北京天融信科技有限公司
免費(fèi)會(huì)員·4年
近日，Spring爆出RCE高危漏洞，編號(hào)CNVD-2022-23942，已有多家企業(yè)因此遭受攻擊。安全漏洞隱患不可一日不防，以規(guī)范化漏洞管理作為安全防護(hù)抓手顯得愈來(lái)愈重要。
2021年9月，《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》（以下簡(jiǎn)稱《規(guī)定》）正式施行。《規(guī)定》旨在規(guī)范和指導(dǎo)網(wǎng)絡(luò)產(chǎn)品提供者、網(wǎng)絡(luò)運(yùn)營(yíng)者等主體單位對(duì)網(wǎng)絡(luò)產(chǎn)品安全漏洞的管理工作。同時(shí)，《規(guī)定》中明確指出要以網(wǎng)絡(luò)產(chǎn)品為主視角建立漏洞接收、驗(yàn)證、修補(bǔ)、報(bào)送的管理制度，實(shí)現(xiàn)對(duì)上下游整個(gè)供應(yīng)鏈網(wǎng)絡(luò)產(chǎn)品安全漏洞的規(guī)范化管理，因此主體單位建立規(guī)范化漏洞管理機(jī)制勢(shì)在必行。
天融信提供脆弱性合規(guī)管理方案，以安全漏洞全生命周期管理為核心理念，從網(wǎng)絡(luò)產(chǎn)品安全漏洞的識(shí)別、確認(rèn)、修復(fù)、復(fù)查等全流程建立技術(shù)支撐手段，快速發(fā)現(xiàn)和處置網(wǎng)絡(luò)產(chǎn)品安全漏洞，形成常態(tài)化、規(guī)范化漏洞管理機(jī)制。與此同時(shí)，貼合《規(guī)定》的漏洞管理要求，從漏洞接收、漏洞驗(yàn)證、漏洞修補(bǔ)、漏洞報(bào)送4個(gè)維度出發(fā)，為客戶提供成熟全面的漏洞管理方案。
1、漏洞接收
《規(guī)定》要求
應(yīng)當(dāng)建立健全網(wǎng)絡(luò)產(chǎn)品安全漏洞信息接收渠道并保持暢通，留存漏洞信息接收日志不少于6個(gè)月。
應(yīng)對(duì)辦法
系統(tǒng)可納管多類漏掃系統(tǒng)，通過(guò)制定漏洞檢測(cè)規(guī)則，有效發(fā)現(xiàn)接收網(wǎng)絡(luò)產(chǎn)品安全漏洞，同時(shí)天融信漏洞共享中心可接收各節(jié)點(diǎn)上報(bào)的漏洞信息形成情報(bào)共享互聯(lián)，并且系統(tǒng)可以自定義存儲(chǔ)釋放時(shí)間，響應(yīng)各類合規(guī)要求。
2、漏洞驗(yàn)證
《規(guī)定》要求
應(yīng)當(dāng)立即采取措施并組織對(duì)安全漏洞進(jìn)行驗(yàn)證評(píng)估。
應(yīng)對(duì)辦法
內(nèi)置豐富的漏洞庫(kù)，并配合天融信云端漏洞情報(bào)中心及第三方情報(bào)中心獲取漏洞情報(bào)，對(duì)網(wǎng)絡(luò)資產(chǎn)漏洞的存在性、等級(jí)、類別等進(jìn)行技術(shù)驗(yàn)證，結(jié)合天融信安服專家團(tuán)隊(duì)人工研判，從而實(shí)現(xiàn)安全漏洞驗(yàn)證評(píng)估工作的快速響應(yīng) 。
3、漏洞修補(bǔ)
《規(guī)定》要求
應(yīng)當(dāng)及時(shí)組織對(duì)漏洞進(jìn)行修補(bǔ)，將漏洞風(fēng)險(xiǎn)及修補(bǔ)方式告知可能受影響的產(chǎn)品用戶，并提供必要的技術(shù)支持。
應(yīng)對(duì)辦法
對(duì)已研判確認(rèn)的產(chǎn)品漏洞的嚴(yán)重程度，受影響范圍等因素進(jìn)行評(píng)估，提供專業(yè)的漏洞修復(fù)方案及處置辦法。內(nèi)置流程化處置機(jī)制，可針對(duì)不同規(guī)模的安全團(tuán)隊(duì)實(shí)現(xiàn)高效的流程作業(yè)。
4、漏洞報(bào)送
《規(guī)定》要求
應(yīng)當(dāng)在2日內(nèi)向網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)報(bào)送相關(guān)漏洞信息。
應(yīng)對(duì)辦法
積極響應(yīng)《規(guī)定》要求，向上開放報(bào)送接口，對(duì)接漏洞信息共享平臺(tái)，實(shí)現(xiàn)對(duì)安全漏洞信息的收集和上報(bào)。
天融信脆弱性合規(guī)管理方案以整合提升企業(yè)現(xiàn)有漏洞管理能力為目標(biāo)，引入天融信脆弱性合規(guī)管理系統(tǒng)，驅(qū)動(dòng)多類系統(tǒng)漏掃、Web漏掃、基線檢查等漏洞發(fā)現(xiàn)工具，對(duì)接天融信云端情報(bào)中心，全面識(shí)別網(wǎng)絡(luò)資產(chǎn)并進(jìn)行漏洞檢測(cè)發(fā)現(xiàn)。在此基礎(chǔ)上，優(yōu)化漏洞處置流程協(xié)作業(yè)務(wù)管理員、安全管理員和安服人員進(jìn)行漏洞處置，同時(shí)系統(tǒng)提供報(bào)送接口實(shí)現(xiàn)與平臺(tái)的對(duì)接上報(bào)。
面對(duì)企業(yè)日常運(yùn)維作業(yè)
天融信脆弱性合規(guī)管理方案
針對(duì)不同場(chǎng)景
幫助客戶建立規(guī)范化漏洞流程管理
新資產(chǎn)上線漏洞掃描
新資產(chǎn)上線前通常是系統(tǒng)漏洞缺陷存在最多的時(shí)機(jī)，需要對(duì)其進(jìn)行全面檢查，盡可能在上線前發(fā)現(xiàn)并修復(fù)漏洞。天融信脆弱性合規(guī)管理方案進(jìn)一步完善新資產(chǎn)上線漏洞掃描流程，同時(shí)驅(qū)動(dòng)多種類型掃描工具，整合各種漏洞檢查能力進(jìn)行綜合發(fā)現(xiàn)。
定期資產(chǎn)脆弱性檢查
天融信脆弱性合規(guī)管理方案可執(zhí)行周期性檢查策略，驅(qū)動(dòng)掃描工具進(jìn)行定期漏洞檢查，實(shí)現(xiàn)自動(dòng)化漏洞掃描、分析報(bào)告、告警通知、態(tài)勢(shì)展示，降低定期資產(chǎn)脆弱性檢查流程中人力投入，加強(qiáng)檢查過(guò)程自動(dòng)化。
重大漏洞的應(yīng)急處置
當(dāng)出現(xiàn)重大安全漏洞時(shí)，天融信脆弱性合規(guī)管理方案在云端時(shí)間推送漏洞情報(bào)信息到網(wǎng)絡(luò)運(yùn)營(yíng)單位本地脆弱性合規(guī)管理系統(tǒng)，提供受影響資產(chǎn)特征、修復(fù)加固方案，幫助客戶在重大漏洞應(yīng)急處置流程中快速識(shí)別受影響資產(chǎn)范圍，縮短應(yīng)急響應(yīng)時(shí)間。
TOPSEC
天融信目前已陸續(xù)推出了主動(dòng)防御、智能分析、集中管控、追蹤溯源、演練等多套安全運(yùn)營(yíng)業(yè)務(wù)場(chǎng)景方案，真正做到從客戶痛點(diǎn)入手，形成業(yè)內(nèi)場(chǎng)景面的方案組合套件。未來(lái)，天融信將持續(xù)緊貼政策要求，覆蓋漏洞治理的全流程、多角度，有力保障網(wǎng)絡(luò)產(chǎn)品安全性，完善網(wǎng)絡(luò)安全運(yùn)營(yíng)工作中的漏洞治理能力，實(shí)現(xiàn)更加全面的安全運(yùn)營(yíng)。
