您一定聽說或親身經曆過這樣的情況。在一個平常的日子，系統正常運作，但突然無緣無故變得很慢或近乎停止運作。使用者支援部門開始接到幾十個電話詢問原因，it人員奮戰數小時使所有系統恢複線上正常運作。令人欣慰地是，該事件未造成資料丢失，隻是導緻it從業人員緊張忙碌了數小時。
在處理該事件過程中，it人員發現事件的根本原因在于資訊系統中存在缺陷。該缺陷可能會被蓄意或無意地利用，導緻系統故障。更糟糕地是，他們通過運作一種程式（運作時間不超過5分鐘）發現系統廠商已發現了該缺陷并進行了修複。多麼糟糕的一天啊！
這種情況再平常不過了，有時候會導緻更嚴重的後果：資料丢失或被竊取，且造成營運損失，中斷業務。在本文中，筆者将介紹如何通過iso 27001中的a.12.6.1（技術漏洞管理）處理以上情況。
iso 27000概述了iso資訊安全管理系統及詞彙表，規定漏洞為資産或安全措施中存在的可由一個或多個威脅利用的缺陷。同時，iso 27000将威脅定義為可對系統或組織造成損害的意外事件的可能原因。
是以，若威脅發現可利用的缺陷，就出現了漏洞。然而，缺陷來自何處？一般來說，缺陷是資産或安全措施在設計、實施、配置或運作過程中存在的不足之處。疏忽大意或故意行為均可導緻缺陷。有些缺陷很容易識别、糾正和利用，而有些則需要投入時間、精力和資源。
及時發現漏洞 。越早發現漏洞，你就越有充足時間對其進行修複，至少向廠商上報這一漏洞，這樣留給攻擊者利用漏洞的時間就越少。
對組織的漏洞暴露情況進行評估 。某個漏洞或一組漏洞對不同組織的影響可能不盡相同。您需要進行風險評估，找出您的資産和業務的重要漏洞，并對其進行優先級排序。
将相關風險考慮在内的合理措施 。找出最嚴重的漏洞後，需考慮采取措施，然後配置設定資源處理漏洞，也就是說，制定風險應對計劃。最明智的做法是要考慮漏洞的風險等級
iso 27002定義了實作漏洞管理目标的支撐行動，提供實施安全措施（如a.12.6.1）時需考慮的最佳實踐。iso 27002建議采取以下行動：
盤點資産 。有效的漏洞管理取決于您所掌握的您的資訊資産的相關資訊，如軟體廠商、軟體版本，軟體安裝位置以及每個軟體的負責人。
明确職責 。漏洞管理需進行多項不同活動（如監控、風險評估和糾正等），是以，為友善起見，需明确職責，合理分工，確定對資産進行合理追蹤。
明确參考資料 。您的參考資料清單上應包含廠商站點、專業論壇和特别興趣小組，進而了解漏洞與修複措施相關的新聞。有關資訊安全管理體系（isms）中特别興趣小組角色的更多資訊，請參見《特别興趣小組：對您的isms非常有用的資源》。
按照制定的流程處理漏洞 。不論漏洞的緊急程度如何，以結構化方式處理漏洞非常重要。處理漏洞時應考慮變更管理或事件響應流程，因為這些流程考慮了漏洞優先級、時間響應和響應更新等方面，指導您該采取哪些行動。
做好記錄以供事後分析 （事後需進行分析）持續記錄所發生的事件以及事件處理過程是非常重要的，因為這樣您可以從事件中吸取教訓，防止後續類似事件的發生。至少這樣做可盡量減輕事件影響，改進漏洞管理流程。此外，確定定期進行評估，盡快改進和修複漏洞。
我們舉一個漏洞管理例子：“心髒滴血”漏洞在2014年被發現，可通過加密通信導緻資訊被竊取。通過閱讀資産庫中定義的參考資料，組織發現該漏洞可影響一些被視為關鍵性的資産。通過采用變更管理流程，您可通過更新檔部署規劃合理的缺陷糾正措施，以加密方式傳輸資訊，安裝更新檔，将資訊洩露風險降至最低。
由于市場需要更快速的軟體傳遞及更多特性，将會有更多漏洞出現。是以，為確定您的資訊資産安全、維護企業形象以及保持競争力，制定漏洞發現和處理計劃非常重要。您會發現，通過對iso 27001和27002推薦的漏洞控制措施進行調整，使其與您的業務需求相比對會省掉很多麻煩和不必要的工作，盡量減小對公司信譽的損失和影響。
綠盟科技認為，應該要利用威脅情報資訊，深度解讀漏洞利用細節、利用熱度、利用難度等技術細節，為企業安全運維人員提供詳實的漏洞細節，便于他們結合企業實際情況分析漏洞影響，為漏洞修複提供決策依據，有利于真正實作漏洞管理的閉環操作。
綠盟科技關注全球範圍安全漏洞情報，與安全廠商廣泛合作，建立起綠盟科技的威脅情報系統（nti），成為tvm方案的重要情報來源。tvm在企業本地部署管理平台，從綠盟雲端威脅情報中心擷取漏洞情報資料，也可導入企業首發漏洞情報，打通威脅情報到管理流程之間的通道，實作安全廠商到安全運維人員、以及情報和本地管理流程的結合，由情報觸發預警，結合對本地網絡資産的深度發現和持續監控，對資産細緻梳理完善管理,推動人員和漏洞管理流程運轉，幫助建立快速響應機制。
原文釋出時間：2017年7月5日
本文由：advisera 釋出，版權歸屬于原作者
原文連結:http://toutiao.secjia.com/iso-vulnerabilities-management#
本文來自雲栖社群合作夥伴安全加，了解相關資訊可以關注安全加網站