十五、漏洞扫描-基本常识、概念

1.发现漏洞

• 基于端口服务扫描结果版本信息（速度比较慢）
• 探索已公开的漏洞数据库（数量大）
• 使用弱点扫描器实现漏洞管理

2.已公开漏洞

已公开漏洞利用代码 www.exploit-db.com
kali上集成了可以查看exploit-db.com等网站漏洞，使用searchexploit

searchexploit  tomcat    //查看tomcat相关公开的漏洞

查找tomcat漏洞

查看脚本路径

/usr/share/exploitdb/platforms   //根据各种平台、类型存放

3.从信息的维度定义漏洞管理

• 信息收集
• 扫描发现网络IP、OS、服务、配置、漏洞
• 能力需求：定义扫描方式内容和目标
• 信息管理
• 格式化信息，并进行筛选、分组、定义优先级
• 能力需求：资产分组、指定
• 信息输出
• 向不同层级的人群展示足够的信息量
• 能力需求：生成报告、导出数据、与SIEM集成

4.弱点扫描类型

• 主动扫描
• 有身份验证
• 无身份验证
• 被动扫描
  • 镜像端口抓包
  • 其他来源输入
• 基于Agent的扫描
• 支持平台有限

5.漏洞基本概念

• 5.1 CVSS(Common Volnerability Scoring System）
• 通用漏洞评分系统：适用于工业标准
• 描述安全漏洞严重程度的统一评分方案
• Basic Metric：基础的恒定不变的弱点权重
• Temporal Metric：依赖时间因素的弱点权重
• Enviromental Metric：利用弱点的环境要求和实施难度的权重
• CVSS是安全内容自动化协议（SCAP）的一部分
• 通常CVSS与CVE一同由美国国家漏洞库（NVD）发布并保持数据的更新
• 分值范围：0-10
• 不同机构按CVSS分值定义威胁的高、中、低威胁级别
• CVSS体现弱点的风险，威胁级别（serverity）表示弱点风险对企业的影响程度
• CVSS分值是工业标准，但威胁级别不是
• 5.2 CVE（Common Vulnerabilities and Exposures）
• 已公开的信息安全漏洞字典，统一的漏洞编号标准
• MITRE公司负责维护（非盈利机构）
• 扫描器的大部分扫描项都对应一个CVE编号
• 实现不同厂商之间信息交换的统一标准
• CVE发布流程
• 发现漏洞
• CAN负责制定CVE ID
• 发布到CVE list，如CVE-2015-2330
• MITRE负责对内容进行编辑维护
• 5.3 很多厂商维护自己的Vulnerability Reference
• MS
• MSKB
• 5.4 其他 Vulnerability Reference
• CERT
• BID
• IAVM
• OVAL
• 5.5 OVAL（Open Vulnerability and Assessment Language）
• 描述漏洞检测方法的几期可识别语言
• 详细的描述漏洞检测的技术细节，可导入自动化检测工具中实施漏洞检测工作
• OVAL使用XML语言描述，包含了严密的语法逻辑
• 5.6 CCE
• 描述软件配置缺陷的一种标准化格式
• 在信息安全风险评估中，配置缺陷的检测是一项重要内容，使用CCE可以让配置缺陷以标准的方式展现初出来，便于配置缺陷评估的可量化操作
• 5.7 CPE（Common Product Enumeration）
• 信息技术产品、系统、软件包的结构化命名规范，分类命名
• 5.8 CWE（Common Weakness Enumeration）
• 常见漏洞类型的字典，描述不同类型漏洞的特征（访问控制、信息泄露、拒绝服务）
• 5.9 SCAP（Security Content Automation Protocal）
• SCAP是一个集合了多种安全标准框架
• 六个元素：CVE、OVAL、CCE、CPE、CVSS、XCCDF
• 目的是以标准的方法展示和操作安全数据
• 由NIST负责维护
• SCAP主要解决三个问题
• 实现高层政策法规等到底层实施的落地（如FISMA、ISO27000系列）
• 将信息安全所涉及的各个要素标准化（如统一漏洞的命名及严重性度量）
• 将复杂的系统配置核查工作自动化
• SCAP是当前美国比较成熟的一套信息安全评估标准体系，其标准化、自动化的思想对信息安全行业产生了深远的影响
• 5.10 NVD（National Vulnetability Database）网址
• 美国政府的漏洞管理标准数据
• 完全基于SCAP框架
• 实现自动化漏洞管理、安全测量、合规要求
• 所包含的库：安全检查列表、软件安全漏洞、配置错误、产品名称、影响度量

6.漏洞管理

• 周期性扫描跟踪漏洞
• 高危漏洞优先处理
• 漏洞管理三要素： 准确性、时间、资源