知己知彼，百战不殆，网络安全漏洞早知道

近年，随着数字化转型的理念深植于各领域，业务联网上云加速，针对云平台的恶意攻击不断涌现，然而很多用户的安全管理措施尚未完善，安全风险存在诸多不确定性。

上篇文章讲到自动化渗透平台如何帮助用户做好网络环境的检测与评估，在渗透工作流程提到的漏洞扫描工具，可以排查各类网络资产中暗藏的漏洞风险，帮助用户做好日常管理工作，在攻击发生之前做好事前防护准备。

网络不法分子可以通过云发起DDoS攻击、植入网站后门、网页挂马、控制木马或僵尸程序等各种攻击，路由器、监控摄像头、设计软件、自动化控制系统等通过云平台统一调配管理的智能设备暗藏多种安全漏洞。

《2020年中国互联网网络安全报告》统计数据显示，2020年联网智能设备通用型漏洞数量按漏洞类型分类，排名前3位的是权限绕过、信息泄露和缓冲区溢出漏洞。

指设备对操作者执行数据请求操作时过分信任，致使攻击者能够轻易获取客户端账户的访问权限，通过一些方式绕过权限审查，执行对其他用户的恶意操作或者获取更高访问权限。该漏洞通常是由于开发人员在对数据进行增加、删减、修改、查询等操作时对客户端请求的数据过分相信而遗漏了权限的判定。

攻击者利用数据库的信息，后台登录账密、身份验证等信息对设备进行渗透，导致更加严重的数据窃取事件，开发人员在进行开发时忽略了对一些重要的信息进行加密、网络运维人员缺乏安全防范意识等原因都可能造成该漏洞的形成。

针对程序设计的缺陷，攻击者将数据写入缓冲区时超出缓冲区边界，破坏程序的正常运行，通过“走后门”的方式植入并执行恶意代码，从而控制设备主机，进行任意非法操作，该漏洞导致的安全隐患是致命的。

很多用户存在网络安全运维工具老旧、网络运维人员响应慢等问题，导致漏洞管理出现各种纰漏，从而触发严重的安全问题，造成不可挽回的财产损失。

机械匹配漏洞库规则，漏洞漏报，误报率高。

漏洞修复工作推进困难导致修补不及时。

漏洞管理流程缺乏漏洞责任制，缺乏量化指标。

漏洞修复状态难以确认，真实系统无法进行在线修复验证。

针对无处不在的漏洞风险以及漏洞管理的难点问题，赛宁漏洞扫描平台具备如下几点优势：

支持对网络设备、操作系统、中间件、工控系统、Web应用和数据库等的周期性扫描，且能够自动发现新增资产同时支持手动导入。

平台采用分布式引擎，可实现跨防火墙的部署和管理，以应对复杂的网络环境。引擎内不存储数据，能够有效提升扫描效率。

漏洞检测项60万+，是行业标准的3倍。平台与CNNVD（国家信息安全漏洞库）对接，按照厂商品牌、漏洞类型等分类划分。平台支持对库内已知漏洞、用户录入新增漏洞进行自定义风险等级管理，方便运维人员判别管理优先级。

面对不断增加的漏洞数量和种类，漏洞管理面临更多未知的挑战。功能全面、管理高效的漏洞管理工具能够帮助政府、企事业单位具备“知己知彼，百战不殆”的网络安全防御能力。