漏洞評估的 5 個有效技巧

在現今的資訊世代，企業組織愈來愈著重資訊安全，既要保護自身的敏感或具價值的數據，也要提防駭客及意圖不良者的惡意入侵。組織要有效預防籍著漏洞的騷擾，先要識別漏洞的存在，再採用相應的手段來堵截它們。在此之前，採用漏洞評估（Vulnerability assessment）是必不可少的。為了有效地使用漏洞評估，下文會提供數個技巧以提高其效能。

瞭解漏洞評估和滲透測試之間的區別

滲透測試是每年進行一次的，並產生相關報告及數據，以顯示組織基礎架構中的弱點。漏洞掃描是滲透測試的關鍵部分，也是網絡保安的重要手段，但許多企業只關注漏洞掃描。理想情況下，漏洞評估不僅僅是一次掃描。它是一個連續的過程。為組織提供了有關漏洞的知識，並讓人員得知組織面臨的相關風險。

在定義漏洞評估範圍時，從業務角度思考掌握資產管理

漏洞評估的關注除了是組織人員，安全運營中心（Security operation center）或安全工程師也是關鍵部分。除了處理技術問題，也要進行漏洞評估。評估時，所參考的角度須包含是如何看待公司的資產，這意味著公司是依靠哪些資產獲得收入。例如關鍵數據 — 如客戶或個人身份資訊是否存儲私有雲端（Private cloud）、公共雲端還是混合雲端？有哪些系統是公開？這些問題能協助評估人員有效地了解組織中的重要資產，制定相關政策以加強保護。在實踐中，組織只擁有一個漏洞掃描程式來覆蓋資產是不足夠的，有需要額外的工具來提升覆蓋面積，如端點安全（Endpoint security）、勒索軟件保護（Ransomware protection）等。

掌握資產管理

從技術上講，漏洞評估不應只針對IP位址或主機名清單提供的潛在漏洞，也需傾向儘快找到實際漏洞。畢竟這是一個漏洞評估，而花時間於匿名IP位址轉換為資產是值得的，但對於實際漏洞的搜尋遠遠不足。掌握實際漏洞可具備以下準則：

• 端點保護（Endpoint protection）識別，例如電腦、筆記型電腦、平板電腦、智能電話及伺服器等
• 添加資訊，例如人員敏感資料、系統持有人、地理位置等
• 考慮業務關鍵性，以組織評估和固定資產判斷出優先次序

規劃時混合不同的漏洞掃描工具

每項工具都有其優勢及缺點，不能在同一情況下劃一使用。漏洞掃描工具可分為兩種：憑據掃描和無憑據掃描。憑據掃描是指漏洞掃描程式需具有系統的憑據，從而獲得內部的視圖。反之，無憑據掃描是籍著外部視圖，而掃描潛在的攻擊者。通過訪問系統的漏洞掃描工具可得知是什麼系統、安裝了什麼軟體、正在運行的進程等等。

制定智能掃描策略

制定智能掃描策略也是人工智能應用（Artificial intelligence application）的一種，以提供快速且全面的漏洞掃描。既可執行快速掃描，提供的數據是較少，例如系統運行的資訊及其操作系統；也可以進行深入掃描，這需要時間較長，但會提供組織需要的資訊。但是，通過制定良好的智能掃描策略，可以獲得兩全其美的優勢。

使用漏洞評估，還可以進一步填補網絡安全服務（Network security service）之間的空白。而中信國際電訊則是數碼技術解決方案的代表，為了推動企業數碼化轉型，並聚焦業務核心問題及未來發展藍圖，致力提供快捷、精準、高效且具成本效益的各 IT 解決方案。憑藉全球各地的市場經驗，行業之間的應用，結合對客戶了解和紮實實力經驗， 加上跨地域的覆蓋，CPC 成為最可靠的 ICT 合作伙伴。