關(guān)于漏洞掃描服務(wù)方案這種東西,其實很多人跟我一樣都是聽過但不太明白具體咋弄的——畢竟現(xiàn)在網(wǎng)絡(luò)安全這事越來越懸乎,各種黑客攻擊、數(shù)據(jù)泄露的新聞可真是讓人頭大!簡單來說,漏洞掃描服務(wù)方案就是那種能幫你找找電腦、服務(wù)器、還有各種APP里面藏著的安全小窟窿的一套辦法,就跟咱在家里定期找蟲子似的,提前發(fā)現(xiàn)了就好趕緊堵上,省得以后出大亂子!在攻防演練里頭,那個負(fù)責(zé)防守的藍(lán)方隊伍,他們就經(jīng)常用這個漏洞掃描來把關(guān),確保系統(tǒng)安全,主動搜索和修補那些可能存在的安全漏洞,這可是個正經(jīng)事!
1. 選工具是第一步,牌子型號得挑對! 市面上工具五花八門的,有不要錢的開源貨,也有貴得嚇?biāo)廊说纳虡I(yè)產(chǎn)品。
OpenVAS:這算個老牌的開源掃描器了,功能挺全乎,能掃好些種系統(tǒng)和應(yīng)用程序的安全漏洞,就是可能得自己搗鼓半天,對技術(shù)有點要求。
Nessus:這個名氣大,商業(yè)里頭用得廣,號稱漏洞庫更新快,掃描能力也深,缺點嘛……呃,就是得花錢買授權(quán),中小企業(yè)可能得掂量掂量。
Qualys:這是個云-based的搞定方案,適合那些規(guī)模大、分支機構(gòu)多的大公司,不用自己搭服務(wù)器,網(wǎng)上就能操作,聽起來是方便,但具體啥價兒我可不知道。
OWASP ZAP:專門對付Web應(yīng)用的,比如咱們上網(wǎng)用的那些網(wǎng)站、線上系統(tǒng),找Web漏洞它是一把好手,重點是,它也是開源免費的,開發(fā)者們好像比較喜歡用。
2. 定范圍、設(shè)頻率,不能一錘子買賣! 到底掃哪兒、多久掃一次,這可得好好規(guī)劃規(guī)劃。
掃描范圍:得把自家所有寶貝疙瘩都算上!公網(wǎng)上能直接訪問的服務(wù)器得掃,公司內(nèi)部局域網(wǎng)的各種電腦、網(wǎng)絡(luò)設(shè)備,像路由器、交換機這些也不能落下,還有那些跑業(yè)務(wù)的各種應(yīng)用服務(wù)器,都得拉進(jìn)來挨個過一遍篩子!
掃描頻率:這個就得看著辦了,一般來說,系統(tǒng)安全政策里頭會寫,或者根據(jù)服務(wù)器、應(yīng)用金貴到啥程度來定。通常建議至少每過一個季度——也就是三個月左右,就得進(jìn)行一次全面的大掃描!要是那種一天到晚對外服務(wù)、特別容易招來不懷好意的人的系統(tǒng),那掃描頻率就得更高,比如一個月一次,甚至每周都得來一下子才放心!
3. 掃描配置有講究,細(xì)節(jié)決定成?。?/b> 機器選好了,范圍頻率也定了,就完事了嗎?哪有那么簡單!

1. 身份驗證得配上:如果掃描工具能登錄到系統(tǒng)里頭去掃——就是所謂的身份驗證掃描,那掃描結(jié)果肯定更準(zhǔn)、更深,能發(fā)現(xiàn)那些藏在系統(tǒng)肚子里、不登錄根本看不見的漏洞,比瞎猜靠譜多了。
2. 排除項要劃明白:有些特別 critical(就是特別重要) 的系統(tǒng),或者正在上線忙得要死的服務(wù)器,暫時不能掃,一掃碼崩了可就麻煩了!所以得提前把這些不能掃的或者不想掃的資源明確標(biāo)出來,讓掃描工具跳過它們。
3. 預(yù)掃描會議別忘了開! 正式開始掃描前,最好把搞IT的、管業(yè)務(wù)的、還有安全團(tuán)隊的人叫到一塊兒開個小會——強調(diào)一下流程,說說可能會有啥影響,比如會不會讓服務(wù)器卡一會兒之類的,聽聽大家的意見,不然真掃出問題或者耽誤了生產(chǎn),那可就真說不清了!
4. 執(zhí)行掃描要盯緊,出了岔子趕緊停! 到了預(yù)定的時間窗口——最好是夜深人靜、用戶少的時候開始,啟動掃描。這時候可不能甩手不管去喝茶了,得盯著點掃描過程,萬一哪個服務(wù)器扛不住掃描儀一波接一波的問詢,比如說反應(yīng)變慢了,或者某個應(yīng)用突然打不開了,就得趕緊停下來看看是咋回事,別把好東西給掃壞了!掃描跑完了,會出來一大推亂七八糟的報告,上面全是漏洞名稱、風(fēng)險級別,這東西拿到手別懵。
5. 分析報告下決定,修復(fù)建議是關(guān)鍵! 先是得評估漏洞嚴(yán)不嚴(yán)重,哪些是火燒眉毛馬上就得修的高危漏洞,哪些是可以往后排排的中低危漏洞;然后再看看這些漏洞是怎么來的,是系統(tǒng)本身的毛病,還是配置的時候不小心弄錯搞出來的。最重要的,是看掃描報告會給出啥樣的修復(fù)建議,比如告訴你應(yīng)該下載哪個補丁程序,或者某個設(shè)置應(yīng)該改成啥樣之類的,這才是解決問題的干貨!弄完了這些,漏洞掃描服務(wù)方案的“方案”才算真正發(fā)揮了作用,而不是光拿個報告就結(jié)束了。要是光掃不改,那不成了白花錢買罪受嗎?
問:是不是掃一次就萬事大吉了?
答:那可不使得!系統(tǒng)在變,新漏洞也在不斷冒出來,因此定期掃描,并且在系統(tǒng)有大的改動,比如說升級了軟件、換了服務(wù)器之后,都得再來一次,這就跟人要經(jīng)常體檢一個道理。
問:我們公司那么多系統(tǒng),從哪開始下手掃描比較好
答:一般建議從最重要的、直接對著外部用戶或者存著核心數(shù)據(jù)的系統(tǒng)開始掃起,比如公司官網(wǎng)的服務(wù)器、數(shù)據(jù)庫服務(wù)器這些,因為這些地方一旦出漏洞,損失可能最大最直接。還有就是業(yè)務(wù)開發(fā)中會頻繁變動的應(yīng)用系統(tǒng)版本上線前,也得掃一下才保險,防患于未然
個人觀點,漏洞掃描服務(wù)方案這東西,不是買個軟件就完事了的標(biāo)準(zhǔn)化產(chǎn)品,它更像是一種需要根據(jù)自家具體情況來“量體裁衣”的服務(wù)。得有人真正懂技術(shù),能把 tools 用好,能把報告看懂,還能踏踏實實推動漏洞修補?;隋X就得見到實實在在的效果,讓系統(tǒng)安全能感覺出來明顯變好,而不是只是為了應(yīng)付上面檢查貼個標(biāo)簽。所以,找個靠譜的團(tuán)隊或者顧問來幫著弄一整套方案,從頭到尾指導(dǎo)著做,可能比自己摸著石頭過河更省事也更放心!在咱們現(xiàn)網(wǎng)絡(luò)里頭的貓膩太多,指望著網(wǎng)絡(luò)管理員單靠自己那點技術(shù)經(jīng)驗去漏洞評估、制定萬全的網(wǎng)絡(luò)應(yīng)用安全策略,想了想,確實是很難,你說對!