专家称企业目前应使用安全漏洞管理工具

在当前的安全气候下，威胁、病毒爆发和安全突破是生活的现实。然而，在隔离精确的风险区域，让机构采取措施减小风险方面，安全漏洞管理工具是非常有价值的。

nCircle网络安全公司主要产品经理Tim Erlin称，安全漏洞管理是测量和管理软件安全漏洞和机构中的设置产生的风险的连续不断的过程。这个过程一般包括全面地发现和描述网络资产，评估这些应用程序的每一个资产的和这些应用程序中的安全漏洞，列出这些资产和安全漏洞的优先等级，并且确定按照优先次序修复这些安全漏洞的最终工作流。

许多工具提供了一些安全漏洞管理流程，仅评估网络安全漏洞、网络应用程序安全漏洞或者设置。但是，上述所有的区域都可以在一个环境中产生风险。漏掉任何一个部分都会使安全漏洞管理不知道漏掉的是哪些部分。

这个事情一开始就要有一个关于这个机构现有的东西的清单。一旦把一切东西都编成目录，这个目录就需要保持最新状态，因为IT不是一个静态的实体。因此，这些工具应该提供自动发现、安排日程和网络描述等功能。这样，机构的不同部分的问题就能够解决。

Erlin说，没有一个应用程序在什么地方的目录，就不能准确地评估安全漏洞。不能提供一台设备上的全面的和单独的应用程序评估的工具对于安全漏洞管理来说是失去了一个重要的组件。

Erlin称，每一个安全漏洞管理工具都将产生一个机构完不成的工作。因此，每一个安全漏洞管理程序都必须提供一个按照优先次序进行处理的机制，即使发现的全部安全漏洞都是严重的，也要首先处理威胁等级最高的安全漏洞。

当然，仅靠一个工具是不够的。它必须得到能够恰当地解决风险问题的安全漏洞管理工作流的支持，尽管nCircle等工具能够通过自动化、内置的票务系统(ticketing systems)和数据准确性来支持这种工作流。

每一个机构在分配所有权和责任的方面都是不同的。在购买安全漏洞管理管理工具之前，要考察现有的使用补丁和升级的流程以便确定他们应该在什么地方进行修改以及工具能够在什么地方帮助自动化。

工具选择

企业管理协会公司分析师Michael Montecillo认为，应用安全漏洞管理的方法是确定一个工具作为制定管理安全漏洞的方法的推动因素。

你最终将使用这个能够最善于在你自己的环境中查出一切事情的软件。nCircle、Qualys和eEYE等厂商的工具将简化这个过程，创建一种报告方法并且以可重复的方式做评估工作。

Montecillo建议使用定期评估的方法检查当前缓解威胁的措施有多大效率。此外，他认为这个主题不应该留给一个团队或者部门。要使安全漏洞管理实现目标需要整个机构的协同努力，包括来自高级管理层的支持。

Montecillo表示，当前的气候需要分层次的安全措施。间谍软件、病毒和其它恶意软件是具体的威胁。在过去的10年里，安全厂商提供了各种补救措施对付这些威胁。这个趋势短时间内还不会结束。最终用户必须要适应这种思路：在恶意和犯罪团伙推出新的和更好的渗透到机构或者引起灾难的方法的同时，安全厂商将用新的和更好的工具应对。

然而，安全漏洞管理是不同种类的产品。安全漏洞管理不是解决一个具体威胁的工具，而是一种观察整个安全形势和你的什么地方风险最大的一种方法。

病毒会在你有安全漏洞的地方侵入。因此，如果你消除了那个攻击区域，风险就减少了。最近，我们将看到立法中要求使用安全漏洞管理软件。