1. Identification Methods

• Vulnerability Scans
  主動辨識網路、系統佮應用程式內底會予網路攻擊者利用的弱點。
  兩種型態的 Vulnerability Scans：

  • non-credentialed scan
  • credentialed scan

  Nessus是網路基礎的 vulnerability scanner，提供多功能的平台執行 credentialed 佮 non-credentialed scans。借助 Nessus 組織會用得根據𪜶特別目的佮限制來制定 scanning approach。

  Security Content Automation Protocol(SCAP) 是一个 framework 予 vulnerability scanner 會用得確認電腦是毋是有遵守事先設定的 baseline。

  • Open Vulnerability and Assessment Language(OVAL)：
    是一个 XML-base schema，用來描寫系統的安全狀態。
  • Extensible Configuration Checklist Description Format(XCCDF)：
    另外一个 XML-base schema，用來建立佮審核 best pratice 設定清單佮規則。

• Application Security
  Application scanners 是專門用佇軟體應用程式佮網路應用程式。

  • Static analysis：
    無執行程式 kan-na 檢查程式原始碼。
  • Dynamic analysis：
    佇執行程式的狀態，測試佮評估應用程式 chhōe 出 runtime vulnerabilities。
  • Web application scanners：
    檢查網路應用程式是毋是有出現 SQL injection、XSS、security misconfigurations 佮 authentication weaknesses 的 vulnerabilities。

  Package Monitoring：
  Package 是用佇應用程式軟體 module，包括 libraries、frameworks、plugins 抑是 other pieces of code。
  Package monitoring 依靠 vulnerability 資料庫，這个資料庫紀錄已經知 iáⁿ 的 vulnerabilities 佮相關的 package。
  重要的資料來源：Common Vulnerabilities and Exposures(CVE) 佮 National Vulnerability Database(NVD)。

• Threat Feed

• Penetration Testing

• Responsible Disclosure Prgram

• System/process Audit

2. Analysis

• Confirmation
• Prioritize

3. Vulnerability Response and Remediation

• Patching
• Insurance
• Segmentation

4. Validation of Remediation

• Rescanning
• Audit
• Verification

5. Reporting