【安全牛学习笔记】漏洞概念

1.漏洞管理(信息维度)(1).信息收集

扫描发现网络IP、OS、服务、配置、漏洞能力需求:定义扫描方式内容和目标

(2).信息管理格式化信息,并进行筛选、分组、定义优先级

能力需求:资产分组、指定所有者、向所有者报告漏洞

(3).信息输出向不同层级的人群展示足够的信息量

能力需求:生成报告、导出数据、与SIEM集成2.弱点扫描类型

(1).主动扫描有身份验证(登陆到系统中进行扫描)

无身份验证(黑盒扫描)

(2).被动扫描镜像端口抓包

其他来源(嗅探)

(3).基于agent扫描平台有限

3.漏洞基本概念
(1).CVSS(Common Vulnerability Scoring System)

通用漏洞评分系统是安全内容自动化协议(SCAP)的一部分
分值 0-10行业公开标准,其被设计用来评测漏洞的严重程度帮助确定所需反应的紧急度和重要度

CVSS同CVE一同由美国国家漏洞库(NVD)发布并保持数据的更新(2).CVE(Common Vulnerabilities and Exposures)

为漏洞和暴露确定了唯一的名称以及一个标准化的描述实现更好的协同工作
MITRE公司负责维护
CVE发布流程

发现漏洞
CAN负责指定CVE ID
发布到CVE List —— CVE-2008-4250MITRE负责对内容进行编辑维护

(3).厂商漏洞库

微软 MS MSKB
CERT TA08-297A 计算机安全应急响应组
BID 31874 英政府
IAVM 2008-A-0081
OVAL OVAL6093 描述漏洞检测方法的机器可识别语言

(4).其他标准OVAL

描述漏洞检测方法的机器可识别语言详细的描述漏洞检测的技术细节,可导入自动化检测工具中实施漏洞检测工作OVAL使用XML语言描述,包含了严密的语法逻辑

CCE

描述软件配置缺陷的一种标准化格式

在信息安全风险评估中,配置缺陷的检测是一项重要内容,使用CCE可以让配置缺陷以标准的方式展现出来,便于配置缺陷评估的可量化操作。

CPE(Common Product Enumeration)信息技术产品、系统、软件包的结构化命名规范,分类命名

CWE(Common Weakness Enumeration)常见漏洞类型的字典,描述不同类型漏洞的特征(访问控制、信息泄露、拒绝服务)

(5).SCAP(Security Content Automation Protocol)

集合了多种安全标准框架

六个元素:CVE、OVAL、CCE、CPE、CVSS、XCCDF

目的是以标准的方法展示和操作安全数据

NIST(美国国家标准与技术研究院)维护

SCAP主要解决三个问题实现高层政策法规等到底层实施的落地(如FISMA,ISO27000系列)

将信息安全所涉及的各个要素标准化(如统一漏洞的命名及严重性度量)
将复杂的系统配置核查工作自动化

SCAP是当前美国比较成熟的一套信息安全评估标准体系,其标准化、自动化的思想对信息安全行业产生了深远的影响。

(6).NVD(National Vulnerability Database)

美国政府的漏洞管理标准数据完全基于SCAP框架实现自动化漏洞管理、安全测量、合规要求包含以下库

安全检查列表
软件安全漏洞
配置错误
产品名称
影响度量

https://nvd.nist.gov/

4.漏洞管理

周期性扫描跟踪漏洞

高危漏洞优先处理

扫描注意事项

漏洞管理三要素准确性

时间资源