在哪里可以获得关于操作系统中未固定的安全漏洞的信息？

Question

我被指派(作为我们都没有任何IT背景团队中最年轻的IT专家)检查我们的工业计算机。

事实证明，这种情况是可怕的，关键机器运行的东西与WindowsNT4.0或Windows 2003一样古老。

在这种情况下，这是我的责任问题，如果没有增值的话，就没有钱花在升级上了。

为了给出一个准确的建议，我想为给定的操作系统找到一个安全漏洞的列表，在理想的世界中，有一个损坏和相似的指示，这样我就可以建立一个损坏概率矩阵。

Answer 1

你看过www.开发性-db.com吗？只需搜索您的操作系统名称，它应该已经给您一些信息，无论是否固定。

Answer 2

除非你是一个操作系统安全专家，知道确切的漏洞没有什么价值。重要的是它们不再是被维护的软件。然后，您必须假设，如果攻击者能够访问这些机器，他可以很容易地获得高权限并执行任意代码。

所以问题是：

• 这些机器能从外面到达吗？
• 这些机器能被不允许的雇员找到吗？

如果其中任何一个问题的答案都是肯定的，那么传播的风险是严重的。您可以通过升级到当前版本的OS --并设置程序以保持它们的最新状态--或者将这些机器从任何不受控制的网络中移除来减轻它。在这里，不受控制意味着，只要任何人的工作是不处理机器有一个潜在的网络访问。

如果要为升级找到资金的问题，标准的方法就是评估机器出故障时的成本--这只是最简单的通信用例。这是经理们通常都能理解的。

Answer 3

听起来你的处境有点棘手。

我的第一个建议是寻求有技术背景的人的帮助。无论如何，漏洞扫描器将帮助您显示关键基础结构的真实状态。很容易设置对内苏斯的评估或使用OpenVAS (免费)并对您的机器执行认证扫描。使用漏洞扫描器将大大减少您必须做的手工工作，研究哪些漏洞会影响哪个平台。

显然，最好的情况场景(以及每个公司都应该尝试的地方)是使用漏洞扫描器和持续渗透测试来测试您的安全控制。