【.com快译】作为企业IT安全管理员，您最重要的工作之一一定离不开全面的漏洞管理。即全面评估、报告和缓解企业内部技术栈中的各种安全弱点和网络威胁。面对如此复杂的工作，我们往往需要借助自动化的漏洞扫描程序来更高效地识别潜在弱点，实现对漏洞的基本管理。原则上，漏洞扫描应用程序将帮助团队首先创建连接到企业内网的所有系统和设备的清单，然后它会记录清单中的操作系统、目标软件和各种组件的详细信息，最后是一个由一实施安全管理。下面，我们将深入探讨为什么组织使用自动漏洞扫描、可用的各种扫描机制以及当今可用的一些最流行的自动漏洞扫描工具。1.自动化漏洞扫描的基本原理如上所述，漏洞扫描工具可以识别网络中的各种资产，包括：服务器、笔记本电脑、防火墙、打印机和应用程序容器，并不断收集它们的具体操作细节。同时，此类扫描工具结合了审计、日志记录、威胁建模、报告和修复等功能，并在此基础上允许企业随时评估自身的安全态势。除了经常被认为是企业网络安全的优秀实践之外，各国的政府法规和行业标准通常要求企业使用漏洞扫描工具来确保数据得到安全保护。虽然不同行业的具体实现用例可能不同，但采用自动化漏洞扫描方式一般可以为企业带来以下好处：1、主动安全针对黑客通常以应用服务的漏洞为切入点对于入侵系统，自动化漏洞扫描工具使安全团队能够在各种漏洞被利用并危及企业现有资产之前报告和修复这些漏洞。2.风险评估定期执行漏洞扫描将使IT和安全团队能够掌握为当前系统实施的安全控制的有效性。而且，安全专家在完成某些错误和漏洞的修复后，还可以再次进行扫描，评估整体的改善效果。3.降低成本和开发时间显然，自动化扫描可以通过无缝执行测试来消除各种耗时耗力的手动操作。此外，漏洞扫描工具可以减少开发周期和修复漏洞的高成本。4.合规性行业内的各种合规性法律通常要求公司遵循适当的技术和安全措施以妥善处理其持有的数据。此类合规标准包括熟悉的标准：通用数据保护条例(GDPR)、健康信息隐私和责任法案(HIPAA)以及支付卡行业数据安全标准(PCI-DSS)等。2.漏洞管理的流程为了将攻击的潜在威胁降到最低，我们可以通过以下流程来实现漏洞的检测和管理：1.漏洞识别企业可以使用各种工具，依托最新的漏洞数据库和威胁情报技术，识别系统组件上的漏洞并创建要修复的组件列表。漏洞扫描工具可以依靠实时和完整的监控功能，在威胁攻击时立即识别出来。2.风险评估一旦发现漏洞，我们需要根据漏洞的时效性特征和固有危害，使用评级系统对其影响进行评估，然后对其进行优先级加权。以此为基础，管理团队可以根据风险的严重程度，确定需要实施的补丁的优先级，进而实施有效的修复。3.修复根据漏洞的优先级，安全专家开始规划和准备加强监控、限制访问高危子系统等修复措施，在应用补丁之前从系统和组件层面防范可能存在的漏洞被释放。攻击。4.报告我们记录并报告已处理的漏洞，以及应用程序的补救措施，以展示企业对安全状况的意识和控制。同时，各项合规要求也需要通过报告得到公司问责体系的背书。三、自动化漏洞扫描的种类1、内部漏洞扫描内部扫描机制主要针对企业内部网络。扫描工具可识别系统内的各种攻击媒介，包括恶意员工造成的漏洞和威胁。2.外部漏洞扫描外部扫描机制主要针对暴露在外部网络（如互联网）的IT系统，包括：面向外部的应用、网络、服务、端口、网站等。此类扫描工具专注于客户和其他外部用户访问目标系统时可能出现的漏洞和威胁。3、扫描认证成功扫描认证成功（即持有信任凭证）主要针对企业内部IT系统，检查在安全环境下登录的受信任用户的行为。扫描身份验证失败（即没有或错误的凭据）虽然无法干预对系统的可信访问，但可以从外部攻击者的角度提供有价值的安全洞察力。4、自动化漏洞扫描工具的选择目前，安全测试市场上的漏洞扫描工具种类繁多。下面我们就来探讨一下工具选择过程中需要考虑的因素和注意事项。5.漏洞扫描覆盖率一般来说，虽然各种漏洞扫描工具都具备基本的漏洞识别能力，但我们还是希望所选择的工具能够降低搭建安全监控的成本和复杂度。这不仅保证了广泛的扫描覆盖范围，还避免了安全团队必须为某些安全盲点实施的额外集成。6、Web技术栈的覆盖大多数漏洞扫描器一旦启动，就会对整个Web应用进行爬取，了解完整的系统架构及其安全状况。然而，这个目标通常需要基于识别Web应用程序的每个表单、页面和组件元素。作为一个合适的漏洞扫描工具，它应该能够跨多个开发栈、框架和部署环境进行识别，以便有效地管理漏洞。7.易用性作为一个复杂而全面的扫描过程，漏洞管理工具显然需要对企业的网络、设备和服务有深入的洞察。但是，我们不能保证企业中的每一位安全运维人员都有足够的基础知识，能够执行和判断漏洞扫描。因此，漏洞扫描工具应该提前抽象和简化所有涉及收集、识别和检测威胁的手工工作，以便运维团队可以更专注于一些特殊的异常活动。8、速度和扫描质量鉴于安全威胁的突发性和传播性，漏洞扫描工具应该能够根据各种应用程序的运行状态，在短时间内不断识别和刷新已发现漏洞列表网络资源。同时，该工具应该能够最大限度地减少误报，以确保漏洞扫描报告的质量。9.合规性某些高需求行业（例如，医疗保健、金融和国防）通常需要更深入的漏洞评估和报告以满足法规配置合规性。对此，他们往往需要根据HIPAA、GDFR和ISO等监管机构倡导的安全实施标准来选择扫描工具。10、修复建议对于一些全自动化运维的企业，往往希望扫描工具能够对常见的漏洞提供自动修复方案，同时对更复杂的漏洞提供合理的措施。这对于那些跨职能团队来说非常实用。毕竟，安全是整个企业的共同责任。4.自动化漏洞扫描工具的类型我们可以将自动化漏洞扫描工具按照运行方式和运行环境分为以下几类：1.基于网络的扫描，在外部网络设备上的安全态势。目标是使安全团队能够识别网络周边可能存在的攻击面。2、基于主机的扫描基于主机的漏洞扫描工具可以协助安全团队识别内网各种主机（包括工作站、服务器和笔记本电脑）上可能被“爬取”的系统类型、补丁历史、配置信息，以及未经身份验证的攻击者获得系统访问权限的可能性和损害。3、无线扫描扫描企业无线网络，检测可能被恶意攻击的接入点，验证WiFi网络的安全状况。五、应用程序漏洞扫描工具此类扫描器包括：动态应用程序安全测试（DAST）、交互式应用程序安全测试（IAST）、静态应用程序安全测试（StaticApplicationSecurityTests，SAST）和运行时应用程序自我保护（RuntimeApplicationSelf-Protection,RASP)等各类工具。1.数据库扫描工具大多数网络应用程序都依赖数据库来存储关键信息。数据库扫描工具可以识别典型数据库管理系统(DBMS)中的漏洞，例如SQL注入攻击。2.流行的自动化漏洞扫描工具列表CrashtestSecuritySuite这是一个端到端的DevSecOps工具链，可以与Web应用程序、Javascript和API测试平台无缝集成。CrashtestSecurity在确保更安全的发布和部署的同时，通过参考OWASPTop10基准实现了较低的误报率（包括误报和漏报）。同时，它可以提供各种用户友好格式的输出、准确的报告和实用的维修建议。Netsparker是一个包含多种可用于漏洞评估的集成和安全解决方案的平台，实现了漏洞的自主快速检测和描述，并及时提供修复意见报告。Acunetix是一款Web应用安全扫描工具，提供付费版和开源版，最多可扫描6500种漏洞。Acunetix可以通过对大型网络和应用程序执行自动扫描，为运营团队提供深入的见解。Metasploit的开源Metasploit框架，通过渗透测试和入侵检测，发现整个基础设施中的系统级漏洞，从而改善企业的安全态势。同时，Metasploit还可以进行定制以满足各种Web应用的特定安全需求。作为另一种开源漏洞扫描工具，Nmap可用于发现操作系统和网络主机中的各种漏洞。IBMSecurityQRadar是一个功能丰富的安全智能平台，使运营团队能够快速识别、分析和修复各种潜在威胁。该平台的人工智能技术可用于检测可能的新威胁和模型事件，并及时提供补救建议。NessusProfessionalNessus是一个全面的漏洞评估和配置管理平台。通过扫描各种漏洞，主动保护目标网络免受各种攻击。BurpSuiteBurpSuite是PortSwigger开发的Web应用安全测试解决方案，可以通过自动化扫描的方式协助企业对抗各种零日威胁（zero-daythreats）。同时，该套件还可以利用渗透测试功能识别各种SQLi攻击对Web服务器的影响。6.总结一般来说，自动化漏洞扫描工具包括各种可定制的高级测试用例，可用于扫描应用环境中各种潜在的漏洞，并以详细报告的形式提供相应的修复建议。其自动化特性也免去了运维人员繁琐的手工工作。因此，我们可以通过选择合适的工具为企业构建良好的安全态势。原标题：自动化漏洞扫描器指南：类型、优势等，作者：SudipSengupta
