关键漏洞只是一个测试数据库，这正是分诊难题的全部所在
这件事讲了什么
一家有全球业务的300人B2B公司，被安全扫描发现有一个暴露在互联网上、认证很弱的数据库，看起来是最该优先修的高危问题。但研究人员仔细一看，这其实只是一个可以重置的测试数据库，用来考核应聘者，根本不存客户数据。这件事说明，光靠扫描器的严重性评分，没法判断一个漏洞真正会带来多大业务损失，团队还是得结合业务重要性、是否能被攻击者触达、是否已被实际利用等信息来决定先修什么。对外部安全分诊伙伴和公司安全团队来说，价值在于把“技术上很严重”和“业务上很要紧”区分开，避免把有限精力浪费在噪音上，同时也不错漏真正危险的漏洞。
可以使用的工具
文中可用工具
- CVSS通用漏洞评分系统，用来给漏洞的严重程度打一个基础分，但它本身不能判断业务影响。
- CISA’s Known Exploited Vulnerabilities美国网络安全和基础设施安全局维护的已知被利用漏洞目录，用来确认某个漏洞是否已经在现实中被人利用。
- Exploit Prediction Scoring System漏洞利用预测评分系统，用来估计某个漏洞在未来30天内被实际利用的可能性。
讨论 0
登录后参与讨论，阅读资讯无需注册。
还没有评论，来分享第一个看法。