Vulnerability Management

弱點管理

HUI-MIN LAI
 報告大綱

 弱點稽核流程
 弱點風險計算
 弱點風險管理
 弱點管理的相關軟體介紹
 弱點稽核流程 (1/3)

資料來源 : 中華龍網電子報 http://www.dragonsoft.com.tw/

 弱點稽核流程 (2/3)

 了解企業網路架構
執行弱點稽核的第一步，就是對企業的網路環境先做個了解，確認網路架構中
提供了哪些網路服務及應用程式，並確定在執行弱點掃描前是否有其他需注意
與配合之事項。

 依據需求選擇掃描目標
評估有哪些主機、應用程式及網路設備要執行弱點掃描，若企業規模較大，則
建議採用多工排程功能進行分批掃描，檢測結果再透過 E-mail 通知、存檔
或匯入 ODBC 資料庫，可以節省網路頻寬的佔用及提昇弱點檢測的效率。

 選用適合的弱點評估工具
市面上有許多弱點評估 (VA) 工具， MIS 人員或資安委外廠商可依需求，選
用適合的弱點評估工具，並將弱點評估工具部署在企業網路環境上，在執行弱
點稽核作業前，先更新檢測模組與弱點資料庫，將弱點稽核功能發揮到極致。
 弱點稽核流程 (3/3)
 選擇適當的掃描政策，進行弱點掃描作業
依據目標主機的不同，選擇適當的掃描政策來進行弱點掃描，將加快掃描作業時間
，如：要進行 NT 網站的弱點檢測，則可以選擇 IIS 網站的安全政策，若要進行
SANS TOP 20 常見弱點檢測，則可以選擇其所屬的政策。

 分析弱點掃描結果
依據掃描後的結果，產生報表或自訂企業所需求的報表，如：前後次差異性報表，
並根據企業網路狀況，進行掃描結果的分析。

 弱點修補與安全漏洞之修正
企業可依弱點的嚴重程度及分佈狀況進行修補作業，風險性較高的弱點先進行修正
，風險較低的弱點亦需安排時程逐步完成修補，另外，有些弱點無法以更新軟體的
方式進行修正，則需以管理的方式將安全風險降到可接受的範圍。

 弱點掃描複檢作業
在完成弱點修補後，必需再進行一次弱點掃描的複檢作業，主要的目的是要確定弱
點是否已經正確地被修正。

 完成以上七個步驟才算是一次完整的弱點檢測流程。
 弱點風險計算 (1/2)

弱點風險 = 數位資料重要性 + 受攻擊可能性 + 攻擊難易度

( 資產等級 ) ( 威脅等級 ) ( 脆弱等級 )

資料來源 : 中華龍網電子報 http://www.dragonsoft.com.tw/

 弱點風險計算 (2/2)
 資產等級 :
數位資產所具備的等級，是依照環境中數位資料重要性來區分等級，越重要
等級越高，例如網路銀行對於客戶數位資料 ，是屬於重要的數位資產，它的
資產等級屬於較高等級。

 威脅等級 :
威脅等級是依照弱點所具備攻擊條件，帶來的攻擊可能性作為區分等級，受
到攻擊可能性越大等級越高，例如網路銀行交易時，每個用戶都具備權限，
才可以進行交易動作，當弱點所具備攻擊條件是必須要有使用權限才可以做
竄改資料動作時，除非先取得權限，否則無法利用這個弱點，去竄改資料，
它的威脅等級屬於中等級。

 脆弱等級 :
脆弱等級是依照弱點在進行攻擊時的難易度，作為區分等級的方式，越容易
攻擊脆弱程度越高，例如已具備網路銀行權限，在進行資料竄改時，只需要
很簡單的動作，就可以去做資料變更，這種的脆弱等級是屬於高等級。
弱點風險管理 (1/2)
 瞭解整體環境中存有多少弱點與分佈狀況 :
弱點風險管理第一步是瞭解網路環境中，總共有多少的弱點，與弱點
在哪裡，因為網路環境中所存在的弱點不會只有一個，瞭解整體弱點
存在狀況，才可以正確做好弱點風險管理。

 瞭解每個弱點風險，去評估整體風險狀況 :
弱點風險管理第二步是評估每一個弱點的風險等級，計算整體的風險
狀況，整體風險狀況是幫助我們瞭解目前整體環境，它存在風險有多
少，瞭解了整體弱點風險，到此就可以評估出網路弱點實際安全狀況。

 瞭解弱點存在類別，去評估需要特別加強弱點類型的維護 :
弱點風險管理第三步是瞭解弱點的類別，藉由弱點的類別，可以很清
楚知道，哪些種類的弱點，是整體環境中特別多，與需要加強防護。
弱點風險管理 (2/2)
 瞭解每台電腦弱點存在狀況 :
弱點風險管理第四步是瞭解每一台電腦中存在多少的弱點，藉由
這個瞭解可以知道哪些電腦是需要加強防護。

 安全修補的重點 :
弱點風險管理第五步是建立修補機制，在瞭解了整體狀況之後，
可依循輕重緩急的原則，先將特定的弱點類別與電腦先行做修補
的動作，將環境中高風險族群控制住，接著建立定期檢查與修補
維護機制，因為弱點是會不斷的被發現，唯有定期瞭解與修補，
弱點風險才可以控制到一定的安全基準中。
中華龍網 Dragonsoft Secure Scanner

 表示整個網路系統中有 74 個低風險的弱點，
125 個中等及 97 個高風險的弱點。
中華龍網 Dragonsoft Secure Scanner
中華龍網 Dragonsoft Secure Scanner
中華龍網 Dragonsoft Secure Scanner
中華龍網 Dragonsoft Secure Scanner
 中華龍網 Dragonsoft Secure Scanner

 提供檢測時的主機列表，包含 IP Address 、主機名稱、作業系

統、閘道、帳號、分享、通訊埠、弱點總數等資料。
 台灣電腦網路危機處理暨協調中心 (TWCERT/CC)

 弱點資料庫 ( Vulnerability Database )

 基於網路安全檢測系統 ( SAS ) 所建立的弱點資料庫
協助您了解各種弱點項目，並立刻檢測。
 全中文文化的弱點資料庫
弱點訊息全中文化，協助您了解弱點以及解決問題。
 高度可檢測性的弱點資料庫
所有的弱點項目都可以立即線上檢測，選擇弱點項目，立刻檢測 !
 完整的分類方式及進階服務
提供搜尋功能，並將逐漸提供更多分類方式，來協助您使用弱點
資料庫。

https://www.twcert.org.tw/tw/mp-1.html
台灣電腦網路危機處理暨協調中心 (TWCERT/CC)

 惡意檔案檢測服務

 https://viruscheck.tw/