检测资产脆弱性和应用风险_卓越架构(WAF)-阿里云帮助中心

资产脆弱性和应用风险分析

资产脆弱性包含了资产自身的配置风险，弱口令，资产存在的漏洞。攻击者会利用这些漏洞、弱口令形成威胁，对企业资源发起攻击形成安全风险。在安全风险评估中，资产本身的脆弱性也是需要企业重视的一环。

企业拥有的资产泛指云服务器，和基于云服务器构建的应用、容器环境等。

建立资产信息收集和管理的工具和流程，资产信息是在遇到网络攻击时，帮助企业安全管理员快速分析、定位、溯源的基础信息。又称资产指纹。

集中的收集和管理资产信息有助于帮助企业快速的摸清当前资产现状，通过全局视角监控和分析安全风险。

在云上可以通过云安全中心的资产指纹调查实现全局资产指纹管理。

服务器安全基线检查是基于相关标准，如CIS Benchmark（针对操作系统的基准）、等保合规（二级、三级）基准、阿里云服务器安全最佳实践（基线检测内容）对企业拥有的服务器进行安全基线检测。

安全基线检测有助于发现服务器存在的弱口令、未授权访问、操作系统的安全配置、容器的Kubernetes Master和Node节点配置风险检查、是否符合等级保护管理要求，对标权威测评机构安全基线环境的评测标准和要求。以及用户可以根据企业自定义安全检测项进行检测评估。推荐使用云安全中心的基线检查功能。

为了企业资产安全，建议企业定期进行服务器的漏洞扫描、评估和修复，漏洞也是攻击者最常使用的攻击手段之一，也是最有效的手段之一。

建议企业无论服务器规模大或者小，都应定期对服务器进行漏洞的评估，包括操作系统漏洞、Web漏洞、应用组件漏洞等。并设定周期性扫描和评估任务，同时和应用团队、运维团队设定相关的漏洞修复应急方案，以便于在发生大规模漏洞利用攻击时，能够第一时间响应。

可通过云安全中心的漏洞管理功能，对云上所有服务器进行定期、周期性的漏洞扫描。
可通过查看漏洞扫描结果来进一步评估该漏洞在企业环境中的影响和等级，可参考漏洞的CVE编号及详情、阿里云漏洞等级说明、以及漏洞标签（阿里云会根据历史发现和修复的漏洞，对漏洞打标签，如“存在EXP”、“命令执行”、“远程访问”等）。
查看漏洞评分，可根据评分和严重级别评估漏洞的真实风险。评分规则和模型可参考阿里云漏洞脆弱性评分系统。
查看存在真实风险的漏洞列表。云安全中心真实风险漏洞模型依据阿里云漏洞脆弱性评分系统、时间因子、实际环境因子和资产重要性因子对漏洞进行评估，结合实际攻防场景下漏洞是否可被利用（PoC、EXP）及其危害严重性，帮助您自动过滤出存在真实安全风险的漏洞。开启该功能可以帮助您提高资产中可被黑客利用的风险漏洞的补救效率以及补救措施的有效性。关闭该功能则会显示所有漏洞。
阿里云漏洞库包含CVE、CNNCD以及阿里云官方漏洞库。

可通过云安全中心的漏洞修复和验证功能对识别的漏洞进行修复和验证。

可通过云安全中心的漏洞管理功能，扫描系统中的应用漏洞，可查看支持扫描的应用漏洞。