安全资讯

根据IBM的2019年数据泄露成本报告，美国数据泄露的平均成本为819万美元。公司平均需要206天才能识别出泄露，尝试解决这些问题则平均需要38天。

数据泄露对中小型企业的财务影响尤为严重。调研表明，员工人数少于 500 的企业，数据泄露的平均成本超过 250 万美元，这对于年收入通常不超过 5,000 万美元的小型企业而言无疑是沉重的损失。

按照工信部近期网络安全信息与动态周报，信息安全漏洞问题仍然是一大问题。5月4日－5月10日，新增信息安全漏洞数量715例，其中，高危漏洞331例，非高危漏洞384例。

网络安全问题成为企业必须面对的问题，企业如何降低风险？漏洞管理的重要性不容忽视。

误区1：定期扫描就足够了

一个非常常见的误解就是：做到定期漏洞扫描就可以了。

但是！每天一次完全不够。每天各个时间段都会有新的应用程序和终端连接到公司网络中。变化时刻发生，这意味着网络攻击也随时会出现，而黑客从开始到完全攻破只需要18分钟。

公司不能每天扫描一次，即使他们每天都修复许多漏洞，但新漏洞出现的速度实在太快了。企业必须不断扫描才能防护。

幸运的是，新的漏洞管理解决方案可以在不影响网络性能的情况下，使大规模扫描变得更快、更容易，因此，企业没有充分的理由偷懒。

误区2：漏洞=修补

许多人将漏洞等同于修补。实际上，漏洞管理可以更加详细和复杂。例如，配置更改可以解决问题，但如果公司运行的是旧软件，则可能无法使用修补程序或配置更新。在这种情况下，团队需要进行缓解控制，例如防火墙或路由更改，以防止某些类型的流量到达端口或应用程序。有时候，缓解控制要比补丁更好。仅仅思考补丁是短视的，全面了解漏洞管理才能为组织提供更好的安全服务。

误区3：修复严重漏洞就能确保安全

企业必须首先解决5级严重漏洞的这一观点已经过时。

在传统逻辑中，一般认为最严重的漏洞需要立即引起注意，但问题在于网络犯罪分子已经意识到了这种想法，于是他们反而开始攻击处于中间级别的漏洞，这些漏洞没有那么吸引企业安全人员的注意力，没有被全天候地进行加急补救，这使黑客有更长的时间找出攻击办法，并且由于这些漏洞长时间未被发现，最终会造成巨大的破坏。

在漏洞管理方面，公司需要调整战略。要么需要采用新的考虑因素和排名系统来解决漏洞，要么应该选择双管齐下的策略，利用自动化的漏洞管理解决方案立即修复较低级别的漏洞，同时释放团队成员来同时修复较高级别的漏洞。

误解4：漏洞管理没什么大不了的

这一观点显然缺乏对漏洞管理的重视。一般来自对自己的能力持某种傲慢态度的团队（一种“我的人可以手动修复任何东西”的态度），还是那些认为漏洞管理是一项低优先级的后台任务的团队，而其结果都是相同的：漏洞管理退居后位。

漏洞弹出得太快了，即使是最有才华，人员最齐全的团队也没有能力应对所有这些问题。将它们视为较低优先级，或者由于时间或资源不足而让漏洞管理陷入困境的这些行为都为网络攻击打开了大门，从长远来看，最终使企业的工作成倍增加，更不用潜在地造成的经济损失。

一些拥有网络保险政策的公司可能会感到虚假的安全感。但实际上并不保险。我们更鼓励所有IT团队优先考虑漏洞管理，抛弃其先入为主的观念和认知误区。漏洞管理可能不是IT团队要处理的最艰巨的任务，但做好漏洞管理却可能是防止严重恶意攻击的最大因素。

好的漏洞管理，应该怎么做漏洞扫描？

漏洞扫描是一种主动的防范措施，可以有效避免黑客攻击行为，防患于未然。通过对网络的扫描，可以了解网络的安全配置和运行的应用服务，及时发现安全漏洞，客观评估网络风险等级。

严格遵循漏洞扫描的流程：

1、确定扫描方案，按扫描要求配置漏洞扫描策略进行。

2、对目标对外开放的端口和服务进行扫描。

3、对目标的主机环境进行安全扫描。

4、对目标的Web系统进行安全扫描。

5、对目标的各种常用服务进行弱密码检测。

6、清除产生的痕迹和中间数据，制定漏洞扫描服务报告。

漏洞扫描包括主机漏洞扫描，Web漏洞扫描，弱密码扫描等。专业的安全工程师会对扫描结果进行分析，并提供相应的漏洞解决方案，方便管理员对主机和应用的安全进行检查和分析，及时修复漏洞。