干货分享 | 如何做好基于风险的漏洞管理

了解和识别正试图保护的服务和应用程序，并进行优先分析。评估现有的保护能力并找出差距。缺乏这些信息，就无法决定哪些漏洞最值得关注。

步骤：

Tenable 能够发现整个攻击面，包括本地基础设施、端点、云、Web 应用程序、容器、移动设备和 OT。

规划并实施基于风险的漏洞管理部署中的所有流程、产品和集成。

步骤：

目标：

传感器部署和集成策略涵盖所有范围内的资产。为自动化的安全和 IT 运营而部署集成。 

Tenable 在设计和部署基于风险的漏洞管理流程和技术方面拥有无可比拟的经验，包括通过集成简化安全和 IT。

识别、发现并定位整个环境中的资产，从而分发、排序并报告资产漏洞数据。

步骤：

目标：

识别、分类和标记整个环境中的所有资产。实现集成，以协助资产分类。评估性能符合要求。

Tenable通过主动扫描、被动监控、API 和集成发现整个环境中的资产。

评估范围内已发现的资产，以识别其中的漏洞。

步骤：

目标：

识别、分类和标记整个环境中的所有资产。实现集成，以协助资产分类。评估性能符合要求。

Tenable 能够全面评估整个攻击面，包括本地基础设施、端点、云基础设施、Web 应用程序、容器、移动设备和运营技术。

巩固资产，以减少攻击面。确保操作系统和应用程序符合行业标准（即：PCI、NIST、CIS），从而遵守审查框架或基准配置。

步骤：

目标：

输出所有适用的操作系统/应用程序的审查配置结果。

Tenable.sc 能够审查笔记本电脑/台式电脑、服务器、网络设备、虚拟化和云基础设施、数据库等的配置。

根据对特定企业的预测风险进行漏洞的优先级分析。缺乏优先级分析可能会导致漏洞超负荷，而这往往会导致未解决的风险积压（由于不作为）、责任感缺失，以及无法有效度量进展。 

步骤：

目标：

根据完整的业务环境确定漏洞清单中的优先修复顺序。这要求对 100% 的漏洞分配风险评分，并对 100% 的资产分配重要性评级。

Tenable 利用机器学习分析，在漏洞严重程度、威胁制造分子活动和资产重要性之间建立起关联，识别并管理造成最大风险的问题。 

确定并记录每个优先漏洞的响应方式。 

步骤：

目标：

为每个优先漏洞和配置结果记录下的响应措施计划。

Tenable 与业内领先的 SOAR 和工作流产品相集成，简化响应计划。

通过上一阶段制定的措施管理风险。若没有采取措施，则承担风险。 

步骤：

目标：

确认已执行了规定的措施；不再发现相关结果、确认结果可承担或结果的严重程度下降。

Tenable.io 和 Tenable.sc 能够改变和/或承担漏洞的风险。Tenable 与业内领先的 SOAR 和工作流产品相集成，简化响应执行。 

度量基于风险的漏洞管理流程完整性，以评估并确保业务服务风险指标的完整性。度量业务服务风险，从而为技术和业务决策提供信息，为降低风险提供动力。

步骤:

目标：

安全主管和业务责任人可以互相协作，从而度量并管理每个业务系统的网络风险。如果某个业务系统的网络风险无法承担，则检查潜在的影响因素。

评估成熟度指标有助于确保风险指标建立在高准确性数据的基础之上。此外，Lumin 还可以按资产和/或业务服务量化风险。

安全主管、IT 运营人员和业务责任人相互协作，定期将实际业务系统风险与可承担风险进行比较，识别出需要改进并采取纠正措施的领域。

步骤：

将实际结果与 SLA 进行对比。

识别 SLA 成效差距。

记录 SLA 成果状态。

计划纠正措施，包括向上/向下修订 SLA。

将纠正措施分配给责任方。

实施纠正措施。

识别出需要新加入和/或额外加入的业务服务。

目标：

对于每一个业务系统，安全主管、IT 运营和业务所有者都需要 a) 对安全状态有共同的理解 b) 一致同意去纠正措施计划。

Lumin Cyber Exposure 评分可度量业务服务风险并绘制趋势图。