=Start=

缘由：

备考CISSP，学习、整理在看《CISSP官方学习指南（第7版）》时的一些知识点，方便以后快速复习。

正文：

参考解答：

第16章 管理安全运营

本章中覆盖的CISSP考试大纲包含：
安全运营
D.保护资源的配置
D.1 资产清单(例如，硬件、软件)
D.2 配置管理
D.3 物理资产
D.4 虚拟资产(例如，软件定义网络、虚拟SAN、宾客操作系统)
D.5 云资产(例如，服务、VM、存储、网络)
D.6 应用(例如，负载或私有云、Web服务、SaaS)
E.理解和应用基本的安全操作原则
E.1 知其所需/最小特权(例如，权利、聚合、传递信任)
E.2 职责和责任分离
E.3 监控专有特权(例如，操作、管理)
E.4 岗位轮换
E.5 信息生命周期
E.6 服务级别协议
F.采用资源保护技术
F.1 介质管理
F.2 硬件和软件资产管理
I.执行和支持补丁及脆弱性管理
J.参与和理解变更管理流程(例如，版本、基线、安全影响分析)
P.参与解决人身安全问题(例如，胁迫、旅行、监控)

安全运营域包括范围广泛的安全基础概念和最佳实践。该域包含许多核心概念，任何组织都需要这些概念来提供基本的安全保护。

资源保护确保在资源整个生命周期内的介质和其他有价值的资产都得到保护。类似地，配置管理确保系统在整个生命周期内都被配置，并且变更管理流程使系统免受外部未授权改变导致的运行中断。补丁和漏洞管理控制确保系统是最新的，并使其免受己知漏洞的攻击。

---

16.1 应用安全运营的概念

安全运营实践的主要目的是保障系统中信息资产的安全性。这些实践有助于确定威胁和漏洞，并实施控制来降低整个组织资产的风险。

在IT安全环境中，应尽关注和应尽职责依靠不断演进的基本原则，采取合理的关注来保护组织的资产。高级管理人员对执行应尽关注和应尽职责有直接责任。实施的通用安全运营概念包括如下几个部分：执行周期性的审计和检验，验证应尽关注和应尽职责的级别(这将减少损失发生时高级管理部门的责任)。

16.1.1 知其所需和最小特权

知其所需和最小特权是值得在任何IT安全环境中采纳的两条标准原则。通过限制对有价值资产的访问来提供保护。虽然这两个术语之间有关联，且许多人都交换地使用这两个术语，但是它们之间仍然有一些明显的差异。知其所需关注权限和访问信息的能力，而最小特权关注特权。

提醒一下，许可允许访问客体，如文件。权限涉及采取行动的能力。访问权限和许可是同义词，但是权限涉及操作操作系统的能力，例如改变系统时间。特权是权限和许可的结合。

1.知其所需访问
知其所需原则利用需求来给用户授权，仅仅根据为完成所分配任务而授权访问需要操作的数据或资源。主要目的是保持秘密信息的机密性。如果想保守一个秘密，最佳方式是不告诉任何人。

2.最小特权原则
最小特权原则表明主体仅仅被授予执行己分配工作任务的特权，不会拥有超出其工作任务的特权。记住这里所讲的特权包含了数据的许可权和执行系统任务的权限。

当知其所需和最小特权被授予、聚合和传递信任时，额外的人员概念需要被考虑。

• 授予——授予特权涉及一系列用户获取的特权，典型地是当第一次开通账户时。换句话说，当管理员创建用户账户时，他们应确保该账户被分配了适量的资源，并且包括特权。用户服务开通的过程应该采用最小特权原则。
• 聚合——最小特权环境下的聚合涉及用户随着时间而收集到的一系列特权。例如，如果一个用户从一个部门转到另一个部门，但同时-还是在一家公司任职，这个用户会终止每个部门的特权。为了避免访问的聚合问题，管理员在用户转到不同部门时应该收回特权，使其不再拥有前一个部门的特权。
• 传递信任——非传递信任出现在两个安全域中，这两个安全域可能在同一个组织也可能在不同的组织之间。这允许一个域中的主体访问另一个域中的客体。传递信任扩展了两个安全域以及它们的所有子域之间的信任关系。在最小特权环境中，检查这些域的信任关系非常重要，尤其是在不同的组织间创建域。非传递信任实施了最小特权原则并在某一时刻授予信任给单个域。

16.1.2 职责和责任分离

职责和责任分离确保没有单个人能控制某个关键功能或整个系统。这很有必要，能确保没有单个人能危害到系统或系统的安全性。相反，两人或更多人必须共谋或串通违反组织，这对于这些人增加了被发现的风险。

职责分离策略建立了一个相互制约和平衡的系统，在这个系统中，多个主体可以相互校验操作，并且必须一起完成必要的工作任务。职责分离使得恶意的、欺诈的犯罪或其他未授权的活动变得更加困难，并且拓宽了检测和报告的范围。

1.特权分离
特权分离类似于任务和职责分离的概念，建立在最小特权原则之上并应用到应用程序和进程中。特权分离策略要求使用颗粒状的权限和许可。

2.职责划分
职责划分类似于任务和职责分离策略，但也结合了最小特权原则。职责划分的目标是确保个人没有可能导致利益冲突的额外系统访问。当职责被完全分离时，单个雇员将没有能力制造欺骗或犯错误，并且也没有能力来掩盖错误。

3.双人控制
双人控制类似于职责划分，需要两个人认同关键任务。在组织内使用双人控制确保了并行互审并减少了共谋和欺骗的可能性。分解知识结合职责分离和双人控制概念到单个解决方案中。基本思想是信息或权限需要执行一个操作，该操作在两个或多个用户间被划分。这就确保没有任何个体有充足的特权来危害环境的安全性。

16.1.3 岗位轮换

通过使用岗位轮换来执行进一步控制和限制特权能力。岗位轮换简单来讲就是轮换职责，或者至少某些工作职责被轮换到不同的雇员。使用岗位轮换作为安全控制可以井行审查、减少欺骗并促进交叉培训。交叉培训使得环境很少依赖任何单个个体。岗位轮换既能作为威慑，也能作为检测机制。如果雇员知道在将来的某些时点，将由其他人担负他们的工作职责，他们最不可能做的就是参与欺诈行为。如果他们依然选择欺骗，担负工作职责的他人很容易发现他们的欺骗行为。

16.1.4 强制休假

许多组织要求雇员在一周或两周以上时间强制休假。这将提供一种并行互审的形式，并且有助于检测欺诈和共谋。该策略确保了其他雇员接替一个人的工作职责至少一个星期的时间。如果一个雇员涉及欺诈，接替该职责的人将会发现其欺诈行为。这类似于岗位轮换带来的好处。强制休假既能作为威慑，也能作为检测机制，就如岗位轮换策略一样。尽管其他人也就接替一个人的职责一周或两周时间，但这足够来检测到一些违规行为。

16.1.5 监控特殊的特权

特殊的特权操作是一项需要特殊访问或较高的权限来执行许多管理员和敏感工作任务的活动。这些任务包括创建新用户账户、增加新路由到路由表、修改防火墙配置、访问系统日志和审计文件。使用通用的安全实践，例如最小特权原则，确保数目有限的人才能有这些特殊的特权。监控确保授予这些特权的人不能滥用特权。

通常，任何类型的管理员账户都有高级特权并应该被监控。也能授予用户较高的特权但不给用户授予所有的管理访问权。按照这个思路，当某个用户有特定的高级特权时，监控用户的行为也是重要的。下面的列表包含某些监控特权操作的例子：
•访问审计日志
•改变系统时间
•配置接口
•管理用户账户
•控制系统重启
•控制通信路径
•备份并恢复系统
•运行脚本/任务自动化工具
•配置安全机制控制
•使用操作系统控制指令
•使用数据库恢复工具和日志文件

许多自动化工具能够监视这些特权操作活动，当管理员或特权操作员执行以上这些活动时，该工具能记录日志并发送警告。此外，访问审查审计能检测这些特权的滥用。

16.1.6 管理信息生命周期

安全控制保护了整个生命周期内的信息。通用方法包括标记、处理、存储和恰当销毁数据。

• 标记数据——数据标记(或标签)确保用户能很容易地识别数据的价值。用户应该在创建数据后不久就标记它们。例如，绝密数据的备份应该被标记为绝密。类似地，如果一个系统处理敏感数据，该系统应该使用合理的标签来标记。除了外部系统的标记外，组织经常配置壁纸和屏幕保护来清晰地表明在系统中处理数据的等级。例如，处理机密数据的系统必须有壁纸和屏幕保护，目的是清晰地表明系统在处理机密数据。
• 处理数据——数据处理主要涉及数据的传输，并且关键是在传输过程中提供与数据存储时相同级别的保护。例如，在数据中心，存储在一台服务器上的敏感数据有许多安全控制来保护它们。在敏感数据存储位置之外时，数据的备份需要得到保护。保护的级别依赖于数据的价值。类似的，传输中的数据(网络上的传输)需要基于数据的价值提供保护。在发送数据之前对其进行加密以提供这种数据保护。
• 存储数据——数据存储的位置需要得到保护以防止丢失。数据主要存储在磁盘驱动上，并且需要有人去周期性地备份有价值的数据。存储敏感信息的备份位于一个位置，而其拷贝存放在另一个位置。物理安全机制防止这些备份被偷盗。有关环境的安全控制能防止数据由于腐蚀而丢失。
• 销毁数据——当数据不再需要时销毁数据，且以一种数据不可读的方式来销毁。简单地删除文件不能完全删除数据，而只是标记数据为删除，所以这不是一种删除数据的有效方式。当需要时，技术人员和管理员使用不同种类的工具来移除所有的可读文件元素。常常使用1和0序列的模式来覆盖文件或磁盘，或者使用其他的方法来粉碎文件。当删除敏感数据时，许多组织需要专人来销毁磁盘，目的是确保数据不可访问。

16.1.7 服务级别协议

服务级别协议(SLA)是组织和外部实体(如供应商)之间的一份协定。SLA保证对性能的期望被满足，也常常包含如果供应商不能满足这些期望会受到的处罚。除了SLA之外，公司常常使用备忘录协议(Memorandum of Understanding，MOU)和/或互联安全协议(Interconnection Security Agreement，ISA)。MOU记录了两个实体朝着共同目标在一起工作的意图。虽然MOU类似于SLA，但它是非正式的，且不包含对其中某个合作方不负责时的处罚。

16.1.8 关注人员安全

关注人员安全是安全运营中非常重要的安全因素。代替数据、服务器甚至整个建筑物等物体是有可能的。但对比之下，不可能代替人。顺着这个思路，公司应该实施安全控制来增强人员安全。

16.2 提供和管理资源

安全运营知识域的另一个元素是整个生命周期中的资源配置及管理，这包括多种类型的资产，如硬件、软件、物理资产、虚拟资产和基于云的资产。保护数据资产也很重要。

16.2.1 管理硬件和软件资产

本书中，硬件指信息技术资源，如计算机、服务器和外设。软件包括操作系统和应用程序。组织经常清点库存以便对软硬件进行跟踪。
1.硬件清单
2.软件许可

16.2.2 保护物理资产

物理资产在IT硬件之外，包括所有的物理设施，如组织的办公建筑及其内部设施。保护物理资产的方法包括栅栏、路障、门锁、安保、闭路电视(CCTV)系统等。组织在规划布局时，通常把敏感的物理资产定位到建筑物的中心。这就使得组织能够实施逐步加强的物理安全控制。

16.2.3 管理虚拟资产

为了大幅度节约成本，组织逐步使用越来越多的虚拟化技术。例如，组织可以将100台物理服务器减少到10台，托管100台虚拟服务器。这降低了供暖、通风、空调、电力和整体运营成本。

虚拟化不仅仅针对服务器。软件定义一切(SDx)是指以软件代替硬件的虚拟化趋势。在此概念下的虚拟资产包括：

• 虚拟机(VM)——虚拟机类似于物理服务器上的客户操作系统。物理服务器具有计算能力、内存和磁盘存储能力，能够满足虚拟机的需求。
• 软件定义网络(SDN)——SDN能够将控制平面从数据平面(或转发平面)中分离出来。控制平面使用协议来决定向哪里发送信息，而载有规则的数据平面决定是否转发信息。不同于传统的网络设备，如路由器和交换机，SDN控制器使用能够接收控制器指令的简单网络设备。这消除了一些与传统的网络协议相关的复杂性。
• 虚拟存储区域网络(VSAN)——VSAN是含有多个存储设备的专用高速网络。它们经常与需要高速访问数据的服务器一起使用。很久以来，由于复杂的硬件要求，SAN的价格居高不下。VSAN通过虚拟化绕过了这些复杂性。

虚拟化中的主要软件组件是管理程序。虚拟机管理程序管理虚拟机、虚拟数据存储和虚拟网络组件。作为物理服务器上附加的一个软件层，它也是另外的一个攻击面。如果攻击者能够破解物理机，那么就可以访问托管在物理服务器上的所有虚拟系统。管理员往往格外小心，以确保虚拟主机不被侵入。

虽然虚拟化可以简化许多IT概念，但我们仍要牢记：许多相同的安全基本要求仍然适用。例如，每个虚拟机仍然需要单独更新。更新主机系统不能更新虚拟机。此外，组织应保留虚拟资产的备份。许多虚拟化工具都具有内置的工具来创建虚拟系统的完整备份，并创建定期快照，以便及时进行较为方便的数据恢复。

16.2.4 管理基于云的资产

基于云的资产包括组织使用云计算访问的任何资源。

16.2.5 介质管理

介质管理是指采取措施保护介质和存储在介质上的数据。

16.2.6 管理介质的生命周期

所有介质设备的生命周期对我们都很有帮助，但其生命周期也是有限的。所有介质设备都有平均故障时间，这个时间能够告诉你该设备可使用的次数或年限。一旦备份介质设备已达到其寿命，就要进行销毁。

16.3 配置管理

配置管理有助于确保系统处于一致安全的状态，并在其整个生命周期维护这种状态。配置管理使用的一种方法是基线。

16.3.1 基线

基线是一个起点。在配置管理中，它是一个系统的启动配置。管理员为了满足不同需求，经常在完成系统部署之后修改基线。然而，当系统被部署在有安全基线的状态下时，系统会更安全。这尤其适用于组织具备有效的执行变更管理计划时。

基线可与检查列表同时产生，但需要人工确认系统以特定的方式或配置部署。然而，手动基线常有人为错误。人很容易遗漏下一个步骤或者错误配置系统。脚本和操作系统工具也被用来实现基线，使用自动方法能够减少手动基线的潜在错误。例如，微软操作系统包括组策略。管理员可以单次配置一个组策略，之后组策略会自动将设置应用到域中的所有计算机。

16.3.2 用镜像创建基线

许多组织使用镜像来创建基线。

16.4 变更管理

部署系统处于安全状态是个好开端。然而，确保系统保持相同的安全级别同样重要。变更管理有助于减少由未授权变更造成的不可预料的中断。变更管理的主要目标是确保变更不会导致中断。变更管理流程要求适当的人员在实施变更前审查和批准变更，并做详细记录。变更往往会产生意想不到的可能导致中断的副作用。管理员可以通过变更系统来解决问题，但会在其他系统中产生未知问题。

16.4.1 安全影响分析

变更管理过程确保人员可以进行安全影响分析。在生产环境中，专家对变更进行评估并识别安全影响之后，工作人员才开始实施变更。

变更管理控制提供一个过程来控制、文档化、跟踪和审计所有系统的变化。其中包括系统任何一方面的变更，包括硬件和软件配置。组织在任何系统的生命周期中都能够实现变更管理过程。

变更管理过程中的常见任务如下：
1)请求变更。
2)审查变更。
3)批准/拒绝变更。
4)计划和实施变更。
5)记录变更。

16.4.2 版本控制

版本控制通常是指软件配置管理中使用的版本控制。标签或编号系统将多台机器上或处于不同时间点的软件集与配置在一台机器上区分出来。

16.4.3 配置文档

配置文档确定当前系统的配置。它定义了系统负责人及系统目标，并且列出了所有应用于基线的变更。

16.5 补丁管理和减少漏洞

补丁管理和漏洞管理同时用于保护企业的系统免受威胁。在操作系统和应用程序中经常发现错误和安全漏洞。一经发现，供应商就会编写和测试补丁去消除该漏洞。补丁管理能够确保应用适当的补丁，并且漏洞管理有助于验证系统免受己知威胁的干扰。

16.5.1 补丁管理

如下是有效补丁管理程序中共同的步骤：

• 评估补丁：当供应商发布补丁后，管理员会进行评估，以确定补丁适用于他们的系统。例如，用于修复配置了DNS服务器的Unix系统漏洞的补丁，经评估不适用于配置了DNS服务器的Windows系统。类似地，如果Windows系统中的某个功能被禁用，则用于修补该功能的补丁也同样不需要了。
• 测试补丁：管理员随时都要测试单一系统的补丁，以确定该补丁不会带来其他副作用。最糟糕的情况就是，当使用补丁后，系统无法启动。例如，修补程序经常会引起系统开始无休止的重新启动周期。它们引发一个停止错误，并重复尝试重新启动后从错误中恢复。如果在单一系统上进行测试，那么只影响一个系统。然而，如果组织将未测试的补丁程序应用到一千台计算机上，就可能会有灾难性的结果。
• 批准补丁：管理员测试补丁并确定其安全性后，就会批准补丁的部署。批准程序中常用到变更管理过程(在本章前面叙述过)。
• 部署补丁：经过测试和批准，管理员部署补丁。许多组织使用自动化的方法部署补丁。自动化方法可以是第三方产品或由软件供应商提供。
• 确认补丁己部署：部署补丁后，管理员定期测试和审计系统，以确保系统补丁仍然有效。许多部署工具都有审计系统的功能。此外，许多漏洞评估工具也具有检查系统的功能，以确保随时有合适的补丁。

#补丁星期二和漏洞星期三#

16.5.2 漏洞管理

漏洞管理是指定期检测漏洞，评估并采取相应措施来减少相关风险。但消除风险是不可能的。同样，也不可能消除漏洞。然而，有效的漏洞管理程序能够帮助组织定期检测评估漏洞，并及时修补高危漏洞。漏洞管理程序的两个常见要素是例行漏洞扫描和定期脆弱性评估。

16.5.3 漏洞扫描

漏洞扫描器是用来测试系统和网络有无己知安全问题的软件工具。攻击者利用漏洞扫描器来检测系统和网络中的漏洞，如补丁丢失或密码等级较弱。当他们发现弱点时，就会发动攻击井利用这些漏洞。许多组织中的管理员使用相同类型的漏洞扫描器来检测他们网络中的漏洞。他们的目标是检测漏洞，并在被攻击之前修补漏洞。

16.5.4 漏洞评估

漏洞评估通常包含漏洞扫描结果，但真正的评估将涵盖更多的东西。例如，每年的漏洞评估可能会分析过去一年中的所有漏洞扫描报告，以确定组织是否正在修复漏洞。如果在每一份漏洞扫描报告上都有相同的漏洞，我们脑海中就会自然而然产生一个问题，为什么这个漏洞没有被修复？能接受的原因有：可能管理层选择接受漏洞，或是一直有对漏洞的扫描，但没有对漏洞采取修复措施。

漏洞评估往往是风险分析或风险评估的一部分，以确定某个时间点的漏洞。此外，漏洞评估还检测其他领域，以确定风险。例如，漏洞评估通过检测敏感信息在整个生命周期中如何被标记、处理、存储和销毁，来解决潜在风险。

16.5.5 常见漏洞和披露

根据通用漏洞披露(CVE)列表来看，漏洞很常见。CVE列表提供了一个标准的公约，用来找出漏洞。MITRE维护CVE漏洞库，可以单击网址 www.cve.mitre.org 来查看。

16.6 本章小结

• 一些基本的安全原则是任何环境中安全运营的核心。这些原则包括知其所需、最小特权、职责和责任分离、岗位轮换和强制休假。将它们结合使用，有助于防止安全事故的发生，并限制发生的范围。根据安全原则，管理员和运营者有特殊的特权去完成他们的工作。除了实施原则，监控特权活动以确保特权实体不滥用他们的访问权限也是非常重要的。
• 介质设备或其他含有数据的资产在其整个生命周期都受保护。介质设备包括任何可以保存数据的设备，例如磁带、内部驱动器、便携式驱动器(USB、FireWire和eSATA)、CD和DVD、移动设备、存储卡和打印输出设备。带有敏感信息的介质设备会被组织以相应的处理办法标记、处理、存储和销毁。资产管理延伸到组织内部除介质以外的任何资产一理资产，如计算机和软件资产(如购买的应用程序和软件许可密钥)。
• 虚拟资产包括虚拟机、软件定义网络(SDN)和虚拟存储区域网络(VSAN)。虚拟机管理是管理虚拟组件的主要软件构件，但虚拟机管理也增加了额外的攻击面，所以确保它被部署在安全的状态井持续更新补丁显得尤为重要。此外，每个虚拟组件需要单独更新。
• 基于云的资产包括存储在云中的任何资源。当与云服务提供商谈判时，必须明确谁是维护安全的负责人。一般情况下，云服务提供商作为服务资源提供方承担大部分责任，平台即服务(SaaS)产品提供商承担小部分责任。基础设施即服务(IaaS)产品提供商承担最少的责任。当洽谈云服务时，许多组织使用服务级别协议(SLA)。SLA保证满足性能预期，井且通常包括供应商不满足这些预期的处罚措施。
• 变更和配置管理是有助于减少中断的两个额外控制手段。配置管理确保系统部署以一致且安全的方式进行。镜像是一种常见的配置管理技术，能够确保系统以己知基线运行。变更管理有助于减少未授权的更改而导致意外中断，也可以帮助阻止弱化安全性的变更。
• 补丁和漏洞管理程序同时工作，以保持系统免受己知漏洞的威胁。补丁管理保持系统能够及时更新最新的相关补丁。漏洞管理包括漏洞扫描，以检查各种己知的漏洞(包括未打补丁的系统)，也包括作为风险评估一部分的漏洞评估。

16.7 考试要点

• 理解知其所需和最小特权原则。知其所需和最小特权原则是在安全网络中实现的两条标准的信息安全保护原则。它们限制访问数据和系统，使用户和其他使用方只访问他们所需的数据。这种有限的访问有助于防止非安全事件的发生，井有助于限制事件发生时的范围。一旦不遵守这些原则，安全事件会给组织带来更大的损失。
• 理解职责分离和岗位轮换制度。职责分离是一条基本的安全原则，能够确保单人不能完全控制关键的功能或系统的所有元素。随着岗位轮换，员工被轮换到不同的工作岗位或者任务被分配给不同的员工。共谋是一种在多人之间达成的协议，目的是完成一些未授权或非法的行为。通过限制单个人行为来执行这些策略有助于防止没有同谋下的欺诈。
• 理解监控特权操作的重要性。特权实体应该被信任，但他们也可以滥用特权。正因为如此，才要监控所有的特权分配和特权使用操作。目标是确保值得信赖的员工不滥用他们被授予的特权。
• 理解信息生命周期。数据在整个生命周期中都需要加以保护。首先要正确地分类和标记数据，还包括适当的处理、存储和销毁数据。
• 理解服务级别协议。组织与外部实体(如供应商)使用服务级别协议(SLA)。此协议约定了预期值(如最大停机时间)，并且如果供应商未能在预期内完成，协议中还规定了相应的处罚措施。
• 理解虚拟资产。虚拟资产包括虚拟机、软件定义网络(SDN)和虚拟存储区域网络(VSAN)。虚拟机管理程序是管理虚拟组件的主要软件构件，但虚拟机管理程序也增加了额外的攻击面，所以确保它被部署在安全的状态并持续更新补丁显得尤为重要。此外，每个虚拟组件需要单独更新。
• 认识云资产的安全问题。云资产包括通过云访问的任何资源。云存储增加了数据的风险，所以需要采取更多的措施保护数据。采取何种措施取决于数据的价值。当租赁云服务时，必须了解哪方负责执行维护和安全措施。在IaaS模型中，供应商提供的维护和保障最少。
• 解释配置和变更控制管理。有效的配置和变更管理程序能够预防许多中断和错误事件的发生。配置管理确保系统的配置相似，系统配置己知且记录在案。基线保证系统的部署处于相同基线或相同起点。镜像是一种常见的基线法。变更管理有助于减少中断或由于未授权变更而引起的安全性削弱。变更管理过程需要变更被请求、批准和记录。版本管理使用标签或编号系统来跟踪变化，更新软件版本。
• 理解补丁管理。补丁管理确保系统保持当前补丁的最新。应该明确，有效的补丁管理程序包括评估、测试、批准和部署补丁几部分。此外，系统审计会验证己批准补丁在系统中的部署情况。补丁管理通常与变更和配置管理交织在一起，以确保文档能真实反映变更情况。如果组织没有有效的补丁管理程序，就会经常遇到由未知问题引发的中断或错误，这些本是可以避免的。
• 解释漏洞管理。漏洞管理包括常规的漏洞扫描和定期的漏洞评估。漏洞扫描可以检测己知的安全漏洞和弱点，如补丁缺失或弱密码。扫描能够生成关于系统的技术漏洞报告，且对于补丁管理程序是很有效的一种检查方法。漏洞评估不仅仅是技术性扫描，还包括审查和审计以检测漏洞。

参考链接：

• CISSP官方学习指南第7版（中文）-文字版带完整书签

=END=