漏洞管理

出版者:机械工业出版社华章公司

作者:Park Foreman

页数:252

译者:吴世忠

出版时间:2012-12-1

价格:69.00元

装帧:平装

isbn号码:9787111401377

丛书系列:安全技术大系

具体描述

本书是资深安全漏洞管理专家、信息安全战略专家兼国际安全顾问20余年跨国工作经验的总结，以创新的方法从多个角度全面讲解了漏洞管理的理论、方法与最佳实践！结合大量实际案例深入阐述了安全漏洞防范的战略视野和实施方法，旨在帮助读者从技术、流程和管理的角度全面了解漏洞管理，从而掌握评估和减弱内外部漏洞的行之有效的方法。

本书共分10章：第1章介绍了风险管理、漏洞管理、安全产业现状等；第2章讲解漏洞产生过程、漏洞程序的作用，并结合实际案例讲解漏洞管理程序故障问题；第3章讲解漏洞管理计划的参与者、漏洞管理策略及合规性；第4章侧重于漏洞扫描的总体架构，并涵盖当前流行的漏洞管理技术，以及漏洞测试相关的数据、评价、技术标准和漏洞管理扫描程序Nessus；第5章阐述了如何选择漏洞管理产品，包括总体要求、实施过程的自动化、体系结构、如何进行用户定制与整合、评分和部署方法、访问控制等相关技术；第6章讲解漏洞管理流程，包括与漏洞管理相关的ITIL-ITSM过程和IAVA过程，以及该流程中的数据分级和风险评估等重要步骤；第7章介绍了一系列与执行、汇报、分析相关的文档，如发现报告、审计报告、合规性报告等；第8章提供了一些建议，引导读者从制定检查表、工程规划和实施策略等方面逐步了解如何在一个大型的公司里开发一个完整的漏洞管理项目；第9章从一个更宏观的、策略性的层面来研究漏洞的呈现形式及修复方法；第10章对上述内容进行了概括性总结。

作者简介

Park Foreman　资深漏洞管理专家和信息安全战略专家，资深国际安全顾问，群邑（GroupM）集团的全球信息安全主管，在信息技术领域工作20余年，经验十分丰富。作为一名安全技术顾问，他帮助金融和电信行业的多家公司实现了各种安全目标，并为财富100强企业设计、实施和管理其安全架构。他曾负责贝尔实验室相关应用系统的应用程序开发工作，还曾为世界上最大的几个安全运营中心工作，包括AT&T公司的卓越安全中心（Security Center of Excellence）。此外，他还是一名技术作家，在全球顶级专业期刊（如《Internet Protect》、《ISSA Journal》等杂志）上发表过多篇文章，是全球多个安全组织中信息安全主题和论文的作者。

目录信息

译者序
前言
第1章　绪论/1
1.1　风险管理的作用/2
1.2　漏洞管理的起源/3
1.3　安全产业及其缺陷介绍/4
1.4　来自政府和产业的挑战/5
1.5　漏洞的来源/5
1.6　有缺陷的漏洞管理示例/5
1.7　漏洞管理的重要性/6
第2章　漏洞体验/7
2.1　简介/8
2.2　漏洞产生过程/8
2.2.1　复杂性/9
2.2.2　连通性/10
2.2.3　互操作性/10
2.3　创建漏洞：一个例子/11
2.4　使用漏洞管理程序的理由/13
2.4.1　网络过度开放/13
2.4.2　安全系统配置标准缺失/14
2.4.3　重大经济损失风险/14
2.4.4　收益损失/15
2.4.5　生产力损失/15
2.5　漏洞管理程序故障/16
2.5.1　案例研究1：获得组织的支持 /16
2.5.2　案例研究2：技术集成的挑战/22
第3章　计划和组织/33
3.1　概述：计划结构/34
3.2　漏洞管理计划和技术开发/36
3.3　参与者/37
3.3.1　操作者角色/37
3.3.2　贡献者角色/39
3.4　策略和信息流/40
3.4.1　现行策略/40
3.4.2　新策略/41
3.4.3　合规和统辖/42
3.5　小结/44
第4章　漏洞管理技术/45
4.1　简介/46
4.2　总体架构/47
4.2.1　硬件模式/47
4.2.2　用户提供的硬件和虚拟化/49
4.3　代理/50
4.3.1　代理架构/50
4.3.2　优点与缺点/52
4.3.3　检测方法/53
4.4　被动网络分析/53
4.4.1　优点与缺点/56
4.4.2　检测方法/57
4.4.3　物理层/57
4.4.4　数据链路层/58
4.4.5　网络层/58
4.4.6　4至7层/58
4.5　主动扫描技术/58
4.5.1　优点与缺点/59
4.5.2　检测方法/59
4.6　混合方法/82
4.7　推理扫描/83
4.8　CVE/83
4.8.1　结构/84
4.8.2　CVE的局限/86
4.9　漏洞测试数据标准/86
4.9.1　架构定义/87
4.9.2　系统特征架构/88
4.9.3　结果架构/88
4.9.4　测试描述/88
4.10　漏洞危害程度评价标准 /92
4.11　美国国家漏洞库 /98
4.11.1　CPE /98
4.11.2　XCCDF/100
4.12　SCAP/101
4.13　Nessus/102
4.13.1　优点与缺点/103
4.13.2　扫描模型/103
4.13.3　使用Nessus/104
第5章　选择技术/107
5.1　概述/108
5.2　总体需求/108
5.2.1　责任分担/108
5.2.2　时间表/110
5.2.3　标准/112
5.2.4　报告/113
5.2.5　高级报告/115
5.3　自动化/116
5.3.1　标签生成/116
5.3.2　流程整合/117
5.3.3　流程和系统的灵活性/117
5.3.4　补丁管理支持/118
5.4　体系结构/118
5.4.1　被动的体系结构/119
5.4.2　基于代理的体系结构/119
5.4.3　主动扫描的体系结构/120
5.4.4　保证平台安全/124
5.4.5　系统整合/125
5.5　定制与整合/126
5.6　评分方法/127
5.7　访问控制/129
5.7.1　活动目录/129
5.7.2　RADIUS和TACACS+/130
5.7.3　授权/130
5.8　部署方法/131
5.8.1　主动扫描器部署：物理部署/132
5.8.2　虚拟扫描器/133
5.8.3　被动分析器的部署/133
5.8.4　代理部署/134
5.9　小结/135
第6章　过程/137
6.1　介绍/138
6.2　漏洞管理过程/138
6.2.1　准备/139
6.2.2　发现/140
6.2.3　轮廓/140
6.2.4　审计/141
6.2.5　修复/141
6.2.6　监控和调整/141
6.2.7　管理/142
6.3　基准/142
6.4　ITIL-ITSM流程/144
6.4.1　服务支持/144
6.4.2　服务台/146
6.4.3　事件管理/146
6.4.4　服务交付/148
6.4.5　其他方面/149
6.5　IAVA流程/149
6.6　数据分级/152
6.6.1　案例研究：Big Tyre Corporation/153
6.6.2　数据分级流程/154
6.7　风险评估/154
6.7.1　信息收集/155
6.7.2　安全控制评估/156
6.7.3　业务需求/157
6.7.4　资产估值/158
6.7.5　漏洞评估/159
6.7.6　安全控制措施有效性评估/160
6.8　小结/160
第7章　执行、汇报与分析/161
7.1　介绍 /162
7.2　发现报告/162
7.3　评估报告/165
7.4　框架报告/168
7.5　审计报告/171
7.5.1　主动扫描审计报告/171
7.5.2　被动扫描审计报告/172
7.5.3　审计趋势分析/174
7.6　主动扫描：时间安排与资源/177
7.6.1　审计参数/177
7.6.2　时间安排/180
7.7　审计趋势与性能报告/180
7.7.1　基本报告/180
7.7.2　高级报告：控制图/184
7.7.3　介绍漏洞群：控制性能报告/187
7.8　合规性报告/190
7.8.1　系统合规性报告/190
7.8.2　合规性执行总结/192
7.9　小结/193
第8章　规划/195
8.1　介绍/196
8.2　章程制定/197
8.2.1　介绍：业务价值/197
8.2.2　目的和目标/197
8.2.3　范围/198
8.2.4　假设/198
8.3　业务用例/199
8.4　需求文档/199
8.5　安全架构建议/201
8.6　RFP/202
8.7　实施计划/202
8.8　操作流程文档/204
8.9　资产估价指南/205
8.10　漏洞管理策略/205
8.11　部署策略/206
8.11.1　基本策略/206
8.11.2　基于风险的策略/207
8.11.3　改进的时间表/208
8.12　部署标准与进展报告/209
8.13　小结/209
第9章　策略性漏洞/211
9.1　介绍/212
9.2　操作环境/215
9.3　管理外部因素/216
9.4　控制内部漏洞/217
9.4.1　业务模式/218
9.4.2　业务程序/218
9.4.3　复杂性/219
9.4.4　反应方案/219
9.4.5　漏洞方法论与变更/220
9.4.6　复杂性/222
9.5　规避原则/223
9.6　了解对手/225
9.6.1　优点与缺点/225
9.6.2　现实事件/226
9.6.3　目的与目标的对比/227
9.6.4　时间放大效应/228
9.6.5　政治环境加剧攻击/229
9.7　小结/229
第10章　总结/231
10.1　介绍/232
10.2　跨领域机会/233
10.3　跨技术机会/234
10.3.1　代理/234
10.3.2　补丁管理/235
10.3.3　应用渗透测试/235
10.4　流程缺陷/236
10.5　运行环境的变化/238
10.5.1　省时/238
10.5.2　节电/238
10.5.3　分布式计算/239
10.6　报告/241
10.7　服务水平协议/241
10.8　小结/241
· · · · · · (收起)

用户评价

坦白讲，我最初接触这本书的动机，是想找一本能快速提升我团队漏洞扫描报告解读能力的工具书。我期望看到的是大量的SCA/SAST工具的输出示例解析，以及针对不同编程语言的常见漏洞模式识别技巧。然而，这本书的格局显然要宏大得多。它更像是一部**企业级安全治理的“宪法”**，而不是一本“操作手册”。书中对“**漏洞生命周期管理**”的定义极其详尽，从资产的持续清点和分类，到威胁情报的集成，再到补丁部署后的回溯验证，每一步都有明确的SLA（服务水平协议）要求和责任主体划分。最让我印象深刻的是关于“**遗留系统与技术债务**”的章节，作者毫不留情地指出了许多企业在面对老旧、无法打补丁的核心系统时的无力感，并提供了一套基于“**风险隔离与边界强化**”的务实折中方案。这种不回避现实难题的勇气，以及提供的可操作性策略，使得这本书的专业性和参考价值远远超出了同类出版物，它不是在描绘一个理想化的安全蓝图，而是在描绘我们正在挣扎的现实世界。

说实话，当我拿起这本书时，我带着一种略微审视的态度，因为市面上同类书籍大多是翻译作品，读起来总觉得在水土不服。但这本书完全是**本土智慧的结晶**，它精准地抓住了国内（或特定市场）企业在安全投入和技术栈上面临的独特挑战。其中关于“**DevSecOps工具链集成与自动化修复**”的那几章，简直是为我量身定制的。它不是简单地罗列了Jenkins、GitLab、Jira等工具，而是提供了一套清晰的**API调用和数据流管道设计图**，演示了如何将漏洞扫描结果实时推送到开发者的IDE或代码评审流程中，并且设定了自动化退回（Rollback）机制以防止误报导致生产中断。这本书最令人称道的一点是它的**务实性与前瞻性的完美平衡**。它既关注当下如何高效地处理积压的漏洞，又在探讨如何通过流程优化，让未来的漏洞数量从源头上减少。它不是一本让你看完就束之高阁的理论书，而是一本需要被打印出来、在办公室里被频繁标记、被用来指导团队日常作战的**行动指南**。

这本书的封面设计得非常有冲击力，深邃的黑色背景上跳跃着几点橙红色的代码片段，让我忍不住想翻开它一探究竟。我本来以为它会是一本关于网络安全基础知识的普及读物，毕竟“漏洞管理”这个名字听起来就和信息安全的入门教材差不多。然而，当我真正沉浸进去后，才发现它完全颠覆了我的固有印象。作者显然没有满足于停留在理论层面，而是用一种近乎**实战演练**的笔触，带领我们深入到企业级安全运营的真实世界。书中大量的案例分析，每一个都像是一个精心编排的迷你剧本，从发现问题到制定修复策略，中间穿插了无数的利益权衡和流程博弈。我特别欣赏它对“**风险量化**”这一环节的深度挖掘，它不像其他书籍那样只是简单地提一下CVSS评分，而是详细阐述了如何将技术风险转化为管理层能够理解的商业损失预测，这对于我这种需要向高层汇报安全状况的人来说，简直是如获至宝的宝典。它真正教会我的，是如何在资源有限的情况下，把刀架在最关键的喉咙上，而不是平均用力去修补每一个被标记为“高危”的标识。这本书的价值，在于它不是教你如何成为一个顶尖的黑客，而是教你如何成为一个**高效的、有商业头脑的安全负责人**。

这本书的语言风格极其**老辣且富有经验性**，没有那种初级读物里常见的浮夸和空泛的口号。阅读时，我总能感受到作者背后沉淀了十几二十年的行业摸爬滚打。它没有铺陈那些大家都知道的“零日漏洞防范”之类的基础概念，而是直奔主题，探讨那些在大型金融机构或互联网巨头中才会暴露出来的**深度管理痛点**。比如，它深入讨论了如何在跨国合规要求（如GDPR、CCPA）与本地漏洞修复优先级之间进行**动态的策略切换**，这需要对不同地域的法律框架有深刻的理解。此外，书中对于“**第三方软件供应链风险的闭环管理**”的论述，简直是一次教科书级别的拆解。它详细分析了如何通过合同条款、定期的第三方安全审计报告以及定制化的API监控，来建立一个比传统VMS（漏洞管理系统）更为坚固的防护网。读完之后，我对安全采购和合同谈判的关注点都有了质的飞跃，这本书真正让我理解了安全工作的“**横向影响力**”。

读完这本书，我感觉自己像是刚刚参加完一场为期数月的高强度安全架构师特训营，虽然过程异常烧脑，但收获之巨，非同小可。我对它最深刻的印象，是它对“**安全文化建设**”的重视程度，这种视角在技术导向的指南中是极为罕见的。作者花费了相当大的篇幅去探讨，为什么很多优秀的漏洞管理系统在实际推行中会失败，最终归结于人——开发团队的抵触、运维团队的僵化，以及业务部门的“不理解”。书中提出的那些“**软技能**”培训框架，比如如何进行无指责的漏洞复盘会议，以及如何设计激励机制让开发人员主动拥抱安全规范，这些都是教科书里绝对不会教你的“**江湖规矩**”。它没有提供一键解决所有问题的“银弹”，而是提供了一套**动态的、需要持续沟通和调整的生态系统构建方法论**。读到后面，我甚至在思考，这本书与其说是关于技术流程的，不如说是一本关于**组织变革管理**的杰出著作，它让你明白，再好的工具和流程，如果背后的人心不齐，最终也只会沦为一堆无人问津的文档。

了解一下漏扫基本概念，漏洞管理流程还是不错。

了解一下漏扫基本概念，漏洞管理流程还是不错。

了解一下漏扫基本概念，漏洞管理流程还是不错。

了解一下漏扫基本概念，漏洞管理流程还是不错。

了解一下漏扫基本概念，漏洞管理流程还是不错。