为什么要做漏洞扫描呢？-低调大师

为什么要做漏洞扫描呢？

2021-11-27 454

摘要：本文介绍做漏洞扫描的内外部驱动力。

本文分享自华为云社区《5W2H 分解漏洞扫描 - WHY》，作者： water^3 。

降低资产所面临的风险

我们知道，漏洞的典型特征：系统的缺陷/弱点、可能被威胁利用于违反安全策略、可能导致系统的安全性被破坏。从信息安全风险评估规范GB/T 20984可以知道，分析风险的计算公式为：总风险 = 威胁 * 漏洞(脆弱性) * 资产价值。由此可见漏洞是计算风险的重要变量，漏洞越严重，资产面临的风险越高。通过漏洞扫描及时发现漏洞，及时修复高危漏洞，能够有效降低资产的风险。

风险并非看不见摸不着的，漫漫历史长河里，风险的发生往往意味着大笔的钞票烟消云散。以2017年5月份爆发的WannaCry勒索病毒为例，它利用了微软公司MS17-010涉及到的SMBv1远程代码执行漏洞，最终150余个国家遭到攻击（幸免的国家，要么没有计算机，要么没有互联网），给全球造成逾80亿美元经济损失【引自路透社】。

如何防范这一攻击呢？最经济有效的方法就是给受漏洞影响的Windows系统打上安全补丁。哪些版本的Windows系统存在相关漏洞呢？事实上，2017年3月微软就已经通过它的官网对外披露了受影响的Windows系统列表以及修复相关漏洞的安全补丁，而业界主流的漏洞扫描工具也都在第一时间支持了对该漏洞的扫描。也即是说，那些做了漏洞扫描，及时发现并成功修复了MS17-010相关高危漏洞的Windows用户，能避免被WannaCry成功攻击。

随着信息化不断深入发展，接入公共网络的数据资产越来越丰富，在为人们打开日常生活方便之门的同时，由于其价值逐渐显现，对威胁也更具吸引力，进而导致了风险也越来越高。持续的风险评估逐渐成为了网络建设与运营的常态化行为。尤其对于底层关键信息基础设施的安全风险，各国家及关键行业也越来越关注，颁布相关法律和规范予以支撑和指引。

满足法律合规要求

2017年生效的中华人民共和国网络安全法，作为上位法，明确了中国实施网络安全等级保护制度。而在网络安全等级保护测评过程指南GB/T 28449-2018这一标准中，则明确给出了对于二/三/四级系统的测评要求，漏洞扫描无疑是已写入其中的重要组成部分。

2018年生效的欧盟的通用数据保护条例GDPR（General Data Protection Regulation）无疑是有海外业务的公司或组织最关注的网络安全立法。尽管从内容上来看，它更加强调个人隐私数据保护及数据主权。但是从数据控制者的义务来看，必须采取必要的技术手段确保个人数据的完整性及保密性【GDPR】。这意味着数据控制者必须持续评估并消减其业务系统中的漏洞以降低数据泄露或被破坏的风险。具体有哪些技术手段呢？漏洞扫描显然会是其中的重要组成部分。

从2004年发布第一个版本以来，银行卡行业数据保护标准PCI DSS（Payment Card Industry Data Security Standard）就要求行业参与者实施漏管理以保护应用安全和系统安全。10多年过去了，最新版本已经来到了2018年发布的v3.2.1，而漏洞扫描的要求一直都存在着并更加细化，由此可以看到它的重要性。

满足业界安全最佳实践及认证需求

信息技术安全评估通用标准ISO/IEC 15408 是计算机相关产品安全认证的国际标准，产品供应商可以委托第三方评估实验室评估其产品，若成功通过评估则会获得CC认证，而这通常也就意味着获得全球范围内的“通行许可证”。对产品的安全评估等级由低到高可以分为 EAL1~EAL7，最低等级的EAL1包含最少的保障过程。即便如此，漏洞评估也包含在EAL1范围内，因为它最为基础和有效。

此外还有如CIS（Center for Internet Security）广为人知，其提出的的CIS Critical Security Controls(通用安全控制框架)以及CIS Benchmark(安全配置基线)被很多大型公司参考引用，作为实施网络安全的最佳实践。在其安全控制框架中的第7条，则是明确提出了需要持续的进行漏洞管理。如何做呢？对于安全要求级别高的用户，自动化的内网及外网漏洞扫描当然是必不可少的。

文末福利：华为云漏洞扫描服务 VSS 基础版限时免费体验>>>

点击关注，第一时间了解华为云新鲜技术~

微信关注我们

原文链接：https://my.oschina.net/u/4526289/blog/5329414

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

技术解析+代码实战，带你入门华为云政务区块链平台

摘要：政务区块链平台是行业区块链平台的初步实践，未来在区块链技术的发展下，还会打造面向其他领域的链管平台，构建多方协同的分布式账本，让区块链应用更便捷高效的为产业服务。本文分享自华为云社区《技术解析+代码实战，带你入门华为云政务区块链平台》，作者：敏捷的小智。 1、行业区块链平台诞生背景互联网时代下，区块链作为一种分布式的公开账本，具有去中心化、开放匿名、不可伪造篡改等特点，凭借其独特的信任机制和信息传递技术，在金融、医疗、教育等各个领域都有着广泛的应用，推动着科技领域的变革。传统BaaS(Blockchain as a Service)平台将区块链集成为云服务提供给客户，想比于PaaS平台而言，充分利用了云计算的弹性、稳定性和灵活性；而行业区块链平台又是在BaaS平台之上的区块链中台应用，在业界标准不统一、架构参差不齐的大背景下，充分屏蔽了底层链在模型和部署流程上的差异，进一步节省了用户部署业务和应用的成本，实现了跨云服务的一站式异构链管理。即便是技术薄弱的用户也可通过此平台实现快速统一的规划建站，满足各类业务需求，解决了区块链技术人才短缺、运维人力成本高的难题。 2、政务区块...

2021-11-27

516

最近， Github发布了它每年一度的分析报告，https://octoverse.github.com/，内容很丰富，国内各大技术媒体也都有相关的报道，他们各有各的解读，有的是从中美开发者数量来解读，例如中国开发者数量约为700万；有的是从开发语言流行度来解读，比如最流行的开发语言还是JavaScript。我现在想从另外一个角度来解读这份报告，即documentation 文档。这份报告里面有一个特定的部分是描述文档相关的统计情况和发展趋势。我们来仔细看一看。首先是概述，repo中的Readme，Contribution guidelines and issues 是一个开源项目的秘密，保持它们update to date、detail、reliable，能提升开发人员50%的生产力。我们先来看Readme文档部分，Report的overview中提到readme文档的重要性。从统计图能看出，85%以上的开源项目都有了Readme文档。然后我们来看Contribution Guidelines，显然越来越多的开源项目中有这份文档。之后，...

2021-11-27

704

资源下载

更多资源

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。