漏洞管理產品是如何工作的?在評估廠商漏洞管理產品時，企業信息安全專業人員該著重看哪些要素?

[[151538]]

漏洞管理表明了安全漏洞存在于每個組織機構中。每天大量的操作系統、應用以及基礎設施的安全警報意味著你的企業很可能有潛在的安全問題，且尚未被發現?，F實是你的企業的IT環境存有漏洞，而你的團隊還尚未修正好的時候，下一波問題已然來臨。

漏洞管理工具幫助信息安全團隊走在安全問題的前頭。它們結合了先進的漏洞檢測能力及優先級算法，以幫助企業識別需要立即關注的問題，這樣，企業就可以更加專注于那些能導致泄漏事故的漏洞上去。

那么，如何為你的企業挑選最佳的漏洞管理工具呢?你需要了解漏洞管理是如何橋接到企業安全中的，也要知道漏洞管理系統必須要具備的特性。

漏洞管理工具工作原理

廠商漏洞數據庫是漏洞管理產品的基礎。這個頻繁更新的數據庫包括廠商安全研究組所知曉的每個安全漏洞。同時，它也包括讓掃描儀探測網絡系統中漏洞的測試信息。

通常，漏洞管理產品要先對網絡資產進行梳理?？赡軙研畔幕顒幽夸浕颥F有資產管理系統中調出來，并將信息和對活動IP地址進行的高水平網絡掃描的結果結合起來。一旦它確定了系統處在一個怎樣的網絡中，它就會對每個系統進行一次基本掃描，來識別運行在主機上的操作系統及應用程序。然后，漏洞管理工具返到漏洞數據庫中，去檢索可能影響主機的漏洞信息，并開始執行系統測試來揪出潛在的漏洞。

掃描一完成，好戲就開始了。通常，安全專家都會對掃描感到頭疼，因為掃描結果往往提示出成百上千的配置缺陷。漏洞管理系統的真正力量在于它能幫助安全團隊整理信息的泥沼，優先考慮能對組織機構安全態勢造成影響的活動。它通過綜合漏洞嚴重程度和影響程度、系統的優先級和任何可能存在的合規問題等信息來實現這種整理與篩選。這種優先級就是將一個簡單的漏洞掃描器轉換成一個強大的漏洞管理平臺。

漏洞管理產品特性

漏洞管理工具市場已經非常成熟，有很多高質量產品幫助安全專家完成鑒定和修復任務。當你為企業環境進行產品評估時，應先廣撒網，確定幾種不同的產品。如果不是親自驗證，你無法對一個產品擁有實戰經驗。

在產品評估階段最為重要的一個標準是用戶體驗。特別是當你的拓展計劃超出了信息安全團隊和系統工程師的對安全產品的理解范圍時，這顯得尤為重要。如果他們發現產品使用起來很困難，那么你想在企業中應用該產品也必將困難重重。

下面是評估漏洞管理工具時需要考量的其他重要的特性：

質量和更新速度。廠商發布新版本的頻率如何?它們能否精確檢測漏洞?你可以選取一個最新的、知名度較高的漏洞，來看漏洞發布與廠商更新的時間差。這要花多久?

與你的企業環境的兼容度。廠商的漏洞數據庫是否包括你企業中的所有主要的應用、操作系統以及基礎設施?

是否支持云服務。產品是否能檢測出在IaaS、PaaS和SaaS環境下的問題?

合規性。產品是否為你的企業合規項目提供支持?如果你受PCI DSS所約束，你能否使用該產品來執行所需要的掃描以及完整的自我評估?

優先級。根據優先算法什么樣的信息因素會被列出來?它是否同時支持自動優先級和手動配置，以滿足你更高效地使用產品實現預期目標?

主動和被動檢測。產品是否集成了傳統的主動系統掃描與基于網絡流量檢測而進行的被動漏洞檢測?產品是否允許在系統上安裝代理執行自動掃描以降低錯檢率?

修復指南。產品可以為識別出的漏洞提供什么樣的修復指南?當你看產品報告時，它是否提供了足夠的信息來幫助你修復漏洞?或者說，你是否還需要其他額外的研究?

廠商支持。合同上有寫明廠商支持嗎?廠商承諾的響應時間是?

你可以使用上述這個特性清單拉開選擇產品的帷幕。你也可以衍生出自己的優先級列表，并為適用于你企業的產品進行排名。

結論

漏洞管理工具首先會盤點你面臨的安全問題，而后根據嚴重程度、曝光度、合規狀況和數據分類幫你為這些問題排出優先級。這些工具會幫助安全專家們爭取修復時間，并讓他們更為專注于那些更需要迫切解決的問題上去。