漏洞管理（Vulnerability Management，VM）已经有了上千年历史，城市、部落、国家和企业都会触及该学科的知识。漏洞会让潜在的攻击者有机可乘，任何机构的成功管理和运作都依赖于对漏洞进行检测和修复的能力。以往，人们修筑城堡，在城市中建造防御设施和高级预警系统，这些都是他们意识到自身的脆弱性并为了抵御危害而采取的各种措施。如今，我们检测到在软件系统、基础设施以及企业战略中也都存在一些漏洞，这些漏洞通常需要从多个角度、以创新性的方法来解决。
本书是一本信息安全从业人员的指导手册，读者包括安全工程师、网络工程师、安全部门的官员或首席信息主管（CIO）等在内的安全行业从业人员，系统地介绍了什么是漏洞管理及其在组织机构中的作用。本书涵盖了漏洞管理的各个重点领域以满足不同读者的需求。技术章节从宏观视角介绍了漏洞相关内容，不打算太纠结于技术细节的决策者也可以读懂这部分内容。其他有关流程和策略的章节，也能为领导层提供一定的参考，但主要是从工程师或安全主管的角度介绍了漏洞管理技术及其流程在企业中所起的作用。 作者建议对漏洞管理领域感兴趣的读者阅读相关章节，并略读其余章节。如果不能以长远的眼光全面理解漏洞管理的各个方面，将难以有效参与漏洞管理的任何一个环节。通常，员工们会担心他们在某个过程中承担的工作看起来毫无意义。希望本书介绍的内容能够在一定程度上减轻这种焦虑。第1章 绪论1.1 风险管理的作用1.2 漏洞管理的起源1.3 安全产业及其缺陷介绍1.4 来自政府和产业的挑战1.5 漏洞的来源1.6 有缺陷的漏洞管理示例1.7 漏洞管理的重要性第2章 漏洞体验2.1 简介2.2 漏洞产生过程2.3 创建漏洞：一个例子2.4 使用漏洞管理程序的理由2.5 漏洞管理程序故障第3章 计划和组织3.1 概述：计划结构3.2 漏洞管理计划和技术开发3.3 参与者3.4 策略和信息流3.5 小结第4章 漏洞管理技术4.1 简介4.2 总体架构4.2.1 硬件模式4.2.2 用户提供的硬件和虚拟化4.3 代理4.3.1 代理架构4.3.2 优点与缺点4.3.3 检测方法4.4 被动网络分析4.4.1 优点与缺点4.4.2 检测方法4.4.3 物理层4.4.4 数据链路层4.4.5 网络层4.4.6 4至7层4.5 主动扫描技术4.5.1 优点与缺点4.5.2 检测方法4.6 混合方法4.7 推理扫描4.8 CVE4.8.1 结构4.8.2 CVE的局限4.9 漏洞测试数据标准4.9.1 架构定义4.9.2 系统特征架构4.9.3 结果架构4.9.4 测试描述4.10 漏洞危害程度评价标准 4.11 美国国家漏洞库 4.11.1 CPE 4.11.2 XCCDF4.12 SCAP4.13 Nessus4.13.1 优点与缺点4.13.2 扫描模型4.13.3 使用Nessus第5章 选择技术5.1 概述5.2 总体需求5.2.1 责任分担5.2.2 时间表5.2.3 标准5.2.4 报告5.2.5 高级报告5.3 自动化5.3.1 标签生成5.3.2 流程整合5.3.3 流程和系统的灵活性5.3.4 补丁管理支持5.4 体系结构5.4.1 被动的体系结构5.4.2 基于代理的体系结构5.4.3 主动扫描的体系结构5.4.4 保证平台安全5.4.5 系统整合5.5 定制与整合5.6 评分方法5.7 访问控制5.7.1 活动目录5.7.2 RADIUS和TACACS+5.7.3 授权5.8 部署方法5.8.1 主动扫描器部署：物理部署5.8.2 虚拟扫描器5.8.3 被动分析器的部署5.8.4 代理部署5.9 小结第6章 过程6.1 介绍6.2 漏洞管理过程6.2.1 准备6.2.2 发现6.2.3 轮廓6.2.4 审计6.2.5 修复6.2.6 监控和调整6.2.7 管理6.3 基准6.4 ITIL-ITSM流程6.4.1 服务支持6.4.2 服务台6.4.3 事件管理6.4.4 服务交付6.4.5 其他方面6.5 IAVA流程6.6 数据分级6.6.1 案例研究：Big Tyre Corporation6.6.2 数据分级流程6.7 风险评估6.7.1 信息收集6.7.2 安全控制评估6.7.3 业务需求6.7.4 资产估值6.7.5 漏洞评估6.7.6 安全控制措施有效性评估6.8 小结第7章 执行、汇报与分析7.1 介绍 7.2 发现报告7.3 评估报告7.4 框架报告7.5 审计报告7.5.1 主动扫描审计报告7.5.2 被动扫描审计报告7.5.3 审计趋势分析7.6 主动扫描：时间安排与资源7.6.1 审计参数7.6.2 时间安排7.7 审计趋势与性能报告7.7.1 基本报告7.7.2 高级报告：控制图7.7.3 介绍漏洞群：控制性能报告7.8 合规性报告7.8.1 系统合规性报告7.8.2 合规性执行总结7.9 小结第8章 规划8.1 介绍8.2 章程制定8.2.1 介绍：业务价值8.2.2 目的和目标8.2.3 范围8.2.4 假设8.3 业务用例8.4 需求文档8.5 安全架构建议8.6 RFP8.7 实施计划8.8 操作流程文档8.9 资产估价指南8.10 漏洞管理策略8.11 部署策略8.11.1 基本策略8.11.2 基于风险的策略8.11.3 改进的时间表8.12 部署标准与进展报告8.13 小结第9章 策略性漏洞9.1 介绍9.2 操作环境9.3 管理外部因素9.4 控制内部漏洞9.4.1 业务模式9.4.2 业务程序9.4.3 复杂性9.4.4 反应方案9.4.5 漏洞方法论与变更9.4.6 复杂性9.5 规避原则9.6 了解对手9.6.1 优点与缺点9.6.2 现实事件9.6.3 目的与目标的对比9.6.4 时间放大效应9.6.5 政治环境加剧攻击9.7 小结第10章 总结10.1 介绍10.2 跨领域机会10.3 跨技术机会10.3.1 代理10.3.2 补丁管理10.3.3 应用渗透测试10.4 流程缺陷10.5 运行环境的变化10.5.1 省时10.5.2 节电10.5.3 分布式计算10.6 报告10.7 服务水平协议10.8 小结
相关资源：漏洞管理.pdf