在啟用漏洞管理程序后不久，企業(yè)往往會發(fā)現(xiàn)自己面臨著海量的網(wǎng)絡(luò)安全漏洞數(shù)據(jù)。掃描這些結(jié)果可能讓企業(yè)看到分布在各種不同的系統(tǒng)和應(yīng)用中的數(shù)百甚至數(shù)千個漏洞。

安全專業(yè)人員應(yīng)該如何解決這個風(fēng)險問題?在本文中，我們將研究一種三角叉式優(yōu)先級方案，其中整合了外部關(guān)鍵性評估、數(shù)據(jù)敏感度和現(xiàn)有控制環(huán)境來幫助企業(yè)成功地對漏洞進行評級，同時優(yōu)化整治工作。

這種三步驟過程是假定你已經(jīng)獲取了關(guān)于環(huán)境中存在的網(wǎng)絡(luò)安全漏洞的信息、由系統(tǒng)和應(yīng)用處理的信息的敏感度以及環(huán)境中現(xiàn)有安全控制的狀態(tài)。這些信息可能來自不同的漏洞管理程序，包括Web和網(wǎng)絡(luò)漏洞掃描器、數(shù)據(jù)丟失防護系統(tǒng)和配置管理軟件等。

步驟1：確定漏洞的嚴(yán)重程度

你首先需要的數(shù)據(jù)元素是評估你環(huán)境中存在的每個漏洞的嚴(yán)重程度。在很多情況下，你可以從漏洞管理工具供應(yīng)商的數(shù)據(jù)feed來獲取這種嚴(yán)重程度的信息。

這種嚴(yán)重程度評估應(yīng)該基于一個成功的漏洞利用可能造成的潛在的損害。例如，允許攻擊者獲取對系統(tǒng)的管理訪問權(quán)限的漏洞比導(dǎo)致拒絕服務(wù)的漏洞要嚴(yán)重得多。嚴(yán)重程度信息也可能會考慮現(xiàn)實世界中存在的漏洞利用;與沒有已知漏洞利用的理論漏洞相比，惡意軟件使用的漏洞更嚴(yán)重。

對于我們模型的目的，我們將假設(shè)你在使用具有5級漏洞評級系統(tǒng)的產(chǎn)品，其中，具有最高破壞性的漏洞被評為5級。

步驟2：確定數(shù)據(jù)的敏感度

漏洞帶來的風(fēng)險會因為包含該漏洞的系統(tǒng)上的信息的敏感程度而加倍。例如，與僅包含公開信息的系統(tǒng)相比，包含社會安全號碼或者信用卡數(shù)據(jù)的系統(tǒng)應(yīng)該得到更多的關(guān)注和更多保護。

然而，這并不意味著，企業(yè)只需要管理好包含敏感信息的系統(tǒng)，因為如果面向公眾的網(wǎng)站受到攻擊，你的企業(yè)將會遭受與敏感信息泄漏相同的聲譽損失。不過，敏感信息的存在確實放大了攻擊的影響力。

收集有關(guān)數(shù)據(jù)敏感度的信息可能會非常棘手，這取決于你的信息分類機制的成熟度。如果你才剛剛起步，你最好使用相對簡單的模型，根據(jù)數(shù)據(jù)的敏感度將數(shù)據(jù)分類：

高敏感度信息即受到嚴(yán)格監(jiān)管的信息，或者如果泄漏將對企業(yè)帶來嚴(yán)重破壞的數(shù)據(jù)。我們信息安全機制的“御寶”包含這些數(shù)據(jù)元素：信用卡數(shù)據(jù)、受保護的醫(yī)療信息和銀行賬戶詳細(xì)信息。

內(nèi)部信息是指不符合“高度敏感”類別但也不應(yīng)該被公開發(fā)布的信息。此類別可能看起來過于寬泛，它也是最難定義的類別。如果你沒有數(shù)據(jù)分類機制，將所有這些數(shù)據(jù)歸為一類是最合適的開始方式。如果企業(yè)需要分類，可以考慮以后再細(xì)分類別。

公開信息是指你的企業(yè)愿意透露給公眾的信息，例如產(chǎn)品文獻、你的公共網(wǎng)站上的數(shù)據(jù)以及發(fā)布的財務(wù)報表。

當(dāng)對系統(tǒng)進行數(shù)據(jù)敏感度評級時，你的評估應(yīng)該基于系統(tǒng)存儲或處理的信息的最高敏感度水平。處理高敏感度信息的系統(tǒng)被評為5級，而處理內(nèi)部信息的系統(tǒng)可能被評為2級、3級或3級，這取決于敏感度水平。所有其他系統(tǒng)都被評為1級。

步驟3：評估現(xiàn)有控制

這個過程的最后一步是評估現(xiàn)有控制—這些控制保護潛在易受攻擊的系統(tǒng)免受攻擊。根據(jù)你企業(yè)需要的具體控制的不同，你用來進行評級的方法也會有所不同。例如，如果你有一個高度安全的網(wǎng)絡(luò)用于極度敏感的系統(tǒng)，對于5級控制評級標(biāo)準(zhǔn)，你可能會將這些系統(tǒng)評為5級。同樣地，如果使用公共IP地址的系統(tǒng)可以通過互聯(lián)網(wǎng)從web應(yīng)用訪問，而沒有受到web應(yīng)用防火墻保護，這種系統(tǒng)可能被評為1級或者2級。你應(yīng)該選擇能夠準(zhǔn)確反映你的環(huán)境中預(yù)期控制的評級標(biāo)準(zhǔn)，然后對具有強大安全控制的系統(tǒng)評為較高等級。

整合這些數(shù)據(jù)

在收集了所有這些信息后，你可以利用它們來評估你的報告中出現(xiàn)的漏洞。而且，在你將所有這些數(shù)據(jù)收集在一起后，你可以對系統(tǒng)中存在的每個漏洞執(zhí)行下面這個簡單的計算：

風(fēng)險數(shù)=(漏洞嚴(yán)重程度*數(shù)據(jù)敏感度)/現(xiàn)有控制

如果每個選項都是5分制，這個漏洞評級范圍將是從最低0.2分(在僅包含公共信息的良好控制的系統(tǒng)中存在的的嚴(yán)重性漏洞)到最高25分(包含高敏感度信息而缺乏安全控制的系統(tǒng)中存在高嚴(yán)重性漏洞)。

雖然這看起來需要收集大量數(shù)據(jù)以及執(zhí)行大量計算，你可以找到方法來自動化這個過程并改進你的漏洞優(yōu)先級工作。例如，你可以創(chuàng)建一個數(shù)據(jù)庫來存儲關(guān)于所有服務(wù)器資產(chǎn)的數(shù)據(jù)敏感度和控制狀態(tài)信息。

同樣地，你可以利用腳本來分析供應(yīng)商報告，以自動化提取漏洞嚴(yán)重度信息，從數(shù)據(jù)庫中提取相關(guān)信息并計算風(fēng)險分?jǐn)?shù)。

我們有很多方法來為企業(yè)定制網(wǎng)絡(luò)安全漏洞優(yōu)先級系統(tǒng)。無論你做出怎樣的調(diào)整，對于任何想要降低IT安全風(fēng)險的企業(yè)而言，基于風(fēng)險優(yōu)先級決策的有效的漏洞管理程序都是一個必須因素。簡化用來執(zhí)行漏洞風(fēng)險分析的程序，讓企業(yè)更容易開始和維護這樣一個程序。