漏洞评估 · 漏洞扫描
服务类别: 网络安全抢在别人之前，找出系统中已知的弱点
我们扫描您面向互联网的系统和内部系统，查找已知漏洞和错误配置，把紧急问题从大量干扰信息中区分出来，并为您提供一份按实际风险排序的整改计划。
概览
- 服务内容
- 凭据扫描和非凭据扫描相结合、按风险排定优先级的漏洞扫描，可一次性进行，也可定期进行
- 适合对象
- 员工约5至200人、拥有服务器或面向互联网的服务，或客户要求进行漏洞扫描的机构
- 核心内容
- 外部和内部扫描、设备凭据扫描、误报审查、按优先级排序的发现，以及整改后的复扫
- 明确不属于
- 渗透测试：除非另行界定范围并获得书面授权进行渗透测试，否则我们不会尝试利用漏洞
- 计价方式
- 每次项目收取固定费用，定期扫描则按月计费，依据IP地址和设备数量确定，并以书面报价确认
- 授权要求
- 只有在取得列明扫描目标、时间窗口和联系人的书面授权后，才会开始扫描
- 如何开始
- 预约咨询，列出您的扫描目标并商定扫描时间窗口
漏洞评估做什么
漏洞评估使用扫描工具，将您的系统与已知弱点数据库进行比对，例如已公开的CVE、缺失的补丁、过时的软件、薄弱的加密设置，以及默认或暴露在外的服务。它回答的是一个具体而实际的问题：范围内的系统存在哪些已知弱点，应该先修复哪些？
非凭据扫描从外部观察系统，就像互联网上或您网络中的攻击者所看到的那样。凭据扫描则使用只读账户登录，直接检查已安装的软件和配置，能发现多得多的问题，误报也更少。我们会根据扫描目标同时使用这两种方式。
漏洞评估不是渗透测试。我们会识别并核实发现的问题，但不会尝试利用漏洞、将多个漏洞串联起来，或在您的网络中横向移动。如果您需要这种程度的验证，可以另行界定渗透测试的范围，通常由专业公司执行。
这项服务解决的问题
不清楚的互联网暴露面
远程桌面、老旧的VPN设备、管理页面或被遗忘的服务器可以从互联网直接访问，却没有人意识到。
补丁有遗漏
操作系统更新照常运行，但第三方应用程序、固件和服务器组件却在无人察觉中逐渐落后。
扫描报告无从下手
以前的扫描生成了几百页的发现，却没有说明哪些才真正重要。
客户和保险公司的要求
合同或保险申请要求提供定期进行漏洞扫描和整改的证明。
项目包含的内容
外部扫描
对您的公网IP地址和域名进行非凭据扫描，找出暴露在外的服务、过时的软件和薄弱的TLS配置。
内部网络扫描
发现并扫描您办公网络上的设备，包括服务器、打印机、网络设备和未受管理的设备。
设备凭据扫描
对Windows和macOS设备及服务器进行凭据扫描或基于代理程序的评估，找出缺失的补丁和存在漏洞的应用程序。
人工核实
由专人审查发现的问题，剔除明显的误报，并确认受影响的版本或设置。
基于风险的优先级排序
综合严重性评分、该漏洞是否列入 CISA 已知被利用漏洞目录、互联网暴露情况以及系统的业务重要性，对发现进行排序。
整改计划与复扫
按负责人分组列出具体修复措施，之后进行复扫，确认哪些问题已经解决。
范围内与范围外
在开始任何扫描之前，扫描目标、时间窗口和联系人都会在书面授权中约定。
包含
- 对约定的公网IP地址和主机名进行非凭据外部扫描
- 对约定的网段进行内部发现和扫描
- 对约定的Windows、macOS和服务器系统进行凭据扫描
- 人工审查发现的问题以减少误报
- 附有整改指引、按优先级排序的发现报告
- 整改后进行一次验证性复扫
除非另行界定范围，否则不包含
- 渗透测试、漏洞利用或横向移动
- 超出自动化检查范围的Web应用测试
- 社会工程、网络钓鱼或物理测试
- 扫描不属于您、或您无权批准扫描的系统
- 整改工作（另行报价或由您的团队完成）
工具与参考依据
- 商业和开源网络漏洞扫描工具
- 在已获许可时使用 Microsoft Defender 漏洞管理
- 通用漏洞评分系统（CVSS）严重性评级
- CISA 已知被利用漏洞（KEV）目录
- 加拿大网络安全中心发布的警报和公告
- CIS Controls 关于持续漏洞管理的指引
适合哪些机构
拥有本地服务器的机构
运行文件、数据库或业务系统服务器、难以让补丁保持完全更新的企业。
有面向互联网服务的团队
托管VPN、远程访问、网页门户或邮件网关的机构。
合同驱动的要求
客户、保险公司或行业组织期望定期提供扫描证明的公司。
好处
- 一份经过核实的已知弱点清单，而不是凭空猜测
- 整改工作集中在攻击者实际会利用的地方
- 看清您可能并不知道的互联网暴露面
- 为客户和保险公司提供扫描与整改的证明
- 定期扫描时形成一个可重复对比的基线
工作流程
界定范围与授权
我们列出IP地址段、主机名和设备，商定扫描时间窗口和紧急联系人，并取得书面授权。
准备工作
设置只读扫描凭据或代理程序，并识别出需要谨慎处理的脆弱系统。
扫描
在约定的时间窗口内进行外部扫描、内部扫描和凭据扫描。
分析与报告
对发现进行核实、排定优先级，并写明具体的整改步骤。
整改与复扫
在您的团队或我们完成修复后，我们进行复扫并更新报告。
合作方式
所有费用均为拟定价格，并以书面报价确认。
一次性评估
进行一轮扫描，提供报告并复扫一次，适合用作基线或在续保之前进行。
定期扫描
每月或每季度扫描并提供趋势报告，通常与托管补丁管理搭配。
先做更全面的安全态势审查
如果您还需要了解治理、身份和备份方面的差距，可以先做安全评估。
常见问题
漏洞评估和渗透测试有什么区别？
漏洞评估负责发现已知弱点并排定优先级。渗透测试则更进一步，会尝试利用这些弱点，以展示攻击者可能达到的效果。我们提供漏洞评估；渗透测试只有在另行界定范围并获得授权时才会进行，通常与专业合作方一起完成。
扫描会把系统弄坏吗？
扫描通常是安全的，但较旧的设备、打印机以及某些工业或医疗设备可能出现异常反应。我们会在界定范围时识别出这些脆弱系统，将其排除，或在约定的时间窗口内以低强度方式扫描。
应该多久扫描一次？
包括 CIS Controls 在内的许多框架建议至少每季度扫描一次，并在发生重大变更后扫描。面向互联网的系统更适合频繁检查。
你们负责修复漏洞吗？
整改不包含在评估费用中。您的团队可以自行完成，也可以由我们另行报价，或纳入托管服务方案。