6個頂級漏洞管理工具

這些年來，不僅漏洞管理發生了相當大的變化，企業安全團隊發現并不斷修補的系統也發生了變化。如今，有系統內部部署、物聯網設備、公有和私有云，以及更多的定制應用程序。漏洞管理系統不再只關注網絡和私有托管應用程序。現在，他們必須評估所有這些系統，找出漏洞，并幫助企業安全團隊做出更好的補救決策。

我們必須要好好的利用這些危險的漏洞。無法利用的系統上的漏洞并沒有太大的危險。了解真正的危險才是最重要的，這樣企業就可以制定修復計劃，哪些漏洞要立即修復，哪些可以稍緩一緩。

如果想要利用漏洞，根據其潛在影響對其進行分類也很重要。這包括漏洞利用的潛在嚴重性，如清除整個數據庫與鎖定單個用戶，以及受影響資源的價值。你面向公眾的網站受到污損是十分尷尬的，你可能更在乎保密的數據是否被盜，因為這可能導致強制違規披露和監管罰款。 

最好的漏洞管理程序應該是以掃描的方式添加參數。一些公司甚至利用人工智能提供自動修復、培訓或預防性幫助，了解適用于啟動掃描的企業的法規遵從性標準、法律要求和最佳做法。 

由于企業網絡中都隱藏著潛在的數千個漏洞，這是可靠地確定修復優先級和降低風險的唯一方法。以下六種產品至少在漏洞管理的某一個方面上突破了極限。 

Qualys VMDR 

Qualys是1999年推出的第一個SaaS漏洞管理平臺。當時，企業設備連接到企業內部網絡，漏洞掃描器評估這些內部網絡和少數托管并面向互聯網的應用程序。但現在沒有那么簡單了。我們有了內部部署的系統、更多的定制軟件、云系統、更多的開源軟件和虛擬化系統。 

Qualys VMDR (Vulnerability Management Detection and Response)作為云服務訪問。它的小型語音代理、虛擬掃描器和被動網絡掃描功能可以幫助企業查看其資產，并識別添加到網絡中的以前未知的資產。Qualys VMDR可以評估本地資產、所有云和端點。 

收集了漏洞數據后，Qualys VMDR允許用戶搜索特定資產上的結果，以深入了解配置、服務運行、網絡信息和其他數據，這些數據將有助于降低漏洞被威脅行為者利用的風險。其 AssetView 功能使安全和合規團隊能夠根據對企業重要的內容不斷更新其信息資產。儀表板也可以進行自定義設置。 

這往往會掃描出許多漏洞，因此必須關注最關鍵系統上最危險的漏洞，以便安全團隊能夠以最有效的順序對其進行補救。Qualys VMDR識別資產和漏洞并確定其風險優先級后，用戶可以在平臺內部署修補程序。 

Orca Security 

Orca Security是一款云安全態勢管理(CSPM)工具，它管理AWS、Azure和谷歌云平臺等云基礎設施服務中的漏洞。由于Orca是為云構建的，因此它可以在這些環境中直接運行，這與一些曾經在本地并改進為云漏洞管理系統的掃描器不同。 

Orca的SideScanning技術使用戶可以通過提供他們的憑證來創建他們的云環境清單。它收集操作系統包、應用程序、庫等方面的數據。對于它所發現的每一個漏洞，系統都會向用戶提供一個詳細說明其與其他資產的關系，以便團隊能夠對修復工作進行優先排序。 

正如人們對高級漏洞管理器所期望的那樣，Orca實現了將漏洞映射到企業云系統中的漏洞嚴重性。Orca通過發現云系統和工作負載及其配置和安全設置來實現這一點。不過，Orca可以理解工作負載執行的角色，比如配置它們執行什么工作以及啟用了什么權限。除了配置和權限之外，Orca還可以確定連通性，并查看哪些網絡是公開可用的，哪些不能。有了這些數據，Orca會創建一個可視化視圖，嘗試評估云系統中漏洞的實際風險。 

Orca漏洞數據庫包括來自NIST國家漏洞數據庫和其他20多個來源的數據，如OVAL、漏洞數據庫，還有Debian bug tracker。 

Detectify 

Detectify并不是像Qualys那樣的漏洞管理服務提供商。它和以攻擊面管理著稱的(ASM) 相類似。ASM從攻擊者的角度關注漏洞，包括持續發現企業IT資產，面向互聯網的系統，如云基礎設施，第三方系統和Web應用程序。它發現系統中的漏洞，然后確定優先級并幫助管理這些漏洞的補救措施。 

Detectify成立于2013年，提供外部攻擊面管理。盡管Detectify能夠發現、評估和確定企業攻擊表面的優先級，但它也與道德黑客合作，并在短短15分鐘內將他們的研究結果提供給掃描器。 

因為Detectify是基于云的，所以不需要安裝。只需添加要評估的域，就會持續評估所有關聯的子域和應用程序。Detectify將其掃描分為兩個服務，表面監控和應用程序監控。 

Surface Monitoring評估一個企業的面向互聯網的資產，并評估其發現的主機是否存在漏洞、配置錯誤等。Detectify提供修復信息，修復它所發現的漏洞，并縮小攻擊面。 

另一方面，應用程序掃描會不斷評估組織的web應用程序是否存在漏洞，并就如何補救這些漏洞提供建議。Detectify評估生產中的應用程序、開發管道和應用程序暫存。 

Detectify讓我感興趣的是它將自動化與眾包相結合在了一起。有了這種結合，自動掃描可以檢查系統中存在的漏洞，而經驗豐富的安全研究專家則可以自行尋找尚未發現的漏洞。

 Kenna安全漏洞管理 

任何使用過漏洞管理工具的人都知道，不同的掃描程序通常會識別不同的漏洞。有些軟件在不同的任務上比其他軟件略勝一籌，比如評估內部網絡或云應用程序——了解與所有暴露的漏洞相關的風險是令人生畏的。這就是 Kenna和 Kenna.VM 出現的原因。 

Kenna 自己不做掃描。但它提供了連接器程序，允許它從任何漏洞掃描程序中提取數據，包括Tripwire，Qualys，McAfee和CheckMarx制作的那些。該平臺本身部署為一項服務，客戶登錄云門戶以檢查其信息，并允許Kenna了解其保護的網絡。 

Kenna的理念是，收集掃描器發送的許多漏洞警報，然后與實時的威脅數據進行比較。它可以將發現的漏洞與利用它的主動威脅活動聯系起來，并優先考慮快速修復。全球范圍內被利用的任何漏洞都會自動提高優先級，因此防御者可以在攻擊者發現并利用它們之前修復最危險的問題。 

Kenna.VM是最早將實時威脅數據納入漏洞管理的平臺之一。從那時起，該平臺已擴展到包括其他威脅源，包括該公司基于其客戶網絡管理的威脅源。它還增加了對更多漏洞掃描器的支持，現在幾乎可以與市場上的所有人一起使用。 

這個平臺很好地解釋了為什么受保護的網絡中存在漏洞，并給出了修復漏洞的提示。它可以根據缺陷可能影響的資產和問題的嚴重性，對發現的缺陷進行優先排序。這是一個出色的功能，但基于積極的威脅活動對漏洞進行優先排序，是Kenna平臺在突出必須首先解決的關鍵問題方面的王牌之一。 

最近，Kenna Security向Kenna.VM添加了所謂的基于風險的服務級別協議(SLA)。基于風險的 SLA 根據企業的風險承受能力提供補救時間范圍。企業接受風險的程度越低，修復漏洞的速度就越快。Kenna 基于風險的 SLA 基于三個因素：風險承受能力、資產優先級和漏洞風險評分，例如高、中或低。該公司還為Crowdstrike Falcon Spotlight和Twistlock增加了一個連接器。 

Flexera軟件漏洞管理 

當許多漏洞管理人員專注于公司自己開發的應用程序和代碼時，Flexera軟件漏洞管理平臺更關注幾乎所有企業用于開展業務的第三方軟件程序。在大多數情況下，修復購買或許可軟件中的漏洞是通過應用補丁來完成的。對于企業來說，這可能是一件大事，特別是如果他們必須讓數千個系統或關鍵服務離線才能應用補丁的話。由于當今軟件集成的緊密程度，修復一個問題甚至可能會產生其他問題。 

Flexera軟件通過在企業中創建安全的補丁管理過程來幫助解決此問題。它可以發現第三方軟件中的漏洞，并向管理員建議潛在威脅的嚴重性。向數千名用戶發布一個大規模補丁來修復一個小漏洞或修補受保護組織未安裝或使用的功能，可能不會有什么好處。Flexera可以通過提供參數，然后在必要時部署補丁來幫助做出決策。 

你還可以使用Flexera平臺，在需要時以不影響操作的方式修復漏洞，從而錨定自動補丁管理系統。最后，它可以生成有關漏洞和補丁管理以及企業如何遵守相關框架、法律和最佳實踐的定制報告。 

最近，Flexera啟用了漏洞管理器與VMware Workspace ONE UEM(統一端點管理)之間的互操作性。這為客戶提供了識別、優先排序和滿足第三方補丁部署的能力，以彌補軟件漏洞。一旦識別出漏洞并確定其優先級，客戶現在就可以使用Workspace ONE UEM將此類補丁部署到其管理的設備上，從而減少漏洞窗口。 

Tenable.io 

Tenable以創建安全儀表板而聞名。他們將同樣的診斷技術引入了漏洞管理程序Tenable.io。這個平臺是在云中管理的，因此它在受保護的企業中占用的空間很小。它結合使用主動掃描代理、被動監視和云連接器來搜索漏洞。然后，Tenable.io應用機器學習、數據科學和人工智能來預測在攻擊者利用之前需要做出哪些修復。 

Tenable.io 的最大優勢之一是它使用儀表板及其自定義報告以任何人都能理解的方式顯示漏洞。無論是開發人員、運營團隊成員還是 IT 安全人員，他們都可以輕松理解 Tenable.io 生成的警告。 在某種程度上，Tenable.io 為不需要專門培訓或專業知識的所有人提供漏洞管理。 

為了擴展其外部攻擊面管理能力，Tenable最近收購了ASM供應商Bit Discovery。 這使客戶對內外部攻擊有了全面的了解。