漏洞评估指南 {Vulnerability Assessment}

漏洞评估的四步指南 这是一个建议的四步法,使用任何自动或手动工具启动有效的漏洞评估流程。

1.初步评估

识别资产并为每个设备(基于客户输入)定义风险和关键值,例如安全评估漏洞扫描程序。至少确定您在网络或至少要测试的设备上所使用设备的重要性至关重要。了解公司的任何成员(例如公用计算机或信息亭)还是管理员和授权用户都可以访问设备(或多个设备)也很重要。

了解战略因素并对细节有清晰的了解,其中包括:

风险偏好

风险容忍度

针对每个设备的风险缓解实践和策略

剩余风险处理

每个设备或服务的对策(如果服务与设备相关)

业务影响分析

2.系统基线定义

其次,在漏洞评估之前收集有关系统的信息。至少检查设备是否有开放的端口,进程和服务不应该打开。另外,了解批准的驱动程序和软件(应该安装在设备上)以及每个设备的基本配置(如果设备是外围设备,则不应该配置默认的管理员用户名)。

尝试执行横幅广告抓取,或根据配置基线了解应该访问哪种“公共”信息。设备是否将日志发送到安全信息和事件管理(SIEM)平台?日志是否至少存储在中央存储库中?收集有关设备平台,版本,供应商和其他相关详细信息的公共信息和漏洞。

3.执行漏洞扫描

第三,在你的扫描仪上使用正确的策略来达到预期的效果。在开始漏洞扫描之前,请根据公司的姿势和业务查找任何合规性要求,并了解执行扫描的最佳时间和日期。识别客户行业背景并确定是否可以一次执行扫描或需要分割是非常重要的。重要的一步是重新定义并获得批准执行漏洞扫描的策略。

要获得最佳结果,请在漏洞评估平台上使用相关工具和插件,例如:

最佳扫描(即流行端口)

CMS网页扫描(Joomla,WordPress,Drupal,一般CMS等)

快速扫描

最常见的端口扫描(即65535个端口)

防火墙扫描

隐形扫描

积极扫描

全面扫描,利用和分发拒绝服务(DDoS)攻击

开放Web应用程序安全项目(OWASP)前10名扫描,OWASP检查

用于Web应用程序的支付卡行业数据安全标准(PCI DSS)准备

健康保险流通和责任法案(HIPAA)政策扫描合规性

如果您需要对关键资产执行手动扫描以确保获得最佳结果,请确保在扫描程序配置上配置凭据以执行更好,更深入的漏洞评估(如果凭据与团队共享)。

4.漏洞评估报告的创建

第四步也是最重要的一步是创建报告。注意细节并尝试在建议阶段增加额外的价值。为了从最终报告中获得真正的价值,请根据初始评估目标添加建议。

此外,根据资产和结果的关键性添加风险缓解技术。添加与结果和系统基线定义(出现任何错误配置和发现时的偏差)之间的任何可能差距有关的发现,以及纠正偏差和减轻可能的漏洞的建议。关于脆弱性评估的结果通常非常有用,并且以确保理解结果的方式进行排序。

但是,牢记以下细节并认识到高级和中级漏洞应具有详细报告可能包括:

漏洞的名称

发现的日期

该分数基于常见漏洞和暴露(CVE)数据库

漏洞的详细描述

有关受影响系统的详情

有关更正漏洞的过程的详细信息

系统漏洞的概念验证(PoC)(如果可能的话)

漏洞所有者的空白字段,纠正所需的时间,最终解决方案之间的下一次修订和对策

在进行脆弱性评估时,有了这个基本列表,建议阶段将反映对过程所有不同方面的安全态势的完整理解。它也将为一些在大多数情况下只是合规工具的东西提供更好的结果。

原文链接:http://www.heibai.org/post/330.html

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏腾讯云安全的专栏

黑客教主 TK 说:咱们谁都没错,就是不该在一起

2306
来自专栏FreeBuf

黑了记者:写个恶意软件玩玩(一)

潘多省日报(Pando Daily)的编辑Adam Penenberg最近发表了一篇文章《我让黑客来调查我,他们的发现让我不寒而栗》,讲述了我和我的小伙伴“骚扰...

20910
来自专栏腾讯大讲堂的专栏

应用内容检查大法

作者:互娱iOS预审团队,隶属于互娱研发部品质管理中心,致力于互娱产品的iOS审核前的验收工作。 前面一篇分享了客户端检查的相关要点,本篇会给大家介绍有关应用内...

2378
来自专栏黑白安全

美权威机构:微软苹果Linux等操作系统遭受严重安全漏洞威胁

5月10日消息,美国计算机安全应急响应中心(以下简称“CERT”)今日通过公告宣称,Windows、macOS、Linux、FreeBSD、VMware和Xen...

681
来自专栏埋名

推荐13个常用前端公共库CDN服务资源

CDN公共库是指将常用的JS库存放在CDN节点,以方便广大开发者直接调用。与将JS库存放在服务器单机上相比,CDN公共库更加稳定、高速。 公共CDN能为您的应用...

2K1
来自专栏FreeBuf

百度软件中心版putty被曝恶意捆绑软件

近日,微步社区出现一则新情报,名为RTFM的用户发表文章《被污染的百度下载,被捆绑的Putty,为什么受伤的总是程序员?!》,引来网友热议。

1474
来自专栏腾讯大讲堂的专栏

【iOS审核秘籍】应用内容检查大法

作者:互娱iOS预审团队,隶属于互娱研发部品质管理中心,致力于互娱产品的iOS审核前的验收工作。 前面一篇分享了客户端检查的相关要点,本篇会给大家介绍有关应用内...

2658
来自专栏知晓程序

网盘纷纷倒下,只有这个小程序才能救我于水火 | 亲儿子

我在广州冷热交加的空气,瑟瑟发抖的度过了半个月。最终还是没熬过,一周前光荣地倒在了流感的洪流中,转变为匍匐前进的工作模式。

1213
来自专栏FreeBuf

什么是“移动端应用协作”(MAC)攻击?

Intel安全团队最近表示,他们检测到恶意代码被发布在数以千计的安卓包里。黑客对这些代码进行组合后,对没有防备的手机用户发起攻击。 这种攻击被称为“移动端应用协...

1889
来自专栏FreeBuf

安卓再曝新漏洞:可远程致使用户无法接打电话

本周堪称是安卓设备的“黑色周”,几天前刚被爆出Stagefight媒体库上存在胜似“心脏滴血”的高危漏洞,这两天安全研究人员再曝可远程致使安卓设备无法正常接打电...

21110

扫码关注云+社区

领取腾讯云代金券