網(wǎng)站漏洞評估 怎么做網(wǎng)站安全評估

2016-06-17 16:39 作者：admin 瀏覽量：

　　對于最有安全意識的IT團隊來說，解決網(wǎng)絡攻擊的絕對數(shù)量和不斷變化等問題也是很令人頭疼的。這項工作要求深入地理解企業(yè)的風險和漏洞，以及最新的威脅和解決這些威脅的最有效的策略和技術。只有理解了企業(yè)的風險，企業(yè)才能夠把“好鋼用在刀刃上”：將有限的安全資金專門用于最重要的技術和策略。（服務器托管服務）

　　那么，公司如何用最有價值的安全信息來武裝自己呢?

　　許多網(wǎng)絡攻擊都利用基本的但常被人忽視的安全漏洞，例如不健全的補丁管理過程、弱口令、基于Web的個人郵件服務，缺乏對終端用戶的教育以及缺乏強健的安全策略等。這就使得有效的漏洞評估成為保護數(shù)據(jù)的關鍵一步。

　　即使最安全的網(wǎng)絡也有可能存在一些未知漏洞。漏洞掃描器是確認隱藏的網(wǎng)絡漏洞和主機漏洞的實用工具。但是，對許多企業(yè)說，漏洞評估是個技術活兒，并且其實施目的是為了合規(guī)，但與企業(yè)的業(yè)務風險沒有緊密聯(lián)系起來，與管理安全的預算決策也幾乎沒有關系。

　　漏洞評估一般都要確認成千上萬的漏洞，并且根據(jù)技術上的嚴重程度來對漏洞進行評級，卻沒有考慮受到影響的業(yè)務及過程。漏洞評估可能要建議多個補丁和升級程序，事實上用一個安全方案就可以解決上述所有問題。

　　但是，要想使漏洞評估更有成效，強健的安全策略就應當將漏洞對業(yè)務的影響、企業(yè)的總體安全策略、漏洞評估的結果聯(lián)系起來，使管理員不但可以理解真正的業(yè)務風險是什么，還能夠理解應當首先解決哪些漏洞，以及如何有效地解決漏洞。

　　漏洞評估人員應當能夠?qū)⒙┒丛u估與業(yè)務聯(lián)系起來。要從漏洞評估中獲得最大的好處，就要求評估者理解企業(yè)的關鍵業(yè)務過程，理解底層的基礎架構，并將這種理解應用到結果中。為確保有效性，漏洞評估應遵循如下步驟：

　　1.確認和理解業(yè)務過程

　　首先，評估者要確認和理解企業(yè)的業(yè)務過程，并重視那些關于合規(guī)、客戶私密、競爭等的關鍵且敏感的業(yè)務過程。在許多企業(yè)中，這要求IT與業(yè)務部門、財務部門、法律顧問等之間的協(xié)作。許多公司將安全策略團隊與每個部門的代表招集到一起，協(xié)同工作，分析業(yè)務過程及其依賴的信息和基礎架構。

　　2.查找業(yè)務過程所依賴的應用程序和數(shù)據(jù)

　　在根據(jù)任務的關鍵程度和敏感性確認了業(yè)務過程并確定了其優(yōu)先順序后，下一步就是確認這些關鍵過程所依賴的應用程序和數(shù)據(jù)。此任務仍然要通過IT和其它業(yè)務部門的協(xié)作來完成。通過廣泛的協(xié)作和討論，評估者就可以發(fā)現(xiàn)那些比預料的更加生死攸關的應用。例如，對某部門來說，電子郵件可能是絕對關鍵的，但對許多其它部門來說，卻并非如此。

　　3.發(fā)現(xiàn)隱藏的數(shù)據(jù)源

　　在尋找應用程序和數(shù)據(jù)源時，要確?？紤]到移動設備(如智能手機)及桌面PC等設備。這些設備往往包含著企業(yè)業(yè)務過程的最新和最敏感的數(shù)據(jù)。漏洞評估者要與業(yè)務部門合作，理解哪些人正在使用移動設備訪問和共享公司的應用和數(shù)據(jù)，理解在這些設備和數(shù)據(jù)中心的應用及存儲之間的數(shù)據(jù)流。要確認企業(yè)的用戶是否在通過公共的電子郵件服務發(fā)送業(yè)務郵件。還需要調(diào)查的另一個隱藏的問題是企業(yè)的軟件開發(fā)環(huán)境，因為它本來就比生產(chǎn)環(huán)境更不安全。軟件開發(fā)者和測試者往往使用最新的，有時甚至是關鍵數(shù)據(jù)來測試新應用和升級后的應用程序。

　　4.決定支持應用和數(shù)據(jù)的基礎硬件

　　評估者還要確認基礎架構層，確認運行關鍵業(yè)務應用的服務器(其中包含虛擬的和物理的)。對于Web和數(shù)據(jù)庫應用來說，評估者可能要考慮每個應用的至少三套服務器，即Web服務器、應用服務器、數(shù)據(jù)庫服務器。評估者要確認哪些設備保存著由這些應用程序使用的關鍵業(yè)務和敏感數(shù)據(jù)。

　　5.要詳細調(diào)查和確定連接硬件的網(wǎng)絡基礎架構

　　為了實現(xiàn)快速且安全的性能，評估者要理解路由器和應用程序、硬件賴以運行的其它網(wǎng)絡設備，要理解其相互的連接關系。

　　6.確認已經(jīng)部署了哪些控制

　　評估者要注意已經(jīng)部署的安全和業(yè)務連續(xù)性措施，其中包括策略、防火墻、應用防火墻、入侵檢測和防御系統(tǒng)、虛擬私有網(wǎng)絡(VPN)、數(shù)據(jù)泄露預防(DLP)、加密，等等，以便于保護每一種保存關鍵應用和數(shù)據(jù)的服務器和存儲設備。要理解這些保護的關鍵功能，以及這些保護可以最有效地解決哪些漏洞。這些工作可能要求廣泛調(diào)查，其中包括掃描網(wǎng)站、與安全公司的員工交流，等等。

　　7.運行漏洞掃描

　　在理解了應用程序和數(shù)據(jù)流及其底層的硬件、網(wǎng)絡基礎架構、保護機制等之后，就可以真正實施漏洞掃描了。

　　8.將業(yè)務和技術應用到掃描結果

　　掃描器可能會產(chǎn)生大量的有不同嚴重程度的漏洞，但是由于結果和評級是基于客觀衡量過程的，所以決定企業(yè)的業(yè)務和基礎架構的環(huán)境是很重要的。從漏洞數(shù)據(jù)中獲得有意義的和可操作的信息是非常復雜和困難的任務。在評估員工的知識水平和工作量后，評估者可能會認為，與一個精通安全和威脅評估的公司進行合作是很重要的。不管評估者是在公司內(nèi)部來評估，還是由外部人員評估，評估者都需要對結果進行分析，并決定應當首先解決哪些基礎架構的漏洞。在此，評估者需要考慮五個問題：

　　首先是漏洞所涉及的資產(chǎn)的數(shù)量和重要性

　　如果漏洞影響到多種不同的資產(chǎn)，尤其是那些涉及到關鍵任務過程的資產(chǎn)，評估者就應當立即全面的解決這個漏洞。另一方面，如果漏洞掃描器在基礎架構中找到了多個漏洞，而此基礎架構運行的是一些由少量用戶訪問的不太重要的應用程序，這些漏洞就不屬于需要迫切解決的漏洞。

　　已有控制

　　如果掃描所確認的漏洞影響到了已部署過多層保護的基礎架構，這些漏洞有可能已經(jīng)被已有的技術解決了。例如，如果在一個服務器或存儲設備上發(fā)現(xiàn)了一個受到應用防火墻、加密和其它措施保護的漏洞，尤其在數(shù)據(jù)的使用受到了嚴格的合規(guī)限制時，這個漏洞就不如測試和開發(fā)環(huán)境中保護程度不夠健全的基礎架構中的漏洞重要。很重要的一點是，要權衡漏洞的嚴重程度，并決定哪些漏洞會真正地將企業(yè)暴露給外部的網(wǎng)絡攻擊。

　　可用的安全技術

　　評估者的漏洞評估報告有可能提供了很多軟件補丁和升級建議，但是不斷地應用補丁和升級會消耗IT的大量時間和資源。還可能存在其它的更高效的安全技術。例如，對于跨站腳本攻擊漏洞，我們可以通過合理地部署WEB應用防火墻來解決，而不必不斷地給多個組件應用補丁和升級程序。問題的關鍵是，評估者要理解在實施某些安全技術和策略時，風險狀態(tài)會發(fā)生怎樣的改變。

　　位置

　　網(wǎng)絡攻擊經(jīng)常利用基礎架構中最薄弱的鏈條，并且這些薄弱的鏈條往往出現(xiàn)在分公司、移動設備(包括筆記本電腦、智能手機、平板電腦等)以及由銷售和營銷人員所使用的其它設備。如果掃描顯示在分公司或另一個基礎架構中存在大量漏洞，評估者就需要進一步調(diào)查和實施更多保護措施。

　　關注環(huán)境的重要性

　　只有將漏洞掃描的結果放在業(yè)務背景下，并且考慮已有的安全基礎架構時，漏洞掃描才會產(chǎn)生真正的價值。在分析評估結果時要牢記業(yè)務風險意識，并且將這種觀念應用到強健的安全策略的制定中，由此，CISO和其它的IT管理員才能幫助企業(yè)充分利用安全預算，并強化總體的安全和合規(guī)形勢。（it外包服務）