公司有100萬(wàn)個(gè)安全漏洞，修復(fù)還是放棄？

大多數(shù)公司經(jīng)常使用安全漏洞掃描軟件來(lái)清查計(jì)算機(jī)資產(chǎn)。其想法是，你運(yùn)行掃描軟件后，按危急程度列出每臺(tái)計(jì)算機(jī)上的眾多安全漏洞，然后逐一修復(fù)，因而讓貴公司更難被黑客攻擊。

只可惜，這種想法很少最后成為現(xiàn)實(shí)。本人參觀的每家公司最后列出了一長(zhǎng)串安全漏洞，可是之后對(duì)它們基本上無(wú)所作為。我經(jīng)�？吹揭恍┕�司存在成千上萬(wàn)個(gè)明顯的安全漏洞。上個(gè)月我就碰到過(guò)一家公司存在的安全漏洞居然超過(guò)100萬(wàn)個(gè)。

為什么大多數(shù)公司似乎滿足于僅僅發(fā)現(xiàn)和登記漏洞安全，而不是隨后也修復(fù)這些漏洞呢？當(dāng)然，安全漏洞的絕對(duì)數(shù)量之多肯定讓人頭大。我的意思是說(shuō)，如果貴公司環(huán)境中的每臺(tái)計(jì)算機(jī)都有數(shù)十個(gè)至數(shù)百個(gè)安全漏洞，該從何處開(kāi)始下手?

從最要緊的抓起

我可以回答這個(gè)問(wèn)題：首先解決那些風(fēng)險(xiǎn)最高、危急程度最高的安全漏洞。先從最關(guān)鍵的服務(wù)器和管理員用戶的計(jì)算機(jī)開(kāi)始查起，然后再查不大關(guān)鍵的計(jì)算機(jī)和用戶。這么做的前提是假設(shè)你準(zhǔn)確清查了計(jì)算機(jī)環(huán)境，詳細(xì)列出了最關(guān)鍵的應(yīng)用程序，而且深入了解它們之間的依賴關(guān)系。

比如說(shuō)，你的人力資源系統(tǒng)可能很關(guān)鍵，但是還需要?jiǎng)e的什么系統(tǒng)來(lái)支持它？如今，大多數(shù)系統(tǒng)需要網(wǎng)絡(luò)設(shè)備、接口、DNS、或許活動(dòng)目錄以及其他基礎(chǔ)設(shè)施支持服務(wù)。關(guān)鍵的用戶工作站不僅包括網(wǎng)絡(luò)和基礎(chǔ)設(shè)施管理員，還包括人力資源系統(tǒng)的權(quán)限提升的用戶。

如果你確確實(shí)實(shí)認(rèn)真分析了關(guān)鍵業(yè)務(wù)型系統(tǒng)及它們之間的所有依賴關(guān)系，可能會(huì)發(fā)現(xiàn)，40%或更多的系統(tǒng)被認(rèn)為是關(guān)鍵型。關(guān)鍵系統(tǒng)不應(yīng)該含有危急的安全漏洞，是不是?

當(dāng)然，不是所有被列為“關(guān)鍵”的系統(tǒng)都一樣重要。大多數(shù)安全漏洞掃描軟件程序給安全漏洞排序時(shí)使用簡(jiǎn)單的描述(低風(fēng)險(xiǎn)、中風(fēng)險(xiǎn)、高風(fēng)險(xiǎn)或危急)，或者使用數(shù)值化評(píng)分系統(tǒng)。后者方面最有名的例子之一就是常見(jiàn)通用漏洞評(píng)分系統(tǒng)(Common Vulnerability Scoring System)，它將安全漏洞按從低值(0.0)到高值(10.0)來(lái)進(jìn)行排序。我尤其喜歡包括其他因素的評(píng)分系統(tǒng)，比如修復(fù)漏洞需要的工作以及該安全漏洞在外頭是否被人積極利用。

小編推薦閱讀

• 網(wǎng)絡(luò)安全攻防技術(shù)分享
• 深入探討堆溢出漏洞及利用
• WP Statistics WordPress插件SQL注入漏洞分析
• 網(wǎng)絡(luò)安全專業(yè)學(xué)習(xí)布線么？
• 360安全瀏覽器6.2：您的網(wǎng)絡(luò)安全守護(hù)者