漏洞管理
最后更新于
这有帮助吗？
最后更新于
这有帮助吗？
计算机安全隐患(vulnerability)俗称漏洞(security hole)，指计算机系统安全方面的缺陷，使得系统或其它应用数据的保密性、完整性、可用性、访问控制和监测机制等面临威胁。
漏洞管理就是领先漏洞一步，让修复更频繁更有效的一个过程。
当公司业务较少时，一个表格就可以处理完漏洞管理的流程。但是当业务系统增多，安全报告增大时就需要一个好的漏洞管理工具来进行管理。
抛一个问题：安全测试团队到底应不应该为漏洞数量负责，如果需要负责，那么多好还是少好？
内部安全团队发现：通过安全扫描、安全测试等手段发现漏洞；
内部非安全团队发现：工作过程中发现的安全问题；
外部发现：众测平台、安全服务、个人提交；
漏洞如何与具体业务关联
当公司规模较小沟通靠嗓门的时候不用考虑这个问题，而且业务团队划分也没有很清晰所以这个时候可以直接丢给业务方让他们安排修复。当公司达到一定规模业务增多的时候，我们如果单纯依靠人力来找漏洞属于哪个业务是很费力的，这个时候我们其实很需要安全的资产管理来直接定位到业务方，再来找到关联的人，当然安全资产管理不是本篇的讨论，后面会有一篇专门来介绍。
解决方案：漏洞管理系统与资产管理系统部分数据打通。
确保漏洞修复完成
在很多公司遇到过一个情况：严重高危的漏洞还好，但是经常出现中低危的漏洞提交一个月甚至半年没有修复。
解决方案：安全语业务统一制定一个漏洞生命周期管理标准，不同等级的漏洞修复时间是多久。
漏洞报告的留存
企业内部需要对漏洞有一个清晰的整理归档来作为数据纬度展示公司安全发展的状态。安全测试人员发现漏洞需要邮件给业务方，并且需要使用Excel来总结，当测试人员很多时，还需要做一个汇总，这些都会造成更多的不便。
解决方案：漏洞管理平台需要对不同时间段提交的不同漏洞等级进行数据量化。
同一个业务团队负责的产品中多次出现同样的漏洞
解决方案：业务团队自身的不断整理与总结，安全团队对业务团队进行安全培训（可以结合在SDL中进行）。
漏洞审核人力DoS
如果企业在一些类似SRC的平台，由于目前白帽子水平层次不齐，经常会提交一些bug作为漏洞，或者故意提高漏洞等级，SRC平台在处理这些时与白帽子发生争执产生的人力消耗。
解决方案：待解决
备注：本节内容引用自安全漏洞生命周期的理解，非原创
从产品角度理解安全漏洞生命周期
从信息系统角度理解安全漏洞生命周期
从安全攻防角度理解安全漏洞生命周期
对于企业，我们应该关注与企业内部相关，甚至关注我们所使用的产品、服务相关的漏洞。从漏洞爆发、漏洞传播、漏洞利用工具传播到漏洞修复整个流程中，我们应该思考如下几个问题：
乙方产品的漏洞生命周期管理
开源产品的漏洞生命周期管理
The Five Stages of Vulnerability Management
