网络安全要求不断发展，网络安全问题成为组织的日常麻烦。定期进行漏洞评估(VA) 可以帮助您了解 IT 基础架构中的结构性弱点并保护资产。
全面的 VA 提供有关您的数字资产、一般风险和安全缺陷的广泛知识，可能会降低网络攻击的可能性。在这篇文章中了解为什么 VA 必不可少，以及您可以采取哪些步骤来保护组织的资产。
什么是漏洞评估？
漏洞评估（也称为漏洞分析）是一种识别、量化和分析 IT 基础设施中安全弱点的过程。VA 的主要目标是发现任何可能危及组织整体安全和运营的漏洞。因此，VA 可以帮助您最大限度地降低威胁的可能性。
许多安全专家交替使用术语“漏洞评估”和“渗透测试”，尽管它们的含义不同。虽然 VA 发现并衡量系统弱点的严重性，但渗透测试是一项以目标为导向的练习。换句话说，渗透测试更侧重于通过绘制真实攻击者可以用来破坏防御的路径来模拟现实生活中的攻击。
漏洞评估的重要性
漏洞评估不再只是组织中可有可无的资源。根据组织的类型，您可能有义务进行定期 VA 以保持合规性。多年来，出现了各种合规性法规，以应对不断变化的安全挑战。
遵守通用数据保护条例 (GDPR)、支付卡行业数据安全标准 (PCI DSS) 和健康保险流通与责任法案 (HIPAA) 就是这样的例子。这些标准要求组织定期进行 VA，以确保他们保护客户的敏感数据。漏洞评估是一个整体安全流程，包括不同的任务，例如：
- 进行安全控制检查。
- 分析路由器和 Wi-Fi 网络的密码破解。
- 检查网络强度以抵御网络入侵、分布式拒绝服务 (DDoS) 和中间人 (MITM) 攻击等攻击。
- 扫描网络端口以查找已知和潜在的漏洞和威胁。
漏洞评估结果是一份 VA 报告，作为组织的安全策略和其他安全产品。进行VA，需要结合使用漏洞扫描工具和技术判断等工具。完成后，VA 会建议可以帮助减轻已识别风险的措施。
漏洞扫描的类型
您可以根据以下内容对漏洞扫描进行分类：
- 他们可以扫描的资产类型。
- 扫描的来源。
- 网络的安全态势。
让我们详细看看这些分类。
漏洞评估可以扫描的资产类型
漏洞扫描的五类是基于它们可以扫描的数字资产的种类。它们是基于网络的扫描器、基于主机的扫描器、应用程序扫描器、无线网络扫描器和数据库扫描器。
- 基于网络的扫描仪。您可以使用基于网络的扫描仪来发现网络上未经授权的设备或未知用户。这些扫描仪允许网络管理员确定网络上是否存在模糊的边界漏洞，例如未经授权的远程访问。基于网络的扫描仪无法直接访问文件系统。因此，他们无法进行低级别的安全检查。
- 基于主机的扫描仪。顾名思义，基于主机的扫描器驻留在受监控网络上的每台主机上。它定位并识别工作站、服务器或其他网络主机上的漏洞，从而提高资产配置设置的可见性。
- 应用程序扫描仪。应用程序扫描器发现网站中的漏洞。它们的运行模式类似于搜索引擎——它们通过向网站上的每个网页发送一系列探测来“爬行”网站，以查找弱点。
- 无线网络扫描仪。无线网络扫描器（也称为无线协议分析器）是可用于发现环境中开放无线网络的工具。禁止无线网络的组织可以使用这些无线网络扫描仪来检测任何未经授权的 Wi-Fi 网络。
- 数据库扫描仪。您可以使用数据库扫描器来识别数据库中的漏洞。数据库扫描器可以帮助您阻止 SQL 注入攻击等恶意攻击。
扫描的起源
此类别下有两种类型的漏洞扫描：外部扫描器和内部扫描器。
- 外部漏洞扫描器。使用外部扫描器，您可以从公司网络外部进行漏洞扫描。外部扫描器通常针对暴露在互联网上的 IT 基础设施，包括网络防火墙和 Web 应用程序防火墙中的开放端口。
- 内部漏洞扫描器。与外部扫描器不同，内部扫描器从企业网络内部进行漏洞扫描。这些扫描允许您通过检测已渗透网络的内部威胁（例如恶意软件）来保护和强化关键应用程序。
网络的安全态势
认证和非认证漏洞扫描是该类别下的主要漏洞扫描类型。
- 经过身份验证的漏洞扫描。身份验证扫描（也称为凭证扫描）允许网络管理员以用户身份登录并从受信任用户的角度识别网络的弱点。由于您已登录系统，因此您可以更深入地挖掘网络以发现众多威胁。
- 未经身份验证的漏洞扫描。使用未经身份验证的扫描，您无需登录网络即可执行扫描。虽然您可以获得网络的外部视图，但是当您使用未经身份验证的扫描时，您可能会错过大多数漏洞。
漏洞评估过程
进行脆弱性评估是一个包含五个步骤的过程。重要的是要考虑每个步骤都需要什么。
第 1 步：规划
首先，您应该考虑要扫描哪些资产以及 VA 的具体目标。思考以下问题：
- 您在评估中涵盖了哪些系统和网络？
- 敏感的工作负载和数据位于何处？
- 每个人都参与 VA 吗？
- VA 的期望是什么？
第 2 步：扫描
接下来，您可以使用手动或自动工具主动扫描网络。该过程会生成一个漏洞列表及其严重级别，您可以使用它来过滤掉误报。
第三步：分析
然后进行全面分析，详细说明漏洞的原因及其潜在影响。根据面临风险的工作负载和缺陷的严重程度，您可以对每个漏洞进行排名。这个想法是通过提供关于威胁对网络的影响的明确紧迫感来帮助您量化威胁。
第 4 步：修复
根据分析阶段的结果，您应该从修补最严重的缺陷开始。您可以使用各种工具，例如更新软件或安装新的安全工具来修复您的网络缺陷。但是，如果这些漏洞不会对组织构成重大威胁，那么修复它们可能不值得您付出努力。
第五步：重复
单个 VA 只是您的网络在特定时刻的快照。为确保您拥有整个 IT 基础架构的全局视图，您需要至少每周或每月执行一次定期 VA。
为什么要执行漏洞评估？
进行漏洞评估有很多好处，包括：
- 在黑客发现漏洞之前识别漏洞。VA 扫描所有网络组件，验证它们是否存在网络犯罪分子可以用来攻击组织的弱点。
- 向您的客户、潜在客户和其他利益相关者证明您的系统是安全的。您需要向委托您处理数据的客户保证，您可以保护他们的资产。当您向此类客户保证时，您可以使用漏洞评估作为获得战略竞争优势的工具。
- 评估第三方 IT 服务提供商的绩效。如果您依赖第三方供应商提供电子邮件、备份或系统管理等 IT 解决方案，独立的 VA 可以帮助您交叉检查他们的表现。
- 符合行业和监管要求。如果您在受监管的行业运营，严格的 VA 可以帮助您合规。VA 对于获得和保留 ISO 27001 等安全认证也至关重要。
- 节省时间和成本。安全漏洞可能会在许多方面伤害组织，造成代价高昂的限制和责任。VA 减轻了此类风险，使组织能够节省时间并停止因数据泄露而引起的昂贵诉讼。
创建漏洞评估报告
创建报告是漏洞评估过程中的关键步骤。所有漏洞评估报告都应详细说明，并可包括以下内容：
- 漏洞名称
- 发现日期
- 漏洞和受影响系统的详细描述
- 漏洞修复过程
- 系统漏洞的概念证明 (POC)
漏洞评估工具
漏洞评估工具旨在自动检查您的应用程序是否存在新的和当前的威胁。以下是工具示例：
- 用于查找和模仿已知攻击行为的 Web 应用程序扫描器。
- 协议扫描器寻找协议、端口和网络服务中的缺陷。
- 网络扫描器，有助于网络可视化和检测警告信号，例如杂散 IP 地址、伪造数据包和来自单个 IP 地址的异常数据包生成。
作为最佳实践，安排对所有重要 IT 系统进行频繁的自动扫描。这些扫描的结果应包含在组织的持续漏洞评估过程中。
