脆弱性管理和评估跟踪解决方案
脆弱性管理和评估跟踪解决方案
提问于 2019-01-07 18:40:12
您的公司如何跟踪在接收漏洞扫描报告和修补漏洞之间发生的漏洞管理信息？
给出了以下示例：
Scan A detects
Vuln 1
Vuln 2
Vuln 3您决定不补救外阴2和3，但您确实补救了外阴1。在稍后的日期，您进行另一次扫描(扫描B)：
Scan B detects
Vuln 2
Vuln 3
Vuln 4将漏洞信息与补救决定(无论是否进行补救)一起放入大型主电子表格中，并手动更新它将允许您跟踪漏洞决策，因此您不会不断地从扫描到扫描重新评估相同的漏洞(在上面的示例中是第2和第3种漏洞)。
是否有一个包含扫描发现的漏洞相关信息的大型主电子表格(目标、漏洞、风险等级、补救决策说明等)是常见的做法？这是手动更新漏洞扫描，还是有其他常见的做法或众所周知的工具(S)，做一个更好的工作跟踪这些信息？
回答 3
Security用户
发布于 2019-01-07 19:10:13
我正在使用数据库(基于mysql和PHP)。它更有价值，更易于维护。我不喜欢使用excel电子表格。因此，我有数据库和更新是手动完成的。
您提到的所有属性都包含在我的数据库中，此外，我还添加了如何进行补救或为什么没有进行补救。
以下是脆弱性记录的最佳做法。
- 记录有关漏洞的所有相关详细信息并采取补救措施。
- 每季度至少进行一次漏洞评估，并与先前的结果进行比较。
- 根据第二行，您的记录应该能够与先前的结果进行比较。因此DB比excel表更有用。
- 用不同的方法做VA，所有细节都需要单独记录。
- 记录分析是非常重要的，同样，数据库比excel表更有帮助。
- 当您进行审核时，需要毫不延迟地访问结果，而且数据库将提供比excel工作表更灵活的可访问性。
- 重要的是，漏洞扫描结果是非常敏感和机密的数据。它需要存储在高安全的环境中。数据库将提供比excel工作表更高的安全环境。
Security用户
发布于 2019-01-08 19:39:50
Salesforce有一个名为VulnReport的开源项目，您可能会对此感兴趣。虽然这个项目的目标更多是针对最具代表性的报告，但我可以想象它可以用来实现你上面描述的目标。
Security用户
发布于 2019-01-09 09:08:07
我们将在票务系统中创建一个任务来跟踪该漏洞，并在漏洞修复后关闭该项目。
显然，您可以根据使用的TVM应用程序的不同，从过去的扫描历史中搜索已经修复的漏洞。内苏斯有这种能力。Qualys还可以列出所有固定的漏洞。
页面原文内容由Security提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://security.stackexchange.com/questions/200986
复制相关文章
相似问题
腾讯云开发者
