑 一 下 它 们 【 点 击 阅 读 原 文 查 看 下 载 地 址 】 。 如 果 你 想 知 道 你 的 企 业 是 否 能 够 有 效 处 理 漏 洞 报 告 的 话 ， 你 可 以 在 这 个 漏 洞 协 调 成 熟 度 模 型 【 点 击 阅 读 原 文 查 看 】 中 找 到 答 案 。 *   参 考 来 源 ： n e t w o r k w o r l d ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理