使用安全漏洞管理工具 減少企業(yè)安全風(fēng)險(xiǎn)

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

在當(dāng)前的安全氣候下，威脅、病毒爆發(fā)和安全突破是生活的現(xiàn)實(shí)。然而，在隔離精確的風(fēng)險(xiǎn)區(qū)域，讓機(jī)構(gòu)采取措施減小風(fēng)險(xiǎn)方面，安全漏洞管理工具是非常有價(jià)值的。

nCircle網(wǎng)絡(luò)安全公司主要產(chǎn)品經(jīng)理Tim Erlin稱，安全漏洞管理是測量和管理軟件安全漏洞和機(jī)構(gòu)中的設(shè)置產(chǎn)生的風(fēng)險(xiǎn)的連續(xù)不斷的過程。這個(gè)過程一般包括全面地發(fā)現(xiàn)和描述網(wǎng)絡(luò)資產(chǎn)，評(píng)估這些應(yīng)用程序的每一個(gè)資產(chǎn)的和這些應(yīng)用程序中的安全漏洞，列出這些資產(chǎn)和安全漏洞的優(yōu)先等級(jí)，并且確定按照優(yōu)先次序修復(fù)這些安全漏洞的最終工作流。

許多工具提供了一些安全漏洞管理流程，僅評(píng)估網(wǎng)絡(luò)安全漏洞、網(wǎng)絡(luò)應(yīng)用程序安全漏洞或者設(shè)置。但是，上述所有的區(qū)域都可以在一個(gè)環(huán)境中產(chǎn)生風(fēng)險(xiǎn)。漏掉任何一個(gè)部分都會(huì)使安全漏洞管理不知道漏掉的是哪些部分。

這個(gè)事情一開始就要有一個(gè)關(guān)于這個(gè)機(jī)構(gòu)現(xiàn)有的東西的清單。一旦把一切東西都編成目錄，這個(gè)目錄就需要保持最新狀態(tài)，因?yàn)镮T不是一個(gè)靜態(tài)的實(shí)體。因此，這些工具應(yīng)該提供自動(dòng)發(fā)現(xiàn)、安排日程和網(wǎng)絡(luò)描述等功能。這樣，機(jī)構(gòu)的不同部分的問題就能夠解決。

Erlin說，沒有一個(gè)應(yīng)用程序在什么地方的目錄，就不能準(zhǔn)確地評(píng)估安全漏洞。不能提供一臺(tái)設(shè)備上的全面的和單獨(dú)的應(yīng)用程序評(píng)估的工具對(duì)于安全漏洞管理來說是失去了一個(gè)重要的組件。

Erlin稱，每一個(gè)安全漏洞管理工具都將產(chǎn)生一個(gè)機(jī)構(gòu)完不成的工作。因此，每一個(gè)安全漏洞管理程序都必須提供一個(gè)按照優(yōu)先次序進(jìn)行處理的機(jī)制，即使發(fā)現(xiàn)的全部安全漏洞都是嚴(yán)重的，也要首先處理威脅等級(jí)最高的安全漏洞。

當(dāng)然，僅靠一個(gè)工具是不夠的。它必須得到能夠恰當(dāng)?shù)亟鉀Q風(fēng)險(xiǎn)問題的安全漏洞管理工作流的支持，盡管nCircle等工具能夠通過自動(dòng)化、內(nèi)置的票務(wù)系統(tǒng)(ticketing systems)和數(shù)據(jù)準(zhǔn)確性來支持這種工作流。

每一個(gè)機(jī)構(gòu)在分配所有權(quán)和責(zé)任的方面都是不同的。在購買安全漏洞管理管理工具之前，要考察現(xiàn)有的使用補(bǔ)丁和升級(jí)的流程以便確定他們應(yīng)該在什么地方進(jìn)行修改以及工具能夠在什么地方幫助自動(dòng)化。

工具選擇

企業(yè)管理協(xié)會(huì)公司分析師Michael Montecillo認(rèn)為，應(yīng)用安全漏洞管理的方法是確定一個(gè)工具作為制定管理安全漏洞的方法的推動(dòng)因素。

你最終將使用這個(gè)能夠最善于在你自己的環(huán)境中查出一切事情的軟件。nCircle、Qualys和eEYE等廠商的工具將簡化這個(gè)過程，創(chuàng)建一種報(bào)告方法并且以可重復(fù)的方式做評(píng)估工作。

Montecillo建議使用定期評(píng)估的方法檢查當(dāng)前緩解威脅的措施有多大效率。此外，他認(rèn)為這個(gè)主題不應(yīng)該留給一個(gè)團(tuán)隊(duì)或者部門。要使安全漏洞管理實(shí)現(xiàn)目標(biāo)需要整個(gè)機(jī)構(gòu)的協(xié)同努力，包括來自高級(jí)管理層的支持。

Montecillo表示，當(dāng)前的氣候需要分層次的安全措施。間諜軟件、病毒和其它惡意軟件是具體的威脅。在過去的10年里，安全廠商提供了各種補(bǔ)救措施對(duì)付這些威脅。這個(gè)趨勢(shì)短時(shí)間內(nèi)還不會(huì)結(jié)束。最終用戶必須要適應(yīng)這種思路：在惡意和犯罪團(tuán)伙推出新的和更好的滲透到機(jī)構(gòu)或者引起災(zāi)難的方法的同時(shí)，安全廠商將用新的和更好的工具應(yīng)對(duì)。

然而，安全漏洞管理是不同種類的產(chǎn)品。安全漏洞管理不是解決一個(gè)具體威脅的工具，而是一種觀察整個(gè)安全形勢(shì)和你的什么地方風(fēng)險(xiǎn)最大的一種方法。

病毒會(huì)在你有安全漏洞的地方侵入。因此，如果你消除了那個(gè)攻擊區(qū)域，風(fēng)險(xiǎn)就減少了。最近，我們將看到立法中要求使用安全漏洞管理軟件。（IT專家網(wǎng)）