六个优秀漏洞管理工具以及它们如何帮助确定威胁的优先级

​这些年来，不仅漏洞管理发生了相当大的变化，企业安全团队发现并不断修补的系统也发生了变化。如今，有系统内部部署、物联网设备、公有和私有云，以及更多的定制应用程序。漏洞管理系统不再只关注网络和私有托管应用程序。现在，他们必须评估所有这些系统，找出漏洞，并帮助企业安全团队做出更好的补救决策。 我们必须要好好的利用这些危险的漏洞。无法利用的系统上的漏洞并没有太大的危险。了解真正的危险才是最重要的，这样企业就可以制定修复计划，哪些漏洞要立即修复，哪些可以稍缓一缓。 如果想要利用漏洞，根据其潜在影响对其进行分类也很重要。这包括漏洞利用的潜在严重性，如清除整个数据库与锁定单个用户，以及受影响资源的价值。你面向公众的网站受到污损是十分尴尬的，你可能更在乎保密的数据是否被盗，因为这可能导致强制违规披露和监管罚款。 最好的漏洞管理程序应该是以扫描的方式添加参数。一些公司甚至利用人工智能提供自动修复、培训或预防性帮助，了解适用于启动扫描的企业的法规遵从性标准、法律要求和最佳做法。 由于企业网络中都隐藏着潜在的数千个漏洞，这是可靠地确定修复优先级和降低风险的唯一方法。以下六种产品至少在漏洞管理的某一个方面上突破了极限。

Qualys VMDR

Qualys是1999年推出的第一个SaaS漏洞管理平台。当时，企业设备连接到企业内部网络，漏洞扫描器评估这些内部网络和少数托管并面向互联网的应用程序。但现在没有那么简单了。我们有了内部部署的系统、更多的定制软件、云系统、更多的开源软件和虚拟化系统。 Qualys VMDR (Vulnerability Management Detection and Response)作为云服务访问。它的小型语音代理、虚拟扫描器和被动网络扫描功能可以帮助企业查看其资产，并识别添加到网络中的以前未知的资产。Qualys VMDR可以评估本地资产、所有云和端点。 收集了漏洞数据后，Qualys VMDR允许用户搜索特定资产上的结果，以深入了解配置、服务运行、网络信息和其他数据，这些数据将有助于降低漏洞被威胁行为者利用的风险。其 AssetView 功能使安全和合规团队能够根据对企业重要的内容不断更新其信息资产。仪表板也可以进行自定义设置。 这往往会扫描出许多漏洞，因此必须关注最关键系统上最危险的漏洞，以便安全团队能够以最有效的顺序对其进行补救。Qualys VMDR识别资产和漏洞并确定其风险优先级后，用户可以在平台内部署修补程序。

Orca Security

Orca Security是一款云安全态势管理(CSPM)工具，它管理AWS、Azure和谷歌云平台等云基础设施服务中的漏洞。由于Orca是为云构建的，因此它可以在这些环境中直接运行，这与一些曾经在本地并改进为云漏洞管理系统的扫描器不同。 Orca的SideScanning技术使用户可以通过提供他们的凭证来创建他们的云环境清单。它收集操作系统包、应用程序、库等方面的数据。对于它所发现的每一个漏洞，系统都会向用户提供一个详细说明其与其他资产的关系，以便团队能够对修复工作进行优先排序。 正如人们对高级漏洞管理器所期望的那样，Orca实现了将漏洞映射到企业云系统中的漏洞严重性。Orca通过发现云系统和工作负载及其配置和安全设置来实现这一点。不过，Orca可以理解工作负载执行的角色，比如配置它们执行什么工作以及启用了什么权限。除了配置和权限之外，Orca还可以确定连通性，并查看哪些网络是公开可用的，哪些不能。有了这些数据，Orca会创建一个可视化视图，尝试评估云系统中漏洞的实际风险。 Orca漏洞数据库包括来自NIST国家漏洞数据库和其他20多个来源的数据，如OVAL、漏洞数据库，还有Debian bug tracker。

Detectify

Detectify并不是像Qualys那样的漏洞管理服务提供商。它和以攻击面管理著称的(ASM) 相类似。ASM从攻击者的角度关注漏洞，包括持续发现企业IT资产，面向互联网的系统，如云基础设施，第三方系统和Web应用程序。它发现系统中的漏洞，然后确定优先级并帮助管理这些漏洞的补救措施。 Detectify成立于2013年，提供外部攻击面管理。尽管Detectify能够发现、评估和确定企业攻击表面的优先级，但它也与道德黑客合作，并在短短15分钟内将他们的研究结果提供给扫描器。 因为Detectify是基于云的，所以不需要安装。只需添加要评估的域，就会持续评估所有关联的子域和应用程序。Detectify将其扫描分为两个服务，表面监控和应用程序监控。 Surface Monitoring评估一个企业的面向互联网的资产，并评估其发现的主机是否存在漏洞、配置错误等。Detectify提供修复信息，修复它所发现的漏洞，并缩小攻击面。 另一方面，应用程序扫描会不断评估组织的web应用程序是否存在漏洞，并就如何补救这些漏洞提供建议。Detectify评估生产中的应用程序、开发管道和应用程序暂存。 Detectify让我感兴趣的是它将自动化与众包相结合在了一起。有了这种结合，自动扫描可以检查系统中存在的漏洞，而经验丰富的安全研究专家则可以自行寻找尚未发现的漏洞。

Kenna安全漏洞管理

任何使用过漏洞管理工具的人都知道，不同的扫描程序通常会识别不同的漏洞。有些软件在不同的任务上比其他软件略胜一筹，比如评估内部网络或云应用程序——了解与所有暴露的漏洞相关的风险是令人生畏的。这就是 Kenna和 Kenna.VM 出现的原因。 Kenna 自己不做扫描。但它提供了连接器程序，允许它从任何漏洞扫描程序中提取数据，包括Tripwire，Qualys，McAfee和CheckMarx制作的那些。该平台本身部署为一项服务，客户登录云门户以检查其信息，并允许Kenna了解其保护的网络。 Kenna的理念是，收集扫描器发送的许多漏洞警报，然后与实时的威胁数据进行比较。它可以将发现的漏洞与利用它的主动威胁活动联系起来，并优先考虑快速修复。全球范围内被利用的任何漏洞都会自动提高优先级，因此防御者可以在攻击者发现并利用它们之前修复最危险的问题。 Kenna.VM是最早将实时威胁数据纳入漏洞管理的平台之一。从那时起，该平台已扩展到包括其他威胁源，包括该公司基于其客户网络管理的威胁源。它还增加了对更多漏洞扫描器的支持，现在几乎可以与市场上的所有人一起使用。 这个平台很好地解释了为什么受保护的网络中存在漏洞，并给出了修复漏洞的提示。它可以根据缺陷可能影响的资产和问题的严重性，对发现的缺陷进行优先排序。这是一个出色的功能，但基于积极的威胁活动对漏洞进行优先排序，是Kenna平台在突出必须首先解决的关键问题方面的王牌之一。 最近，Kenna Security向Kenna.VM添加了所谓的基于风险的服务级别协议(SLA)。基于风险的 SLA 根据企业的风险承受能力提供补救时间范围。企业接受风险的程度越低，修复漏洞的速度就越快。Kenna 基于风险的 SLA 基于三个因素：风险承受能力、资产优先级和漏洞风险评分，例如高、中或低。该公司还为Crowdstrike Falcon Spotlight和Twistlock增加了一个连接器。

Flexera软件漏洞管理

当许多漏洞管理人员专注于公司自己开发的应用程序和代码时，Flexera软件漏洞管理平台更关注几乎所有企业用于开展业务的第三方软件程序。在大多数情况下，修复购买或许可软件中的漏洞是通过应用补丁来完成的。对于企业来说，这可能是一件大事，特别是如果他们必须让数千个系统或关键服务离线才能应用补丁的话。由于当今软件集成的紧密程度，修复一个问题甚至可能会产生其他问题。 Flexera软件通过在企业中创建安全的补丁管理过程来帮助解决此问题。它可以发现第三方软件中的漏洞，并向管理员建议潜在威胁的严重性。向数千名用户发布一个大规模补丁来修复一个小漏洞或修补受保护组织未安装或使用的功能，可能不会有什么好处。Flexera可以通过提供参数，然后在必要时部署补丁来帮助做出决策。 你还可以使用Flexera平台，在需要时以不影响操作的方式修复漏洞，从而锚定自动补丁管理系统。最后，它可以生成有关漏洞和补丁管理以及企业如何遵守相关框架、法律和最佳实践的定制报告。 最近，Flexera启用了漏洞管理器与VMware Workspace ONE UEM(统一端点管理)之间的互操作性。这为客户提供了识别、优先排序和满足第三方补丁部署的能力，以弥补软件漏洞。一旦识别出漏洞并确定其优先级，客户现在就可以使用Workspace ONE UEM将此类补丁部署到其管理的设备上，从而减少漏洞窗口。

Tenable.io

Tenable以创建安全仪表板而闻名。他们将同样的诊断技术引入了漏洞管理程序Tenable.io。这个平台是在云中管理的，因此它在受保护的企业中占用的空间很小。它结合使用主动扫描代理、被动监视和云连接器来搜索漏洞。然后，Tenable.io应用机器学习、数据科学和人工智能来预测在攻击者利用之前需要做出哪些修复。 Tenable.io 的最大优势之一是它使用仪表板及其自定义报告以任何人都能理解的方式显示漏洞。无论是开发人员、运营团队成员还是 IT 安全人员，他们都可以轻松理解 Tenable.io 生成的警告。 在某种程度上，Tenable.io 为不需要专门培训或专业知识的所有人提供漏洞管理。 为了扩展其外部攻击面管理能力，Tenable最近收购了ASM供应商Bit Discovery。 这使客户对内外部攻击有了全面的了解。