漏洞分類

安全專家和漏洞掃描器通常會按照以下標準來對漏洞進行分類：

1. 嚴重程度：漏洞的嚴重程度通常分為低、中、高等級，這有助於確定漏洞對系統的潛在風險程度。高嚴重程度的漏洞可能對系統造成嚴重損害，而低嚴重程度的漏洞可能較不危險。
2. 攻擊範圍：攻擊範圍指的是利用漏洞所需的位置。漏洞可以是本地的，意味著攻擊者需要在系統內部才能利用它們，或者是遠程的，表示攻擊者可以通過網絡從遠處利用漏洞。本地漏洞通常需要攻擊者已經具有系統訪問權限，而遠程漏洞可能允許未經授權的攻擊者入侵系統。

主動掃描

攻擊者直接與目標網路互動以尋找漏洞。 主動掃描有助於模擬對目標網路的攻擊，以發現攻擊者可以利用的漏洞。

被動掃描

攻擊者嘗試在不直接與目標網路互動的情況下尋找漏洞。 攻擊者透過系統在正常通訊期間暴露的資訊來識別漏洞。 被動掃描識別整個目標網路中的活動作業系統、應用程式和 Port，監視活動以確定其漏洞。

漏洞資料庫

漏洞資料庫是收集各種資安弱點及漏洞並給予編號以便於公眾查閱的資料庫。漏洞資料庫可幫助資訊安全人員識別和管理系統中的漏洞，並採取適當措施進行修補和防範。

• Common Vulnerability Scoring System (CVSS)
• Common Vulnerabilities and Exposures (CVE)
• National Vulnerability Database (NVD)
• Common Weakness Enumeration (CWE)

漏洞管理生命週期

漏洞管理生命週期是一個重要的過程，有助於在安全漏洞被利用之前識別並補救安全弱點。這包括定義組織的風險態勢和政策、建立系統的完整資產清單、對環境進行漏洞和曝露的掃描和評估，以及採取行動來減輕已識別的漏洞。實施漏洞管理生命週期有助於獲得關於可能的網絡安全威脅的戰略視角，並使不安全的計算環境更具抵禦攻擊的能力。

漏洞分析工具

• Qualys Vulnerability Management
• Nessus Professional
• GFI LanGuard
• OpenVAS
• Nikto

手機漏洞分析工具

• Vulners Scanner
• SecurityMetrics Mobile