風險型弱點管理如何大幅提升貴公司現代 IT 環境的安全態勢

弱點評估和弱點管理聽起來很類似，但其實彼此不同。如同最新的 Enterprise Strategy Group 白皮書說明，瞭解這兩者的差異、以及從突發性的弱點評估轉型為不間斷的風險型弱點管理 (RBVM) 非常重要。繼續閱讀，查看這份由 Tenable 贊助的研究重點，並瞭解 RBVM 如何協助企業在混合、複雜的多元雲端環境中獲得堅實的安全與風險態勢。

不要將弱點評估與弱點管理混為一談。

要有效管理安全風險，您需要不間斷且全方位的弱點管理，而不只是定期執行或突發性的時點弱點評估。儘管弱點評估也很重要，弱點評估只是用來降低風險和大幅提升現代 IT 環境安全態勢的廣泛弱點管理方案中的一部分。

這是由 Tenable 贊助、Enterprise Strategy Group (ESG) 最新發表的白皮書，名稱為：「Elevating Security with Risk-based Vulnerability Management (利用風險型弱點管理提升安全性)」。 該報告詳細說明何以您需要一套風險型弱點管理 (RBVM) 方案，它不只能評估弱點，更涉及排定優先順序、採取行動、重新評估並且結合改善作業。在這篇部落格貼文中，我們將深入探討這份報告的一些關鍵提要。

何謂弱點管理？弱點管理有哪些限制？

ESG 將弱點評估定義為「用來搜尋 IT 資產、應用程式及其相關弱點的時點網路掃描」。透過仰賴這些定期評估，企業其實難以完全追蹤及衡量他們採取的方案是否成功。他們通常都無法回答像是以下的這些重要問題：

• 「我們有掃描環境中所有的資產嗎？」
• 「我們有及時解決所有的重大弱點嗎？」
• 「我們是否有降低整體風險？」

若無法回答這些問題，企業就無法瞭解他們的努力帶來的長期影響。

隨著企業採用雲端服務、IoT 裝置、操作技術 (OT) 系統、行動端點等等，他們也必須管理和保護高度複雜、混合多元雲端的環境。有鑑於弱點評估工具是針對一次掃描一個 IT 環境所設計，仰賴這種傳統工具的企業通常就必須執行多個個別掃描，才能涵蓋它們整個環境。即便如此，使用傳統工具時，能見度依然是一大挑戰，因為傳統工具並不是針對偵測和保護現代資產 (如：虛擬機器、容器、雲端基礎架構和暫時性工作負載) 所設計。

接著，掃描結果必須彙整至單一位置，以便進行優先排序和修復工作。由於對企業來說，傳統的弱點評估工具在工作負載自動化方面的成本相當昂貴，因此也就難以做到。正如 ESG 白皮書中所述：「傳統工具本身也許比較便宜，但為了從工具所發現的結果來推動具有生產力的動作所需要的額外工時，最終會比軟體省下的成本還高。」

弱點管理方案最大的挑戰

根據 ESG 對 383 位 IT 與網路安全專業人員的問卷調查，企業在他們目前的弱點管理流程和工具中所面臨的前三大挑戰分別是：

• 自動化流程，例如弱點搜尋、優先排序以及緩和風險
• 追蹤缺少修補或無法修補的弱點
• 難以橫跨不同的工具來協調弱點管理流程

該資料顯示出一套能夠超越傳統弱點評估功能的弱點管理解決方案之需要，如此才能提供強大的工作流程自動化能力，有效且高效率地基於風險排定優先順序，以及彌補安全與修復團隊之間落差的方法。

不間斷的風險型弱點管理帶來的效益

對於更有效地降低風險以及達到強化的安全態勢而言，採用不間斷的風險型弱點管理方案非常關鍵。

ESG 特別點出，要採用風險型弱點管理方法的三大要素，以便找出弱點的背景資訊，並有效且高效率地排定風險的優先順序，如下：

1. 影響： 當弱點成功發動刺探利用時，您必須瞭解該弱點對於受影響資產以及企業整體的影響。
2. 刺探利用的可能性： 在您的優先排序工作中，瞭解哪些弱點正活躍地受到猖獗利用、哪些弱點能夠輕易被刺探利用，是非常重要的因素。
3. 資產價值： 近年來，由於資產價值已不只是決定哪些系統執行的是關鍵軟體，使得這個因素變得越來越複雜。資產價值也關乎於身分資料以及授權給某個系統的使用者之角色與權限。

讓貴公司的弱點管理方案變得完善，轉型為一種能有效降低風險的主動式完備方案，就能讓您更善加滿足現代工作負載的需要。如欲更深入探討 ESG 的研究發現，歡迎立即下載完整白皮書。

Tenable Vulnerability Management 如何提供協助

Tenable Vulnerability Management 是一套風險型弱點管理平台，它能為企業帶來一個解決當今最嚴峻的弱點管理調站所需的現代化有效方式。

Managed in the cloud and powered by Tenable Nessus, Tenable Vulnerability Management 能夠在雲端中進行管理，並且以 Tenable Nessus 為技術後盾，提供業界最全方位的弱點涵蓋範圍，能夠即時且不間斷地為企業評估，並提供完整的生態體系能見度，以預測攻擊、並迅速應變重大弱點。

如欲深入瞭解 Tenable Vulnerability Management，請立即開始免費試用 並下載「Elevating Security with Risk-based Vulnerability Management (利用風險型弱點管理提升安全性)」白皮書。