什么是漏洞评估？ {漏洞测试指南}

网络犯罪分子经常通过安全人员未能及时发现和修补的漏洞来攻击公司。虽然这些弱点通常很小且容易被忽视，但它们提供了一个后门，使黑客能够在不被注意的情况下潜入并造成代价高昂的破坏。

本文是漏洞评估简介，这是发现系统缺陷最有效、最经济的技术之一。继续阅读，了解漏洞评估如何帮助检测系统故障、评估风险并提高整体网络安全。

什么是漏洞评估？

漏洞评估是对 IT 系统的系统审查，用于发现、分类和确定安全缺陷的优先级。这种类型的分析有三个目标：

• 评估系统是否存在可利用的缺陷。
• 为每个漏洞分配风险级别。
• 建议采取措施防止黑客利用这些弱点。

漏洞评估的其他常见名称是漏洞分析和漏洞测试。

该测试的主要目标是在黑客破坏系统之前发现可利用的错误和弱点。因此，它被认为是铁定的信息安全风险管理系统的核心组件。大多数缺陷是代码中的错误、软件架构中的缺陷以及安全程序中的错误。常见漏洞的示例有：

• 系统配置错误。
• 允许 SQL 注入的数据库弱点。
• 缺乏谨慎的员工行为。
• 不遵守政策的错误。
• 通过网络传输的未加密数据。
• 软件或编程接口中的错误。
• 一种恶意后门程序，允许黑客管理 APT 攻击或设置勒索软件。
• 自动执行脚本，无需病毒和恶意软件检查。
• 帐户权限存在缺陷。
• 一种可利用的身份验证机制。
• 未打补丁的操作系统和应用程序。
• 弱密码。
• 零日漏洞利用。

企业和中小企业都可以从漏洞测试中受益。公司通常每年或每当团队做出重大改变时进行评估，例如：

• 添加新服务。
• 开放新港口。
• 安装新设备。
• 在新地点开设办事处。
• 迁移到云端。

希望组织漏洞测试的公司有两种选择：让内部员工进行测试或聘请第三方来评估系统。虽然与内部团队合作是更便宜的选择，但最好的结果来自不熟悉主题系统及其协议的测试人员。

漏洞评估的类型

企业依靠不同类型的漏洞测试来发现系统缺陷。根据所审查的基础设施领域，测试分为三种类型：

• 外部扫描：检查直接面向互联网且可供外部用户使用的组件（端口、网络、网站、应用程序等）。
• 内部扫描：检查仅供员工访问的内部网络和系统。
• 环境扫描：这些测试侧重于特定的操作技术，例如云部署、物联网或移动设备。

以下是四种最常见的漏洞评估类型。

网络评估

网络评估扫描可识别网络安全可能面临的威胁。测试人员检查集线器、交换机、路由器、集群和服务器，以确保网络可访问资源免受恶意攻击。

网络测试是最常见的漏洞扫描类型。此扫描可确保网络、通信通道和所有网络设备的安全。

网络评估还可以检测无线网络中的漏洞。这些扫描通常侧重于潜在的攻击点、配置错误和不良的防火墙设置。

主机评估

此分析对工作站、笔记本电脑和其他主机中的漏洞进行定位和分类。主机扫描检查：

• 主机配置。
• 用户目录。
• 文件系统。
• 内存设置。

主机评估可确保端点内的错误配置不会让攻击者穿过边界并破坏系统。

应用程序扫描

应用程序扫描可检测软件缺陷以及网络应用程序及其源代码的错误配置。应用程序扫描有两种常见形式：

• 动态应用程序安全测试 (DAST)：此测试技术执行应用程序并实时检测缺陷。
• 静态应用程序安全测试 (SAST)：此分析可在不运行程序的情况下识别应用程序缺陷。

这两种方法以不同的方式测试应用程序，并且在软件开发生命周期 (SDLC) 的不同阶段更有效。例如，SAST 在 SDLC 的早期发现诸如跨站脚本 (XSS) 之类的缺陷，而 DAST 在应用程序进入生产时更有用。

数据库扫描

数据库扫描可识别数据库中的潜在漏洞。这些测试可以发现错误配置、恶意数据库以及不安全的开发和测试环境。数据库扫描对于防止 SQL 注入至关重要。

如何进行漏洞评估？

典型的漏洞测试由五个步骤组成，在此期间团队检查系统、评估风险并提出改进建议。

第 1 步：初步准备

这一步是规划阶段。团队决定即将进行的测试的范围和目标。一旦计划准备好，测试人员就会检查测试环境中的硬件和软件。该团队执行以下任务：

• 识别所有主题资产和关键设备。
• 定义所有主题系统的价值、访问控制和功能。
• 确定敏感数据所在的位置以及数据在系统之间的移动方式。
• 记录目标设备的所有服务、进程和开放端口。
• 映射所有端点。
• 检查操作系统 (OS)。
• 了解每个环境的风险缓解实践和政策。

此步骤中的信息有助于团队提出攻击场景并制定合理的补救策略。测试团队通常会制定一个中心文档来构建此步骤中的流程。

第2步：漏洞评估测试

团队开始对目标设备和环境进行扫描。分析师使用自动和手动工具来测试系统的安全健康状况。团队还依赖以下资产来准确识别缺陷：

• 漏洞数据库。
• 供应商漏洞公告。
• 资产管理系统。
• 威胁情报。
• 网络安全审计。

测试人员需要确定他们发现的每个漏洞的根本原因。确定缺陷的根本原因可以让测试人员了解漏洞的范围以及解决问题的最佳方法。

根据目标系统的大小和扫描类型，单个测试可能需要一分钟到几个小时。

第 3 步：确定系统缺陷的优先级

团队根据威胁级别对缺陷进行优先级排序。大多数测试人员通过分配严重性分数来确定风险。影响分数的一些因素是：

• 潜在攻击的后果。
• 利用这个弱点是多么容易。
• 问题的年龄。
• 该缺陷是常见问题还是罕见问题。
• 横向移动的空间。
• 业务功能和敏感数据面临风险。
• 补丁可用性。
• 过错是否属于公众知情的问题。

团队还必须确保在此步骤中过滤掉误报。当扫描工具错误地标记安全缺陷时，就会发生误报，从而导致不必要的修复工作。

第 4 步：创建漏洞评估报告

测试人员编写一份分析报告，概述未发现的缺陷并指导如何解决问题。虽然小问题不需要深入解释，但测试人员应该为每个中到高风险的弱点提供以下信息：

• 漏洞的名称。
• 发现日期。
• 团队发现威胁的方法。
• 缺陷的详细描述。
• 有关受影响系统的详细信息。
• 攻击者利用该缺陷可能造成的潜在损害。
• 有关如何修复漏洞的说明。

量化威胁可以清楚地了解每个缺陷背后的紧急程度。如果可能，团队还应该为每个重要漏洞提供概念验证 (PoC)。

第 5 步：根据报告实施变更

该公司利用报告中的信息来弥补 IT 系统内的安全漏洞。变更的实施通常是安全人员、开发和运营团队之间的共同努力。

风险排名使公司能够确定修复过程的优先顺序并首先处理紧急威胁。忽略低风险缺陷也很常见，因为某些威胁的影响很小，以至于修复它们不值得花费成本或必要的停机时间。

最常见的补救措施是：

• 引入新的程序和措施。
• 安装新的安全工具。
• 软件更新。
• 定制补丁。
• 添加零信任安全性。
• 操作和配置更改。
• 网络分段。
• 防火墙更新。
• 网络杀伤链的改进。

根据安排，运行漏洞测试的受雇团队可以参与此步骤。

如果团队对系统进行重大更改，则强烈建议进行后续测试。如果团队仅添加较小的更新，则下一轮定期测试可以评估改进后的系统的运行状况。

漏洞评估工具

漏洞评估涉及使用自动和手动测试技术。常见的工具类型包括：

• Web 应用程序扫描仪模拟不同的攻击模式来测试网络防御。
• 搜索不安全进程、端口和服务的协议扫描器。
• 网络扫描仪可发现杂散 IP 地址、可疑数据包生成和欺骗数据包等缺陷。

为什么漏洞评估很重要？

漏洞扫描使公司能够确保采用一致且全面的策略来识别和解决网络威胁。彻底、定期的安全检查可以为企业带来显着的好处，包括：

• 及早发现 IT 弱点。
• 保护敏感数据和资产。
• 确保遵守 HIPPA、PCI 和 GDPR 等法规。
• 防止未经授权的访问。
• 准确的业务规划允许谨慎的安全投资。

评估可以降低数据泄露成功的可能性，对于防范所有主要类型的网络攻击至关重要。

漏洞评估与渗透测试

漏洞分析和渗透测试都可以检测IT系统内的弱点并提高整体安全水平。默认情况下，渗透测试通常还包括漏洞扫描。

然而，两种测试过程之间存在差异。漏洞扫描试图检测和减轻系统缺陷，而笔测试涉及利用弱点的实际尝试。笔测试人员（或道德黑客）通过在受控环境中模拟真实的网络攻击来积极尝试闯入系统。目标是证明：

• 系统有一个可利用的弱点。
• 攻击者可以利用该漏洞破坏系统。

漏洞扫描还可以包括小规模笔测试。分析师使用渗透测试工具来检测标准网络或系统扫描不可见的特定缺陷。

漏洞评估与风险评估？

漏洞评估发现、量化 IT 环境中的弱点并确定其优先级。相比之下，风险评估评估某些缺陷和威胁行为者导致暴露或数据丢失的可能性。

漏洞扫描的范围比风险评估更大。完整的分析不仅可以评估违规的可能性，还可以处理潜在的后果和避免未来发生事件的策略。

确保高系统弹性弹性

漏洞测试是任何坚如磐石的 IT 安全策略的重要组成部分。安排对所有关键系统进行定期扫描，以最大限度地降低代价高昂的违规风险并确保业务不间断增长。

为了安心，还可以考虑将敏感工作负载迁移到最安全的云平台。 Data Security Cloud 是与 Intel^® 和 VMware^® 合作构建的多租户、安全托管云基础设施平台。