安全扫描技术操作规范

安全组会使用多种安全工具(免费、商业、自研),周期性地执行以下技术安全扫描操作:

项目说明周期工具
读写共享文件夹扫描Everyone可读的共享文件夹存在数据泄漏风险;Everyone读写权限的共享文件夹易成为病毒传播的媒介每周SoftPerfect Network Scanner 6.2.1
授权:免费
Windows弱密码扫描检查是否存在弱密码;是否符合公司密码策略每周Medusa
授权:开源
SQL弱密码扫描检查是否存在弱密码;是否符合公司密码策略每周Hydra
授权:开源
未加域机器扫描机器不加入公司域会造成组策略、登录脚本和安全更新无法应用到主机每周Microsoft Baseline Security Analyzer (MBSA)
授权:免费
系统漏洞扫描使用非特权账号,对所有开放的TCP/UDP端口执行网络扫描,根据漏洞数据库检查发现已知漏洞每月OpenVAS
授权:开源
防火墙规则扫描检查可能的防火墙规则配置错误,避免不应该开启的端口曝光在公网上每月ScanLine
授权:免费
防病毒软件安装扫描检查Windows平台防病毒软件安装情况每月Trend Micro Vulnerability Scanner
授权:随安全产品捆绑
微软补丁应用扫描检查Windows平台Service Pack和Hotfix应用情况每月Microsoft Baseline Security Analyzer (MBSA)
授权:免费
域用户登录扫描未使用域帐号登录操作系统会造成组策略、登录脚本和安全更新无法应用到主机每月PsLoggedOn
授权:免费
数据库安全扫描检查数据库服务器不安全的参数配置,并建议安全最佳做法每月(内部服务)
每周(对外服务)
SQLdict
授权:免费
Scuba
授权:免费
Microsoft Baseline Security Analyzer (MBSA)
授权:免费
Web应用安全扫描对Web应用进行安全扫描,防止可能的黑客对我们的应用未经授权的访问并窃取敏感数据
参考:https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project
按需/每季度Arachni
授权:开源
OWASP Zed Attack Proxy (Paros Proxy)
授权:开源
Acunetix Web Vulnerability Scanner
授权:评估版
Netsparker Web Vulnerability Scanner
授权:评估版

 1,135 total views,  3 views today

发表评论

邮箱地址不会被公开。 必填项已用*标注