【51CTO.com快译】作为企业的IT安全管理员，您的重要任务之一，必须与全面的漏洞管理密不可分。也就是说，全面评估、报告和缓解企业内部技术栈中存在的安全弱点和网络威胁。面对如此复杂的工作，我们通常需要使用自动漏洞扫描程序来更有效地识别潜在的弱点，并实现漏洞的基本管理。
原则上，漏洞扫描应用程序将帮助团队优先连接到企业内部网络的所有系统和设备清单，然后记录操作系统、目标软件和各种注册部件的详细信息，最后逐一实施安全管理。
下面，我们将深入探讨企业为何采用自动化漏洞扫描，可采用的各种扫描机制，以及一些时下流行的自动化漏洞扫描工具。
一、自动化漏洞扫描的基本原理
上述漏洞扫描工具可以识别网络中的各种资产，包括服务器、笔记本电脑、防火墙、打印机和应用容器，并不断收集其具体操作细节。同时，该扫描工具具有审计、日志记录、威胁建模、报告和维修等组合功能，允许企业在任何给定的时间内评估其安全状况。
除了经常被用作企业网络安全的优秀实践外，国家政府的法律法规和行业标准通常还要求企业通过漏洞扫描工具确保数据的安全保护。虽然不同行业的具体实现用例可能不同，但自动漏洞扫描通常可以给企业带来以下好处：
1.主动安全
鉴于黑客通常使用应用程序服务的漏洞作为入侵系统的入口，自动漏洞扫描工具可以使安全团队在危及企业现有资产之前报告和修复各种漏洞。
2.风险评估
定期进行漏洞扫描会导致漏洞扫描IT安全团队可以掌握当前系统实施的安全控制的有效性。此外，在安全专家修复错误和漏洞后，也可以通过再次扫描来评估整体改进效果。
3.降低成本和开发时间
显然，自动扫描可以无缝进行测试，节省了各种耗时费力的人工操作。此外，漏洞扫描工具还可以缩短修复漏洞的开发周期和高成本。
4.合规
行业内的各种合规法律往往要求企业遵循适当的技术和安全措施，妥善处理所持有的数据。这些合规标准包括我们熟悉的一般数据保护条例(GDPR)、健康信息隐私和责任法案(HIPAA)、支付卡行业的数据安全标准(PCI-DSS)等。
二、漏洞管理流程
为了减少攻击的潜在威胁，我们可以通过以下过程来检测和管理漏洞：
1.漏洞识别
企业可以使用各种依赖最新漏洞数据库和威胁情报技术的工具来识别系统组件上的漏洞，然后创建要修复的组件清单。当威胁发起攻击时，可以立即识别漏洞扫描工具。
2.风险评估
一旦确定了漏洞，我们需要根据其及时性特征和固有危害性，通过评级系统来评估其影响，然后对其进行优先权重评估。因此，管理团队可以根据风险的严重性确定待补丁的优先级，然后进行有效的修复。
3.修复
根据漏洞的优先级，安全专家开始计划并准备通过加强监控来限制高风险子系统访问和其他修复措施，以防止可能的攻击，直到应用补丁发布。
4.报告
我们通过记录和报告处理的漏洞和应用补救措施，展示企业对安全形势的认知和控制。同时，各种合规要求也需要通过报告来认可企业的问责制。
三、自动漏洞扫描类型
1.扫描内部漏洞
内部扫描机制主要针对企业内部网络。扫描工具将识别系统内的各种攻击向量(attack vectors)，它包括恶意员工带来的弱点和威胁。
2.扫描外部漏洞
外部扫描机制主要针对外部网络（如互联网）IT该系统包括：外部应用程序、网络、服务、端口和网站。这种扫描工具将关注客户和其他外部用户在访问目标系统时可能存在的漏洞和威胁。
3.扫描认证是否成功
扫描认证成功(即持有信任凭证)，主要关注企业IT在系统内部，检查已登录的信任用户在安全环境中的行为。扫描认证失败（即无凭证或凭证错误），虽然不能干预系统的可信访问，但可以从外部攻击者的角度提供有价值的安全洞察力。
4.选择自动漏洞扫描工具
目前，在安全测试市场上，有许多类型的漏洞扫描工具。接下来，让我们讨论在选择工具时需要考虑的因素和注意事项。
5.漏洞扫描的覆盖率
一般来说，虽然每个漏洞扫描工具都有基本的漏洞识别能力，但我们仍然希望待选工具能降低设置安全监控的成本和复杂性。这不仅可以保证广泛的扫描覆盖率，而且可以避免安全团队对某些安全盲点的额外集成。
6.Web覆盖技术栈
一旦大多数漏洞扫描程序启动，它们将爬行整个Web应用程序，以了解完整的系统构及其安全状况。然而，这一目标通常需要基于识别Web在每个表单、页面和组件元素的基础上。作为一种合适的漏洞扫描工具，应具有跨越多个开发堆栈、框架和部署环境的识别能力，以有效地管理漏洞。
7.易用性
作为一个复杂而全面的扫描过程，漏洞管理工具显然需要对企业的网络、设备和服务具有深入的洞察。但是，我们无法保证企业中的每一位安全运维人员，都具备足够的基础知识，并能够对漏洞扫描进行执行与判断。因此，漏洞扫描工具应当事先抽象、并简化所有涉及到采集、识别和检测威胁的人工作业，以便让运维团队更加专注于某些特殊的异常活动。
8.速度和扫描质量
鉴于安全威胁的突发性和容易传播的特点，漏洞扫描工具应能够根据各种应用程序和网络资源的运行状态，在短时间内不断识别和刷新发现的漏洞清单。同时，该工具应尽量减少误报，以确保漏洞扫描报告的质量。
9.合规
一些高要求行业（如医疗保健、金融和国防）通常需要发布更深层次的漏洞评估和报告，以满足监管配置的合规性。在这方面，它们通常需要HIPAA、GDFR和ISO选择扫描工具等。
10.修复建议
对于一些已经完全实现运维自动化的企业来说，他们往往希望扫描工具能够为常见漏洞和更复杂漏洞提供自动化修复方案。这对于那些跨职能团队来说是非常实用的。毕竟，安全是整个企业的共同责任。
四、自动漏洞扫描工具类型
根据操作模式和操作环境，自动化漏洞扫描工具可分为以下类型：
1.基于网络的扫描
基于网络的漏洞扫描工具可用于发现连接企业内外网络设备的安全情况。其目标是让安全团队识别可能存在于网络边界的攻击面。
2.基于主机的扫描
基于主机的漏洞扫描工具可以帮助安全团队识别内部网络中的各种主机（包括工作站、服务器、笔记本电脑等）“爬取”系统类型、补丁历史记录、配置信息、攻击者未经身份认证进入系统的可能性和破坏性。
3.无线扫描
通过扫描企业无线网络，检测可能恶意攻击的接入点，验证WiFi网络安全状况。
五、应用程序漏洞扫描工具
这种扫描程序包括动态应用程序安全测试(Dynamic Application Security Tests，DAST)、交互式应用程序安全测试(Interactive Application Security Tests，IAST)、静态应用程序安全测试(Static Application Security Tests，SAST)、以及运行时应用程序自我保护(Runtime Application Self-Protection，RASP)等类工具。
1.数据库扫描工具
大多数Web应用程序依赖于数据库来存储关键信息。对于数据库的扫描工具，可以识别如下：SQL注入攻击等，典型的数据库管理系统(DBMS)中的漏洞。
2.流行的自动漏洞扫描工具清单
Crashtest Security Suite
这是端到端的，可以和Web应用、Javascript、API测试平台，无缝集成DevSecOps类工具链。在保证更安全发布部署的同时，Crashtest Security通过参照OWASP Top 10的基准实现了较低的误报率(包括false positive和false negative)。同时，它可以为用户提供友好的格式输出、准确的报告和可行的修复建议。
Netsparker
该平台通过包含可用于漏洞评估的多种集成与安全方案，实现了自主、快速地检测和描述漏洞，并及时提供包含修复意见的报告。
Acunetix
该Web应用安全扫描工具同时提供付费和开源版，可扫描6500个漏洞。Acunetix通过自动扫描大规模的网络和应用，可以为运维团队提供深入的见解。
Metasploit
开源的Metasploit框架，通过渗透试验和入侵试验，发现整个基础设施中的系统漏洞，从而改善企业的安全状况。Metasploit也可以通过定制来满足各种需求Web具体的具体安全要求。
Nmap
作为另一种开源式漏洞扫描工具，Nmap可用于在操作系统和网络主机中发现各种漏洞。
IBM Security QRadar
这是一个功能丰富的安全信息平台，允许运维团队快速识别、分析和修复各种潜在威胁。该平台的人工智能技术可用于检测新的威胁和模型事件，并及时提供维修建议。
Nessus Professional
Nessus它是一个全面的漏洞评估和配置管理平台。通过扫描各种漏洞，可以积极保护目标网络免受各种攻击。
Burp Suite
Burp Suite是由PortSwigger开发的一款Web应用安全测试方案可以帮助企业通过自动扫描对抗各种零日威胁(zero-day threats)。同时，该套件还可以通过渗透测试功能识别各种功能SQLi攻击对于Web服务器的影响。
六、小结
一般来说，自动漏洞扫描工具包括各种可定制的先进测试案例，可用于扫描应用环境中的各种潜在漏洞，并以详细报告的形式提出相应的修复建议。其自动化特性也消除了操作和维护人员繁琐的手动工作。因此，我们可以选择适当的工具来为企业服务行业构建了良好的安全态势。
原文标题：Your Guide to Automated Vulnerability Scanners: Types,Benefits,and More，作者：Sudip Sengupta
【51CTO转载合作网站时，请注明原译者和出处51CTO.com】