设为首页收藏本站

安而遇随-随遇而安

 找回密码
 立即注册

QQ登录

只需一步,快速开始

搜索
安而遇随-随遇而安 首页 资讯 查看内容

观点:全自动安全漏洞扫描器的低准确率与高性价比

2016-3-17 09:49| 发布者: 随便、先森。| 查看: 1158| 评论: 0|来自: FreeBuf

摘要: NCC小组安全工程师Clint Gibler表示,虽然全自动漏洞扫描器大多数警报都是错误的,但是这种手段还是比企业自己手动操作扫描要廉价不少。印度国产安全会议:Nullcon在印度果阿(Goa)的Nullcon安全会议上,Gibler为来 ...

NCC小组安全工程师Clint Gibler表示,虽然全自动漏洞扫描器大多数警报都是错误的,但是这种手段还是比企业自己手动操作扫描要廉价不少。

印度国产安全会议:Nullcon

在印度果阿(Goa)的Nullcon安全会议上,Gibler为来自10个不同工业部门的百位NCC客户介绍了一款未命名的全自动扫描器。

这种扫描器扫描出了大约90万的安全红色警报,但是人们发现在一些区域中存在89%的误报。即使是扫描器表现最好的时候也有50%的误报率。

这项调查是在2014年2月至2015年5月之间实施的,由NCC小组员工对所有公司进行手动漏洞扫描。

Gibler在Nullcon会议上表示,虽然他觉得处理误报的代价可能是巨大的,但是自动扫描器对于大多数公司来说仍旧是值得的选择的,他的论断是基于这一数据:一名安全工程师的工资是7.5万美元,但是评估一个自动扫描器发现的漏洞只需要不到一分钟。

Gibler认为:

“人们浪费大量时间来审批这些评分在1到9的误报。”

最好的情况就是你支付1千美元给员工去花时间审核这些问题(其中包括了真正存在的漏洞);糟糕的情况就是你花费了1万到1.6万美元去审核这些问题。大多数人在购买工具时只看价格,而不会考虑潜在因素,那就是审查这些结果要花费多长时间,而这些结果中又有多少是正确的。

自动扫描工具价值犹存

然而,Gibler还告诉Vulture South:

“这些自动扫描工具还是很有价值的,因为它们与价格昂贵的渗透测试之间架起了桥梁。我认为它们仍旧是有用的,将来更是如此。”

Gibler在通知客户发现漏洞之后企业往往还要花费10到20个星期的时间才会进行修补,有的甚至会拖到一年后再修补。在NCC进行的9000次漏洞测试中,发现自动扫描没有扫描到的最大的一桩漏洞是1万个跨站点脚本漏洞。

受到结果影响的主要是休闲娱乐、媒体产业(25769个漏洞)以及公共教育部门(15550个漏洞)。

Gibler认为公司没有必要优先修复高危漏洞,从而搁置了低风险的漏洞。

*参考来源:theregister,FB小编极客小默编译


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

  • 解决 Wn10无法连接 蓝牙耳
  • Python之Selenium知识总结
  • 2万字带你了解Selenium全攻
  • 解决网站网页不能复制,不
  • 我对ddos攻击的见解以及ufo
论坛精选
NTP放大反射DDOS攻击扫描教程,放大列表扫描教程
NTP放大反射DDOS攻
NTP放大反射DDOS攻击扫描教程,放大列表扫描教程 图上是国外测的 本文实测 能有二三
DDOS:NTP、SSDP、DNS、SNMP、RIP 放大反射攻击、扫描脚本
DDOS:NTP、SSDP、D
NTP、SSDP、DNS、SNMP、RIP 放大反射攻击扫描脚本 不懂的 请自行谷歌 声明:本文转
返回顶部