資訊安全弱點掃瞄

Information Security Vulnerability Scanning

漏洞(弱點)偵測服務，真實摸礙資安事件，利用漏洞來持續攻擊(提權、中間人攻擊、橫向攻擊、APT攻擊、接管網域...等等)
主機漏洞(弱點)偵測為對內網成員主機來執行弱點偵測掃瞄，評估掃描其主機是否存在已知的安全漏洞(弱點)，及漏洞(弱點)風險嚴重程度，並針對結果提出相關建議與掃描報告。介著高效率掃瞄來分析及評估其存在的漏洞是否被駭客利用與攻擊，以及如何來修復或管理發現的漏洞，以符合所謂資安鐵三角 (機密性、可用性、完整性)，落實保護企業在第一時間內即修正可能發生的資安事件。

弱點掃瞄服務分為主機弱掃及網站弱掃，二種不同的掃瞄服務，但共同的目地就是介著高效率掃瞄來分析及評估其存在的漏洞是否被駭客利用與攻擊，以及如何來修復或管理發現的漏洞，以符合所謂資安鐵三角 (機密性、可用性、完整性)，落實保護企業在第一時間內即修正可能發生的資安事件，導入資安標準並通過驗證及辦理系統滲透測試、資安健診等強化資安防護措施

閘道通訊設備資訊安全漏洞

資訊設備類包含像防火牆或是 HUB / Switch / AP分享器 / NAS主機等
這些通常用戶端不一定會定期檢視紀錄與進行韌體更新，導致企業最使用頻繁的設備，卻鮮少進行更新與確認安全性
因為只要不出是，很少會有注意到，或是主動更新

系統軟體類

如使用的作業系統平台，微軟/ outlook / 遠端軟體/瀏覽器等
這些屬於偏向用戶端電腦，當然更少行政電腦操作人員會注意進行更新或是安全使用
更可能隨意關閉防護設定，或是安裝盜版軟體
隨意點擊或開啟連結，瀏覽偽冒的網站連結等

社交工程防護

用戶端對於經常使用的社交軟體，訊息通知信件等基本上可能只看到圖片就失去戒心
尤其通知信件，以及需要重新驗證等動作時
均會誤以為只是點擊連結後再確認，往往這時就已經中招
所以定期的社交工程，可以加強用戶端對資訊安全的意識
也會知道哪些用戶容易對哪些連結會失去戒心

滲透測試與藍隊演練，以及覆掃確認

再進行所有防護後，仍會進階安排藍隊演練，自外而內進行滲透測試
以利確認相關路徑是否有其他可能漏洞，以及驗證資訊安全防護

主機弱點掃瞄：

以作業系統識別、應用程式服務、版本掃瞄、網路服務程式、網路通訊埠、網通設備、IOT、智慧型裝置…等等。
被偵測掃瞄到的主體，透過已知的CVE漏洞資料庫及特徵來比對存在的漏洞，並以CWE(弱點類型的分類)，透過CVSS(弱點評分機制)來呈現該漏洞的嚴重性(Hight、Medium、Low)
主機弱掃是在Layer7層以下的掃瞄服務範圍。

網頁弱點掃瞄：

掃瞄範圍是針對其程式語言架構的網站，偵測出是否存在邏輯錯誤、錯誤的語法、源碼的檢測、輸入輸出檢測、安全機制、對來驗證網站的安全性。
偵測出的弱點透過評分機制，提供管理者或相關單位來執行修補或修正其風險的依據與方向，而漏洞會隨著時間只會增加，建議可依據其基楚設備的重要性，來做季或半年性的弱掃排程，以符合與落實資訊安全管理。

弱點偵測方式

OpenVAS(Open Vulnerability Assessment System)弱點掃描檢測工具，核心由三個(NVT、SCAP、CERT)弱點測試資料庫組成，並同步更新至最新的公共漏洞暴露資料庫（ＣVE, Common Vulnerabilities and Exposures），針對已知的漏洞及弱點對整個網路進行掃描，及通用漏洞評分系統（Common Vulnerability Scoring System, CVSS）。幫助使用者找出目前使用或管理的主機系統是否存在可能被攻擊的系統或程式漏洞，提供可能的解決方法

NVTs (網路漏洞測試)

是設備使用的測試例程。它們是定期更新的漏洞定義的一部分，其包括有關開發日期、受影響的系統、漏洞的影響和補救措施的資訊。

SCAP (安全內容自動化協議)

美國國家標準與技術研究院 (NIST)45 提供國家漏洞數據庫 (NVD)46。 NVD 是美國政府漏洞管理的數據存儲庫。目標是為自動化處理提供標準化的數據。由此，支持漏洞管理並驗證合規性指南的實施。使用安全內容自動化協議 (SCAP)。 SCAP 是不同的可互操作標準的組合。

CERT (計算機緊急協會)

CER公告由CERT-Bund發布，是德國聯邦信息安全辦公室的計算機應急響應協會CERT的主要任務是運行警告和信息服務發布有關新漏洞和安全風險以及 IT系統威脅的資訊。

制定義適當的掃瞄政策

評估環境與資訊蒐集，確保過程之安全性與結果的正確性
依據不同的系統、設備、網段、類別或重要性，擬定與設定合適的掃描政策
包含如：MS Windows，GNU/Linux（Debian，Fedora，Mandriva，Redhat，SUSE，Ubuntu），Solaris系統伺服器及網路設備進行安全掃描評估