- 综合排序
- 最热优先
- 最新优先
- 来自专栏科技云报道
漏洞管理受重视，企业如何做好漏洞评估？
那么，针对漏洞管理，企业应当如何做好漏洞及安全风险评估工作呢？ 很多企业直到成为网络攻击的受害者，方知网络安全的重要性，但已为时已晚，危害已经产生。 针对漏洞评估 企业能做什么？ 对于企业而言，及时发现自身设备及网络的安全漏洞，是进行安全防护的重要前提。 以下措施或许能够帮助到进行漏洞评估的企业。 1.与利益相关者沟通 在进行漏洞评估时，很多人认为扫描过程是其中最重要的部分，但有时并非如此。 与利益相关者进行及时有效的沟通协商也是关键。 4.进行评估 针对漏洞评估，使用什么工具，如何配置它们以及如何执行评估过程因人而异。因此，根据规则来配置工具非常重要。 此外，还应当避免因主动配置扫描操作可能对系统造成的损害。 5. 重视漏洞管理，做好漏洞评估，将为企业网络安全建设带来事半功倍的效果。
2.3K20编辑于 2022-04-16 - 来自专栏FreeBuf
Amazon Inspector：基于云的漏洞评估工具
关于AWS Inspector Amazon Inspector是一种自动化安全评估服务，可根据Amazon云中的合规性评估已部署资源的安全漏洞。 AWS Inspector是一项非常重要的安全评估服务，因为它会生成自动报告，其中包含了所选资源的详细结果。它会根据漏洞的严重程度对漏洞进行优先级排序，从而使你可以轻松了解哪些软件需要立即进行修补。 而AWS inspector则是在所有EC2实例中安装一个代理，然后在内部检查所有可能的漏洞，并提供包含建议缓解措施的详细报告。。 下面给出了配置AWS Inspector所涉及的步骤摘要： 登录EC2实例 在EC2实例上配置inspector agent 通过AWS console配置评估目标 配置评估模板 配置评估规则 执行评估 在上图中我们可以看到，我们必须定义评估目标，因此我们输入了“infosec-test”作为该评估的名称。下一个框定义了评估的范围。默认情况下，添加到此帐户中整个实例都将被添加到scope中。
2.5K30发布于 2019-08-26 - 来自专栏FreeBuf
2023版漏洞评估工具Top10
前言 对于发现资产中已知漏洞、配置不当等问题的工具，大家习惯性称之为“漏洞扫描”工具，但随着技术演进，很多工具越来越智能，逐渐具备分析总结能力，因此将它们称为“漏洞评估”工具似乎更准确。 大多数漏洞评估工具都能覆盖常规漏洞，例如OWASP Top10，但一般都各有所长。常见的区分维度包括部署灵活性、扫描速度、扫描准确度以及与流程管理、代码开发等平台的整合性。 主要功能 漏洞评估； 访问公共漏洞数据库； OpenSCAP Base提供经NIST认证的命令行扫描工具，以及图形用户界面便于使用； OpenSCAP Daemon可根据SCAP标准对基础设施进行持续扫描 OpenVAS （终端和网络） 传送门 https://www.openvas.org/ Nessus是Tenable发布的一款全球领先的漏洞评估产品。 而OpenVAS是Nessus的一个开源分支，功能丰富，漏洞来源广泛，可对传统端点和网络进行大规模的漏洞评估。
2.4K20编辑于 2023-02-24 - 来自专栏云基础安全
Web风险评估：腾讯云Web漏洞扫描
一、认识腾讯云Web漏洞扫描 Web 漏洞扫描是用于监测网站漏洞的安全服务，为企业提供 7*24 小时准确、全面的漏洞监测服务，并为企业提供专业的修复建议， 从而避免漏洞被黑客利用，影响网站安全。 了解腾讯云Web漏洞扫描： https://cloud.tencent.com/product/cws image.png ---- 二、Web漏洞扫描器价值 目前的大多数应用都是web应用，http web应用漏洞就是利用这个合法的通路，采用SQL注入、跨站脚本、表单破解等应用攻击方式来获取服务器的高级权限。在目前的网络环境下，威胁最大的漏洞形式就是web应用漏洞，通常是攻击者攻陷服务器的第一步。 常见的漏洞包括SQL注入、跨站脚本攻击、和编码漏洞等，表单破解主要是针对服务器用户的弱口令破解。 Web漏洞扫描以黑客视角，通过定期扫描，监测、发现Web应用漏洞，并提供修复建议，帮助加强业务系统安全性，大幅减少Web应用漏洞暴露给网站及Web业务带来的风险问题。
6.9K00发布于 2018-09-09 - 来自专栏信数据得永生
Kali Linux 秘籍 第五章 漏洞评估
第五章 漏洞评估 作者：Willie L. Nessus 允许我们攻击很多种类的漏洞，它们取决于我们的版本。我们也需要评估的目标漏洞列表限制为针对我们想要获取的信息类型的漏洞。 我们也需要评估的目标漏洞列表限制为针对我们想要获取的信息类型的漏洞。这个密集中，我们会配置 Nessus 来发现目标上的网络漏洞。这些漏洞针对主机或网络协议。 5.6 安装、配置和启动 OpenVAS OpenVAS，即开放漏洞评估系统，是一个用于评估目标漏洞的杰出框架。它是 Nessus 项目的分支。不像 Nessus，OpenVAS提供了完全免费的版本。 5.7 OpenVAS - 发现本地漏洞 OpenVAS 允许我们攻击很多种类的漏洞，它们取决于我们的版本。我们也需要评估的目标漏洞列表限制为针对我们想要获取的信息类型的漏洞。
1.1K10编辑于 2022-11-27 - 来自专栏耕耘实录
几款Linux系统漏洞扫描、评估工具简介
二、Nessus Nessus是目前全世界最多人使用的系统漏洞扫描与分析软件。总共有超过75,000个机构使用Nessus 作为扫描该机构电脑系统的软件。 Nessus会时常更新，且具有全面报告、主机扫描以及实时漏洞搜索的功能。但是，Nessus也可能会出现误报和漏报。 这是一款收费软件，对于一般用户有7天的使用时间。 官方网站为：nessus.org 三、OpenVAS OpenVAS （Open Vulnerability Assessment System，开放式漏洞评估系统）是一套可用于扫描漏洞和全面漏洞管理的工具和服务系统 OpenVAS 的核心功能是其所提供的安全扫描器，可使用超过 33,000 每日更新的网络漏洞测试（NVT， Network Vulnerability Test ）。使用OpenVAS并不需要订阅。 Nikto 不仅可用于检查 CGI 漏洞，还可以躲避的方式运行，以便躲避入侵探测系统。Nikto 所提供完整的文档资料，在运行程序前，应当仔细查核。
4.6K30发布于 2018-12-20 - 来自专栏依乐祝
SQL Server数据库漏洞评估了解一下
SQL Server Management Studio 17.4或更高版本的SSMS中提供了SQL Server漏洞侦测（VA）功能，此功能允许SQL Server扫描您的数据库以查找潜在的安全漏洞， 实战演练 要运行漏洞侦测，只需选择我们需要扫描的数据库，然后右键单击并选择“任务”。在这里，您将看到漏洞评估选项接着选择扫描漏洞。 我真的很喜欢这个特性，并且它是一个方便的脚本，用于以后评估其他服务器的健康状况时使用。它甚至给了我们一个小的复制按钮，以复制出脚本和选项打开它在查询窗口。 ? 基线允许您对结果报告中的错误结果进行接收，这样在下次漏洞扫描的时候这个错误的结果就不会出现在错误列表里面了。 ? 总结 SQL Server漏洞评估是评估数据隐私、安全性和遵从性标准的一个非常好的第三方工具，并且非常容易使用。纸上得来终觉浅，还不赶紧尝试一下，看看数据库存在哪些可以提升的地方吧。
1.2K30发布于 2018-12-28 对抗样本防御研究中的评估缺陷与代码漏洞分析
该论文包含数学上不可能的声明，未遵循对抗鲁棒性评估的推荐指南，且其自身图表就提供了评估方法错误的所有必要证据。调查发现，该论文的评估代码存在漏洞。仅修改一行代码即可攻破防御，将模型准确率降为0%。 在将漏洞告知作者后，作者提出了新的防御组件来防止此攻击。但这个未在原始论文中描述的新组件存在第二个漏洞。同样，通过修改一行代码，可以攻破这个修改后的防御。作者表示正在为第二次攻击制定另一个修复方案。 针对特定防御论文的故事：论文被顶级会议接受后，作者在被告知漏洞后修改防御机制，但修改后的版本仍存在漏洞，且无法提供修复细节。这两个问题并非该论文独有。 故事二：存在漏洞的论文回到今年发表的防御论文，这是一个九头蛇般的论文故事：每次攻破当前描述的防御，它就会长出一个需要评估的新防御组件。攻破防御当防御评估存在严重缺陷时，通常很容易攻破。 在评估防御方面，撰写了一篇又一篇关于如何执行此类评估的论文。甚至写了一篇主要目标是帮助评审者知道防御评估何时足够好的论文。
25810编辑于 2025-08-26- 来自专栏第二层思考
Nginx 和 OpenResty 内存泄漏和目录穿越漏洞的安全评估
2020 年 3 月 18 号，hackerone 披露了两枚关于 Nginx 和 OpenResty 的漏洞，分别涉及到内存泄漏和目录穿越，详细的内容大家可以参考 hackerone (https:/ OpenResty 的 rewrite 指令，以及 ngx.req.set_uri 没有检测非法输入值，会导致内存泄漏和目录穿越，危险等级：高危 其中，第二个低危的漏洞，Nginx 已经在 1.17.7 而且这个漏洞在 Nginx 这种静态配置文件驱动的 web 服务器上很难被利用，除非是用户自己配置了非法字符。 但是，1 和 3 这两个高危的漏洞在报告给 Nginx 和 OpenResty 之后的三、四个月的时间内，一直没有被修复。以下是漏洞披露时间线： ? 在得知这个安全风险的第一时间，Apache APISIX 的 PPMC 团队就立即针对 Apache APISIX 的风险做了评估，结论是：低危，用户不用做任何处理。
2.5K10发布于 2020-03-26 - 来自专栏FreeBuf
Wi-Fi安全的未来：评估WPA3中的漏洞
在研究报告中，安全人员将这一系列漏洞命名为了“Dragonfly”。 目前，还没有任何证据可以表明已有攻击者在利用这些漏洞实施攻击。” 研究人员将这些漏洞分成了两类，即WPA3设备上的Dragonfly握手漏洞以及降级攻击漏洞。 Vanhoef和Ronen还在大多数实现了EAP-pwd的产品中发现了多个严重漏洞，这些漏洞不仅可以允许攻击者伪装成其他用户，而且还可以在不使用密码的情况下访问网络。 攻击成本 基于这些漏洞的攻击实现起来非常简单，而且成本也很低。
1.1K30发布于 2019-08-13 如何评估漏洞治理方案的效果？腾讯云VGS给出标准答案
在网络安全威胁日益严峻的今天，企业亟需构建科学高效的漏洞治理体系。本文将从评估指标、技术能力、实战效果三大维度解析漏洞治理方案的价值，并推荐腾讯云漏洞治理服务（VGS），为企业提供可落地的选型参考。 正文一、评估漏洞治理方案的三大核心指标企业在选择漏洞治理方案时，需围绕以下核心指标建立评估体系： 漏洞覆盖广度 是否支持主流操作系统、中间件、开源组件等全栈资产扫描 对0day/Nday漏洞的响应时效 （理想值≤24小时） 修复决策效率 提供CVSS评分、PoC验证、修复优先级排序等智能化研判能力 是否具备定制化监测功能（如小众组件漏洞追踪） 实战防御效果 在攻防演练/重大活动期间的漏洞拦截成功率 价值体现 漏洞监控预警 全网数百个一手情报源实时监测（含非公开渠道） 漏洞平均响应时效缩短至1.2小时 智能分析引擎 T-VPT漏洞优先级评估模型（融合CVSS+ESPP+业务影响因子） 高危漏洞识别准确率≥98% 修复支撑体系 提供官方补丁、缓解措施、PoC验证等全链路修复建议
25910编辑于 2025-10-11- 来自专栏网络安全技术点滴分享
BLUE-SPY - 专业的Fast Pair协议安全评估与漏洞利用框架
该项目提供了一个交互式终端界面，能够对附近的蓝牙低功耗设备进行枚举、漏洞评估、连接测试，并在授权环境下进行音频捕获，是理解和防御此类高级蓝牙安全威胁的利器。 Fast Pair 设备识别与漏洞评估智能识别支持 Google Fast Pair 协议的设备。 通过分析设备的制造商数据、服务UUID等信息，自动评估其对 CVE-2025-36911 漏洞的潜在脆弱性，并给出评分和原因。 HFP (Hands-Free Profile) 连接测试针对评估为易受攻击的设备，尝试建立 HFP 连接，模拟实际攻击场景，验证漏洞的可利用性。 典型使用场景发现并评估周边设备进入终端后，首先扫描周围的蓝牙低功耗设备。工具会自动识别 Fast Pair 设备并评估其漏洞状态。
13410编辑于 2026-02-23 - 来自专栏耕耘实录
Linux系统下漏洞扫描、评估工具OpenVAS9的安装与使用
这个软件也能扫描windows漏洞哦！类似功能的软件还有Nikto，以后有空再进行学习。 当我编辑这篇文章时，扫描已经已经完成，情不自禁地想分享一下！ ?
2.2K20发布于 2018-12-20 - 来自专栏京东技术
漏洞防御话题BlackHat大会引关注 京东安全推出首款漏洞评估自动化解决方案
在本届大会上，京东安全针对“内核高危漏洞自动化分析和评估”的议题成功入选，同时还发布了全球首款漏洞可利用性自动化评估工具FUZE，让安全专家们在黑产对抗的时候，手中掌握了一个“核武器”级的工具。 ? 而FUZE将漏洞评估全面自动化，以提升漏洞应对的针对性和效率。 根据实际测算数据，在应用FUZE系统后，漏洞评估及应对的效率出现了显著提升，原来多个安全工作者数天才能完成的工作量，现在几分钟就能自动完成。 除了评估漏洞的安全等级，FUZE还能完整的“回放”漏洞可能被利用的过程，极大的提升了企业的安全防范能力。以每周为例，一家中型的IT企业就可能会面对数以百计甚至数以千计的软件漏洞。 但对于这家企业而言，由于安全人员的匮乏和专业技术的缺失，无法快速完成对软件所有漏洞的修复。而现在通过FUZE完成对漏洞的评估后，则能够快速、准确的将企业有限的资源投入于修复那些高危漏洞。
50120发布于 2018-08-22 - 来自专栏网络安全技术点滴分享
YOLOv7安全评估揭示11个漏洞：RCE攻击与模型差异风险
年11月15日机器学习TL;DR: 我们在流行计算机视觉框架YOLOv7中发现了11个安全漏洞，这些漏洞可能导致远程代码执行（RCE）、拒绝服务和模型差异（攻击者可在不同场景下触发模型产生不同行为）等攻击 鉴于这些风险，我们决定评估流行且成熟的视觉模型YOLOv7的安全性。 未收到回复，但我们提出了具体解决方案和更改以缓解已识别的安全漏洞。什么是YOLOv7？ 我们的方法借鉴了Mozilla的“快速风险评估”方法和NIST的以数据为中心的威胁建模指南（NIST 800-154）。 审查还发现了十二个代码质量发现，作为增强代码库质量和可读性以及防止未来漏洞引入的建议。
29410编辑于 2025-09-19 “大模型安全评估”需要评估哪些？
#大模型备案##安全评估##生成式人工智能#一、语料安全评估二、生成内容评估暴力、仇恨与非法内容： 评估模型是否会生成宣扬暴力、恐怖主义、种族歧视、性别歧视、仇恨言论等的内容。 三、涉知识产权、商业秘密评估四、涉民族、信仰、性别等评估五、涉透明性、准确性、可靠性等评估事实准确性与反幻觉： “幻觉”是指模型生成看似合理但实则错误或虚构的信息。 评估需检验模型在知识密集型任务（如问答、摘要）中的事实准确性，及其对不确定信息的处理能力。逻辑一致性与连贯性： 评估模型在长文本生成或多轮对话中，是否能在逻辑上保持前后一致，避免自相矛盾或答非所问。 代码安全： 对于能生成代码的模型，需严格评估其生成代码的安全性，避免产生含有安全漏洞（如SQL注入、缓冲区溢出）的代码。 六、模型性能(拒答率）评估大模型的安全评估是一个动态、持续且多学科交叉的复杂工程，它需要技术专家、伦理学家、法律学者、社会科学家和领域专家的共同参与。
61910编辑于 2025-08-26- 来自专栏生信喵实验柴
BUSCO 评估
背景 用于转录组和基因组组装质量进行评估的软件，前面介绍了quast，今天的是busco，对于动物植物较大的基因组拼接结果评估，这个软件很好用。 busco简介 BUSCO（Benchmarking Universal Single-Copy Orthologs）主要用于转录组和基因组组装质量进行评估的软件。 BUSCO 对拼接结果的评估与 quast 不同，它并不追求基因组拼接的长度，而关注的是是否将一些单拷贝直系同源基因拼接出来。 BUSCO 评估的原理其实不难，软件根据 OrthoDB 数据库，构建了几个大的进化分支的单拷贝基因集。 包括基因组组装评估（all）、转录组组装评估（OGS）以及基因预测评估（trans） 其他选项 -sp ：做 AUGUSTUS 用于训练的物种名字 -e ：blast 的 e 值
2.1K41编辑于 2022-05-23 - 来自专栏生信喵实验柴
quast评估
一、组装结果评估 1、准确性 基因组大小接近真实大小，拼出来的一般小于真实大小； GC含量接近真实GC含量，一个物种含量固定，可以判断污染； 基因组框架没有问题； 三、quast评估 今天给大家介绍一款，quast QUAST: Quality Assessment Tool for Genome Assemblies，可以对不同软件拼接的基因组序列， 软件官网：QUAST：http://bioinf.spbau.ru/quast #quast 评估案例： quast.py -r MGH78578.fasta spades.fa soapdenovo.fa
1.7K20编辑于 2022-05-23 - 来自专栏绿盟科技研究通讯
顶会论文解读｜AEM：Linux内核漏洞跨版本利用可行性评估
成果概述 漏洞的可利用性是评估其严重程度的标准之一。如今，针对可利用性的主流评估方法仍然是人工编写ExP并测试。 该论文希望回答这个问题：在拥有针对特定版本内核的某漏洞的有效exploit的情况下，如何评估该漏洞在其他内核版本上的可利用性？ 论文研究了Linux内核漏洞跨版本利用的可行性评估问题，提出了名为Automated Exploit Migration（AEM，自动化漏洞利用迁移）的方法。 问题范围定义 作者强调AEM虽然擅长于跨版本漏洞利用可行性评估，但是并非银弹，并对应用范围进行了界定。 总结 作为首个面向Linux内核跨版本漏洞利用可行性评估的方案，AEM能够以较高的成功率达成目标。其设计与实现相当“硬核”，但非常直观。
2K10编辑于 2023-02-22 - 来自专栏用户8715145的专栏
主机安全风险评估的类型 评估工具
在实际使用中难免会遇到一些病毒，所以大家采购时会有一些主机安全风险评估，会选择一些相对平稳的主机，以免后期运用造成数据的丢失和工作效率低下的问题。 那么主机安全风险评估有哪些种类，和怎么控制风险的发生呢，小编给大家整理了一下相关介绍。 安全风险评估和工具 电脑的使用现在已经很普遍了，使用电脑就会有一些隐私的数据，想达到数据的安全以及防止数据的安全性，我们要对主机进行一个安全风险的评估。安全风险评估分为哪些呢？ 风险评估一方面是对安全手段的评估，另一方面要对实际安全效果的评估。要想达到这种目的，我们要通过安全扫描、手工检查、渗透测试、安全审计、安全策略等方法进行安全风险评估。 企业更要有安全意识，把基础网络和重要信息的制度输入给员工，结合开展风险评估、应控等形式提高基础网络和信息系统的维护。
1.7K30编辑于 2021-12-03
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号