建站
咨詢
售后
建站咨詢
新聞中心
在啟用漏洞管理程序后不久，企業(yè)往往會發(fā)現(xiàn)自己面臨著海量的網(wǎng)絡安全漏洞數(shù)據(jù)。掃描這些結果可能讓企業(yè)看到分布在各種不同的系統(tǒng)和應用中的數(shù)百甚至數(shù)千個漏洞。
成都創(chuàng)新互聯(lián)公司自成立以來，一直致力于為企業(yè)提供從網(wǎng)站策劃、網(wǎng)站設計、做網(wǎng)站、成都網(wǎng)站制作、電子商務、網(wǎng)站推廣、網(wǎng)站優(yōu)化到為企業(yè)提供個性化軟件開發(fā)等基于互聯(lián)網(wǎng)的全面整合營銷服務。公司擁有豐富的網(wǎng)站建設和互聯(lián)網(wǎng)應用系統(tǒng)開發(fā)管理經(jīng)驗、成熟的應用系統(tǒng)解決方案、優(yōu)秀的網(wǎng)站開發(fā)工程師團隊及專業(yè)的網(wǎng)站設計師團隊。
安全專業(yè)人員應該如何解決這個風險問題?在本文中，我們將研究一種三角叉式優(yōu)先級方案，其中整合了外部關鍵性評估、數(shù)據(jù)敏感度和現(xiàn)有控制環(huán)境來幫助企業(yè)成功地對漏洞進行評級，同時優(yōu)化整治工作。
這種三步驟過程是假定你已經(jīng)獲取了關于環(huán)境中存在的網(wǎng)絡安全漏洞的信息、由系統(tǒng)和應用處理的信息的敏感度以及環(huán)境中現(xiàn)有安全控制的狀態(tài)。這些信息可能來自不同的漏洞管理程序，包括Web和網(wǎng)絡漏洞掃描器、數(shù)據(jù)丟失防護系統(tǒng)和配置管理軟件等。
步驟1：確定漏洞的嚴重程度
你首先需要的數(shù)據(jù)元素是評估你環(huán)境中存在的每個漏洞的嚴重程度。在很多情況下，你可以從漏洞管理工具供應商的數(shù)據(jù)feed來獲取這種嚴重程度的信息。
這種嚴重程度評估應該基于一個成功的漏洞利用可能造成的潛在的損害。例如，允許攻擊者獲取對系統(tǒng)的管理訪問權限的漏洞比導致拒絕服務的漏洞要嚴重得多。嚴重程度信息也可能會考慮現(xiàn)實世界中存在的漏洞利用;與沒有已知漏洞利用的理論漏洞相比，惡意軟件使用的漏洞更嚴重。
對于我們模型的目的，我們將假設你在使用具有5級漏洞評級系統(tǒng)的產(chǎn)品，其中，具有最高破壞性的漏洞被評為5級。
步驟2：確定數(shù)據(jù)的敏感度
漏洞帶來的風險會因為包含該漏洞的系統(tǒng)上的信息的敏感程度而加倍。例如，與僅包含公開信息的系統(tǒng)相比，包含社會安全號碼或者信用卡數(shù)據(jù)的系統(tǒng)應該得到更多的關注和更多保護。
然而，這并不意味著，企業(yè)只需要管理好包含敏感信息的系統(tǒng)，因為如果面向公眾的網(wǎng)站受到攻擊，你的企業(yè)將會遭受與敏感信息泄漏相同的聲譽損失。不過，敏感信息的存在確實放大了攻擊的影響力。
收集有關數(shù)據(jù)敏感度的信息可能會非常棘手，這取決于你的信息分類機制的成熟度。如果你才剛剛起步，你最好使用相對簡單的模型，根據(jù)數(shù)據(jù)的敏感度將數(shù)據(jù)分類：
高敏感度信息即受到嚴格監(jiān)管的信息，或者如果泄漏將對企業(yè)帶來嚴重破壞的數(shù)據(jù)。我們信息安全機制的“御寶”包含這些數(shù)據(jù)元素：信用卡數(shù)據(jù)、受保護的醫(yī)療信息和銀行賬戶詳細信息。
內部信息是指不符合“高度敏感”類別但也不應該被公開發(fā)布的信息。此類別可能看起來過于寬泛，它也是最難定義的類別。如果你沒有數(shù)據(jù)分類機制，將所有這些數(shù)據(jù)歸為一類是最合適的開始方式。如果企業(yè)需要分類，可以考慮以后再細分類別。
公開信息是指你的企業(yè)愿意透露給公眾的信息，例如產(chǎn)品文獻、你的公共網(wǎng)站上的數(shù)據(jù)以及發(fā)布的財務報表。
當對系統(tǒng)進行數(shù)據(jù)敏感度評級時，你的評估應該基于系統(tǒng)存儲或處理的信息的最高敏感度水平。處理高敏感度信息的系統(tǒng)被評為5級，而處理內部信息的系統(tǒng)可能被評為2級、3級或3級，這取決于敏感度水平。所有其他系統(tǒng)都被評為1級。
步驟3：評估現(xiàn)有控制
這個過程的最后一步是評估現(xiàn)有控制—這些控制保護潛在易受攻擊的系統(tǒng)免受攻擊。根據(jù)你企業(yè)需要的具體控制的不同，你用來進行評級的方法也會有所不同。例如，如果你有一個高度安全的網(wǎng)絡用于極度敏感的系統(tǒng)，對于5級控制評級標準，你可能會將這些系統(tǒng)評為5級。同樣地，如果使用公共IP地址的系統(tǒng)可以通過互聯(lián)網(wǎng)從web應用訪問，而沒有受到web應用防火墻保護，這種系統(tǒng)可能被評為1級或者2級。你應該選擇能夠準確反映你的環(huán)境中預期控制的評級標準，然后對具有強大安全控制的系統(tǒng)評為較高等級。
整合這些數(shù)據(jù)
在收集了所有這些信息后，你可以利用它們來評估你的報告中出現(xiàn)的漏洞。而且，在你將所有這些數(shù)據(jù)收集在一起后，你可以對系統(tǒng)中存在的每個漏洞執(zhí)行下面這個簡單的計算：
風險數(shù)=(漏洞嚴重程度*數(shù)據(jù)敏感度)/現(xiàn)有控制
如果每個選項都是5分制，這個漏洞評級范圍將是從最低0.2分(在僅包含公共信息的良好控制的系統(tǒng)中存在的的嚴重性漏洞)到最高25分(包含高敏感度信息而缺乏安全控制的系統(tǒng)中存在高嚴重性漏洞)。
雖然這看起來需要收集大量數(shù)據(jù)以及執(zhí)行大量計算，你可以找到方法來自動化這個過程并改進你的漏洞優(yōu)先級工作。例如，你可以創(chuàng)建一個數(shù)據(jù)庫來存儲關于所有服務器資產(chǎn)的數(shù)據(jù)敏感度和控制狀態(tài)信息。
同樣地，你可以利用腳本來分析供應商報告，以自動化提取漏洞嚴重度信息，從數(shù)據(jù)庫中提取相關信息并計算風險分數(shù)。
我們有很多方法來為企業(yè)定制網(wǎng)絡安全漏洞優(yōu)先級系統(tǒng)。無論你做出怎樣的調整，對于任何想要降低IT安全風險的企業(yè)而言，基于風險優(yōu)先級決策的有效的漏洞管理程序都是一個必須因素。簡化用來執(zhí)行漏洞風險分析的程序，讓企業(yè)更容易開始和維護這樣一個程序。
新聞名稱：如何對系統(tǒng)中的網(wǎng)絡安全漏洞進行評級?
標題鏈接：http://fisionsoft.com.cn/article/dpeecjg.html
