1.漏洞管理(信息维度)
(1).信息收集
扫描发现网络IP、OS、服务、配置、漏洞
能力需求:定义扫描方式内容和目标
(2).信息管理格式化信息,并进行筛选、分组、定义优先级
能力需求:资产分组、指定所有者、向所有者报告漏洞
(3).信息输出向不同层级的人群展示足够的信息量
能力需求:生成报告、导出数据、与SIEM集成2.弱点扫描类型
(1).主动扫描有身份验证(登陆到系统中进行扫描)
无身份验证(黑盒扫描)
(2).被动扫描镜像端口抓包
其他来源(嗅探)
(3).基于agent扫描平台有限
3.漏洞基本概念
(1).CVSS(Common Vulnerability Scoring System)
通用漏洞评分系统
是安全内容自动化协议(SCAP)的一部分
分值 0-10行业公开标准,其被设计用来评测漏洞的严重程度
帮助确定所需反应的紧急度和重要度
CVSS同CVE一同由美国国家漏洞库(NVD)发布并保持数据的更新(2).CVE(Common Vulnerabilities and Exposures)
为漏洞和暴露确定了唯一的名称以及一个标准化的描述
实现更好的协同工作
MITRE公司负责维护
CVE发布流程
发现漏洞
CAN负责指定CVE ID
发布到CVE List —— CVE-2008-4250
MITRE负责对内容进行编辑维护
(3).厂商漏洞库
微软 MS MSKB
CERT TA08-297A 计算机安全应急响应组
BID 31874 英政府
IAVM 2008-A-0081
OVAL OVAL6093 描述漏洞检测方法的机器可识别语言
(4).其他标准OVAL
描述漏洞检测方法的机器可识别语言
详细的描述漏洞检测的技术细节,可导入自动化检测工具中实施漏洞检测工作OVAL使用XML语言描述,包含了严密的语法逻辑
CCE
描述软件配置缺陷的一种标准化格式
在信息安全风险评估中,配置缺陷的检测是一项重要内容,使用CCE可以让配置
缺陷以标准的方式展现出来,便于配置缺陷评估的可量化操作。
CPE(Common Product Enumeration)
信息技术产品、系统、软件包的结构化命名规范,分类命名
CWE(Common Weakness Enumeration)
常见漏洞类型的字典,描述不同类型漏洞的特征(访问控制、信息泄露、拒绝服
务)
(5).SCAP(Security Content Automation Protocol)
集合了多种安全标准框架
六个元素:CVE、OVAL、CCE、CPE、 CVSS、XCCDF
目的是以标准的方法展示和操作安全数据
NIST(美国国家标准与技术研究院)维护
SCAP主要解决三个问题
实现高层政策法规等到底层实施的落地(如FISMA,ISO27000系列)
将信息安全所涉及的各个要素标准化(如统一漏洞的命名及严重性度量) 将复杂的系统配置核查工作自动化
SCAP是当前美国比较成熟的一套信息安全评估标准体系,其标准化、自动化的思想对
信息安全行业产生了深远的影响。
(6).NVD(National Vulnerability Database)
美国政府的漏洞管理标准数据
完全基于SCAP框架
实现自动化漏洞管理、安全测量、合规要求
包含以下库
安全检查列表 软件安全漏洞 配置错误 产品名称 影响度量
https://nvd.nist.gov/
4.漏洞管理
周期性扫描跟踪漏洞
高危漏洞优先处理
扫描注意事项
漏洞管理三要素
准确性
时间
资源