在啟用漏洞管理程序后不久，企業往往會發現自己面臨著海量的網絡安全漏洞數據。掃描這些結果可能讓企業看到分布在各種不同的系統和應用中的數百甚至數千個漏洞。

安全專業人員應該如何解決這個風險問題？在本文中，我們將研究一種三角叉式優先級方案，其中整合了外部關鍵性評估、數據敏感度和現有控制環境來幫助企業成功地對漏洞進行評級，同時優化整治工作。

這種三步驟過程是假定你已經獲取了關于環境中存在的網絡安全漏洞的信息、由系統和應用處理的信息的敏感度以及環境中現有安全控制的狀態。這些信息可能來自不同的漏洞管理程序，包括Web和網絡漏洞掃描器、數據丟失防護系統和配置管理軟件等。

步驟1：確定漏洞的嚴重程度

你首先需要的數據元素是評估你環境中存在的每個漏洞的嚴重程度。在很多情況下，你可以從漏洞管理工具供應商的數據feed來獲取這種嚴重程度的信息。

這種嚴重程度評估應該基于一個成功的漏洞利用可能造成的潛在的損害。例如，允許攻擊者獲取對系統的管理訪問權限的漏洞比導致拒絕服務的漏洞要嚴重得多。嚴重程度信息也可能會考慮現實世界中存在的漏洞利用;與沒有已知漏洞利用的理論漏洞相比，惡意軟件使用的漏洞更嚴重。

對于我們模型的目的，我們將假設你在使用具有5級漏洞評級系統的產品，其中，具有最高破壞性的漏洞被評為5級。

步驟2：確定數據的敏感度

漏洞帶來的風險會因為包含該漏洞的系統上的信息的敏感程度而加倍。例如，與僅包含公開信息的系統相比，包含社會安全號碼或者信用卡數據的系統應該得到更多的關注和更多保護。

然而，這并不意味著，企業只需要管理好包含敏感信息的系統，因為如果面向公眾的網站受到攻擊，你的企業將會遭受與敏感信息泄漏相同的聲譽損失。不過，敏感信息的存在確實放大了攻擊的影響力。

收集有關數據敏感度的信息可能會非常棘手，這取決于你的信息分類機制的成熟度。如果你才剛剛起步，你最好使用相對簡單的模型，根據數據的敏感度將數據分類：

高敏感度信息即受到嚴格監管的信息，或者如果泄漏將對企業帶來嚴重破壞的數據。我們信息安全機制的“御寶”包含這些數據元素：信用卡數據、受保護的醫療信息和銀行賬戶詳細信息。

內部信息是指不符合“高度敏感”類別但也不應該被公開發布的信息。此類別可能看起來過于寬泛，它也是最難定義的類別。如果你沒有數據分類機制，將所有這些數據歸為一類是最合適的開始方式。如果企業需要分類，可以考慮以后再細分類別。

公開信息是指你的企業愿意透露給公眾的信息，例如產品文獻、你的公共網站上的數據以及發布的財務報表。

當對系統進行數據敏感度評級時，你的評估應該基于系統存儲或處理的信息的最高敏感度水平。處理高敏感度信息的系統被評為5級，而處理內部信息的系統可能被評為2級、3級或3級，這取決于敏感度水平。所有其他系統都被評為1級。

步驟3：評估現有控制

這個過程的最后一步是評估現有控制—這些控制保護潛在易受攻擊的系統免受攻擊。根據你企業需要的具體控制的不同，你用來進行評級的方法也會有所不同。例如，如果你有一個高度安全的網絡用于極度敏感的系統，對于5級控制評級標準，你可能會將這些系統評為5級。同樣地，如果使用公共IP地址的系統可以通過互聯網從web應用訪問，而沒有受到web應用防火墻保護，這種系統可能被評為1級或者2級。你應該選擇能夠準確反映你的環境中預期控制的評級標準，然后對具有強大安全控制的系統評為較高等級。

整合這些數據

在收集了所有這些信息后，你可以利用它們來評估你的報告中出現的漏洞。而且，在你將所有這些數據收集在一起后，你可以對系統中存在的每個漏洞執行下面這個簡單的計算：

風險數=(漏洞嚴重程度*數據敏感度)/現有控制

如果每個選項都是5分制，這個漏洞評級范圍將是從最低0.2分(在僅包含公共信息的良好控制的系統中存在的的嚴重性漏洞)到最高25分(包含高敏感度信息而缺乏安全控制的系統中存在高嚴重性漏洞)。

雖然這看起來需要收集大量數據以及執行大量計算，你可以找到方法來自動化這個過程并改進你的漏洞優先級工作。例如，你可以創建一個數據庫來存儲關于所有服務器資產的數據敏感度和控制狀態信息。

同樣地，你可以利用腳本來分析供應商報告，以自動化提取漏洞嚴重度信息，從數據庫中提取相關信息并計算風險分數。

我們有很多方法來為企業定制網絡安全漏洞優先級系統。無論你做出怎樣的調整，對于任何想要降低IT安全風險的企業而言，基于風險優先級決策的有效的漏洞管理程序都是一個必須因素。簡化用來執行漏洞風險分析的程序，讓企業更容易開始和維護這樣一個程序。