| 网络安全漏洞是网络信息系统的安全事故隐患所在。网络安全漏洞管理是把握网络信息系统安全态势的关键，是实施网络信息安全管理从被动向主动转变的标志性行动。网络安全漏洞管理主要包含以下环节。
|
|
|
|
|
| 对网络信息系统中的资产进行摸底调查，建立信息资产档案。如下图所示为Qualys Guard的资产管理操作界面。
|
|
|
|
|
| 利用Qualys Guard进行资产管理操作示意图
|
|
|
|
|
| 利用安全漏洞工具或人工方法收集整理信息系统的资产安全漏洞相关信息，包括安全漏洞类型、当前补丁级别、所影响到的资产。
|
|
|
|
|
| 对网络安全漏洞进行安全评估，如安全漏洞对组织业务的影响、安全漏洞被利用的可能性（是否有公开工具、远程是否可利用等）、安全漏洞的修补级别，最后形成网络安全漏洞分析报告，给出网络安全漏洞威胁排序和解决方案。网络安全漏洞安全威胁量化评估方法可使用国际上较为通用的CVSS，CVSS漏洞计分最高为10分，漏洞的CVSS分数越高表示漏洞的安全威胁越高。
|
|
|
|
|
| 常见的消除和控制网络安全漏洞的方法是安装补丁包、升级系统、更新IPS或IDS的特征库、变更管理流程。
|
|
|
|
|
| 网络信息系统是一个开放的环境，系统中的资产不断出现变化，如新IT设备和应用系统的上线、软件包删除和安装等。另一方面，安全威胁手段层出不穷。因此，网络信息系统的漏洞数量、类型以及分布都在动态演变。安全管理员必须设法跟踪漏洞状态，持续修补信息系统中的漏洞。
|
|
|
