公司有100万个安全漏洞，修复还是放弃？

清理周边

不管第三方如何看待关键或非关键系统，真正重要的是，贵公司环境易受安全漏洞影响的程度以及它在过去是不是成功闯入了贵公司的系统。你的业务部门及/或基础设施可能有特殊特点，可能会尽量减小或提升某个安全漏洞在贵公司环境的风险系数。

另外，安全漏洞扫描软件经常报告每一个安全漏洞，不管显示该安全漏洞的软件是不是被积极使用。我经常发现有的软件不仅数年来没有运行过，而且不太可能再次运行。大多数安全漏洞扫描软件不会作出这种区别，不过这一点很重要。

牢记一点：连最出色的安全漏洞扫描软件也并不是非常正确。我知道，自己会从厂商那里收到宣称其扫描软件正确无误的电子邮件，但是安全漏洞扫描软件比很不可靠的反恶意软件软件还不可靠。只要我运行安全漏洞扫描软件以便手动评估系统，我总是会发现多出50%的安全漏洞。

这不能怪罪于安全漏洞扫描软件。它只能查找本身旨在可以查找的那些安全漏洞，而计算机异常复杂。一名较出色的取证分析研究人员或黑客会发现安全漏洞扫描软件的“漏网之鱼”――奇怪地方的异常文件名、不应该出现的软件、密码列表，诸如此类；这会导致留下浏览路径记录(breadcrumb trail)，只有人类才能跟踪分析。

通常来说，大多数安全漏洞扫描在查找没有打上补丁的软件方面很糟糕。一些最出色的补丁管理软件程序能检测出成千上万个不同的程序。最出色的安全漏洞扫描软件只会查找大约几百个程序。

防御行动

要关注让黑客有机会得以潜入贵公司环境的安全漏洞。太多的人一心想知道不法分子一旦手里已经拿到了“打开王国的钥匙”，会搞什么破坏活动。他们会窃取网络登录信息吗？他们会植入记录击键内容的恶意软件吗?他们会窃取关键信息吗?

一旦不法分子潜入进来，获得了提升的权限，这实际上表明胜负已见分晓：你输定了。所以，应当首先致力于阻止入侵者获得访问你网络的权限提升的登录信息。