网络安全的 10 个步骤之漏洞管理
国庆快乐，
假期最后一天，
祝愿大家归家路上一路畅通！
在整个生命周期内保护系统。
大多数网络安全事件是攻击者利用公开披露的漏洞来访问系统和网络的结果。一旦漏洞被披露，攻击者通常会不加选择地寻求利用漏洞。因此，尽快安装安全更新以保护组织非常重要（并且对于任何可从 Internet 进行利用的系统都是必不可少的）。有些漏洞可能更难修复，而良好的漏洞管理流程将帮助了解哪些漏洞最严重且需要首先解决。
有什么好处？
随着新漏洞的出现，有信心保护组织系统和数据
能够评估不易修复的漏洞并确定其优先级
减少成为与合作的其他组织的进一步感染源的机会
该怎么办？
保持系统更新
在可行的情况下启用操作系统和软件的自动更新。通过交错更新来限制有问题的更新的影响，并提供可用的回滚策略。
利用管理服务，例如软件即服务解决方案，这些服务来自在保持服务更新方面有着良好记录的供应商，以减轻管理负担。
监控设备的更新状态并了解更新何时可能失败。例如，如果设备需要连接到 Wi-Fi、连接到电源、在一天中的特定时间开机、需要足够的存储空间、不太过时和/或需要手动重启。
确保所有系统都有软件更新策略。对于未自动更新的设备，这应详细说明应用更新的方式和时间，以及谁负责执行和检查更新。该策略应考虑系统可用性要求和相关依赖性，同时旨在最大限度地缩短应用更新之前的时间长度。
使用供应商支持的软件产品，并确保计划在支持期即将结束时从旧产品迁移。在这些日期之后，将不会为这些产品发布安全更新，将需要一种替代方法来管理这些类型的漏洞。
制定漏洞管理流程
建立漏洞管理流程，帮助及时了解资产中的漏洞。使用此过程来识别失败的安全更新和不易修复的漏洞，以便尽早对其进行评估（以及任何必要的补救工作计划）。
使用自动漏洞扫描系统帮助识别和评估漏洞，同时跟上新的和不断变化的威胁。使用资产管理流程来确定需要扫描的内容，包括软件、基础设施和公开的应用程序接口。选择的扫描解决方案取决于一系列因素，包括资产类型、部署选项和可能的破坏性影响。软件资产管理套件可以帮助检查软件更新状态，但它们可能不会检查软件库和依赖项。
对漏洞进行分类，以便清楚了解漏洞的严重性、利用风险以及对组织的影响，并根据业务风险决定需要修复哪些漏洞。请参阅供应商的漏洞咨询信息，因为这将是最准确和最新的。但是，它必须与环境相关联；例如，面向外部的系统上的远程代码执行漏洞可能比内部系统更严重。
优先修复漏洞，并为更难修复的漏洞设置替代缓解措施。考虑消除风险以及减轻风险的成本和实用性。确保任何未缓解的漏洞都得到妥善管理，并在风险登记册中捕获由此产生的风险。
除了自动化工具外，还使用手动测试方法（例如渗透测试或红队练习）。这些方法模拟攻击者行为以发现漏洞并证明它们可以被利用。这可以提供更准确的时间点评估系统的安全性，还可以帮助确信自动扫描工具不会遗漏重要漏洞。
管理老旧设备
在无法升级高风险设备和系统的情况下，确保不受支持的系统与网络的其余部分正确隔离，并应用其他适当的控制措施来降低入侵的可能性和影响。
在运行过时的软件时，确保有效且主动的安全监控功能到位并根据检测到的事件采取措施尤为重要。
最后，即使系统的一个组件已经过时，也要始终继续更新和修补系统的其他组件。例如，即使底层操作系统不再接收更新，也要继续更新浏览器和反恶意软件产品。
参考来源：英国国家网络安全中心官网