安全管理实务之三：漏洞管理

　　有关安全漏洞的报道频频见诸报端。从操作系统到应用程序，从PC设备到网络设备，安全漏洞无处不在。近几年来，安全漏洞的数量呈现出激增之势。根据CERT报告，人们在2001年发现的安全漏洞有2437种，而在2002年仅上半年人们就发现了2148种之多。如此众多的安全漏洞是威胁互联网安全和企业网络安全的重要因素。尤其是当越来越多的企业把自己的关键业务和关键应用移植到网络上来时，管理和控制安全漏洞就成为这部分用户迫切需要解决的问题。毫无疑问，随着安全威胁数量的增加，漏洞管理将成为企业安全战略的标准内容。 　　

　　 安全管理实务之三

　　 漏洞管理

　　 边一 　　

　　 从产生原因上看，安全漏洞可以分为两大类，一种是操作系统、数据库、路由器、应用软件等本身所固有的；另一种是用户在组建企业网络时造成的，这是因为将缺乏集成性和互操作性的不同厂商的不同产品进行综合时，其结果必然会造成网络的复杂性加剧和漏洞增多。根据调查，约有80%以上的企业网络都存在明显的漏洞。　　

　　 漏洞管理工具

　　 对于第一类安全漏洞，人们可以查阅安全漏洞资料库，了解掌握相关信息。目前，权威的安全漏洞库通常包括安全漏洞资料、补救措施以及与之相关的技术文献等详细内容，但是最新漏洞的信息通常要等较长时间后才会被纳入漏洞库。对于第二类漏洞，人们必须借助相应的技术手段才能获得相关信息。

　　 发现安全漏洞，人们需要借助于安全漏洞评估软件。多数漏洞评估软件都可以正常运转，不断生成大量有关网络安全弱点的信息。但是随之而来的问题是，这些漏洞评估软件使用户得到海量的网络扫描数据，无法找出哪些安全问题才是最急需解决的问题，更不要说如何快速解决这些问题了。

　　 新兴的安全漏洞管理工具可以解决上述问题。Foundstone、Qualys、Symantec和Vigilinx等安全厂商都提供了特定的产品和服务，以帮助用户决定在扫描完系统之后应该怎么做。这些产品和服务可以确定哪些安全漏洞会影响用户的网络，哪些安全漏洞需要立即加以注意。

　　 对于安全漏洞，通过扫描认识它们仅仅是第一步。最重要的是，用户必须采取相应措施来控制它们。专家建议，人们根据安全漏洞给业务造成的风险程度来安排实施修补漏洞的优先顺序。 　　

　　 服务＋软件

　　 随着电子政务、电子商务的兴起和广泛应用，人们会把越来越多的关键业务和应用放在企业网络上。计算机网络与实际业务结合得越紧密，就会暴露出越来越多的安全漏洞。对付这些日益增多的安全漏洞，外包服务与安全漏洞评估软件相结合被认为是最有效的途径。

　　 网上银行在最近几年里获得了长足发展，一些金融机构开始利用无线自动柜员机和基于Web的家庭银行应用扩展网络。但是在实际操作当中，这些金融机构正在遭遇越来越多的安全漏洞。这些金融机构的信息主管知道，如果让一位员工全职从事安全漏洞扫描势必要承担很大的风险，主管们同时担心常规安全漏洞评估工具不能应付新的漏洞威胁。于是，一些金融机构决定试用由专业安全公司提供的漏洞管理工具和漏洞扫描服务。试用后，这些金融机构发现：漏洞扫描服务能够迅速评估报告的安全漏洞，确定机构面临的金融与运营风险；安全漏洞管理软件可以帮助金融机构立即解决高风险威胁，而且漏洞管理软件可以根据需要升级安全补丁，这给信息主管们带来了极大便利。

　　 相比以往采用非正规评估安全漏洞的被动方法，漏洞评估服务加漏洞管理软件使金融机构能够更主动地阻止入侵。例如，美国的一家信用社利用扫描工具，发现了入侵者可以得到内部口令字的漏洞，不用说，这家信用社立即堵住了这一漏洞，以每年仅为安全漏洞评估服务花费5万美元的代价避免不可估算的损失，要知道这家信用社保管着几十亿美元的会员存款。安全漏洞评估服务能够大大加快跟踪与修补安全漏洞的速度，对于网络上运营着关键业务的用户来说，投资安全漏洞管理是物有所值。 　　

　　 评估＋应急

　　 独立安全漏洞评估工具的基本价格范围从10万到50万美元不等，加上需要扫描的每个IP地址或设备的额外费用，用户用于漏洞评估的费用还要高一些。对于一些用户说，有必要投资购买安全漏洞评估管理工具。并且已经有许多用户借助安全漏洞管理工具成功地阻止了对其Unix和Windows NT服务器发起的混合攻击。

　　 漏洞评估管理工具可以连续审查网络和系统以找出安全漏洞，建议用户纠正错误并且跨平台生成详细报告，使信息主管及时了解发生在网络上的各种活动，警告人们注意各种安全事件、弱口令字和其他问题。在漏洞评估这种效率工具出现之前，网管员每天必须阅读成百上千个网络日志来查看是否出现了可疑活动，这是件令人难以忍受的苦差，许多网管员由于没有时间而只分析他认为是最关键的部分，因而让一些黑客有机可乘。

　　 也有一些公司的安全管理人员依靠来自部门级运营人员的零星报告来进行安全漏洞评估。有时，这种方法十分有效，但在更多时候，由零星报告产生的各种评估报告存在出入，无法进行统一分析。对于Motorola这种国际性的大公司，评估分布在全球47个国家、连接20万台设备的网络，显然不能采用这种局部漏洞评估方法，必须对整个网络进行统一扫描。由于网络规模巨大，Motorola用于扫描网络所花费的费用高得惊人。但是在漏洞扫描软件的帮助下，Motorola可以控制这一费用，因为这种软件可以识别哪种威胁风险最大。

　　 在找到安全漏洞并确定它们的风险程度之后，用户需要迅速对漏洞采取相应措施。组建应急智囊团是一些大型用户的通常作法。应急智囊团又被称为事故反应小组，通常是由防病毒、Internet安全、入侵检测、防火墙和多种操作系统等领域的专业人员组成。一旦发现安全漏洞并且这种漏洞会对公司网络造成严重威胁时，应急智囊团的专业人员就会被集合在一起，提供对策。