2024-02-27 | 叡揚資訊 系統發展與運帷事業群 行銷部
利用弱點掃描找出網站的資安漏洞，是許多企業網站、政府部門網站會使用的資安防護方法之一。弱點掃描能找到網站存在的漏洞，保障使用者與網站本身的資訊安全。弱點掃描有哪些類型？在哪些情況下適合使用弱點掃描？掃描後又該如何追蹤改善？讓叡揚資訊一一為您解答！
弱點掃描是什麼？2大掃描型態一次看！
弱點掃描是利用專業掃描軟體來檢測網站、應用程式、系統中的漏洞與錯誤，再經由專業人員評估這些錯誤並提出解決方法，最後實際修復問題。弱點掃描可以在一定程度上保護敏感資料免受暴露以及攻擊。掃描的過程中較不會影響使用者，掃描成本和時間也相對較低。
弱點掃描又可分為兩種類型，分別為主機弱點掃描與網頁弱點掃描：
主機弱點掃描
主機弱點掃描的掃描區域在於系統主機中的作業系統、程式及網路設備的檢測。
網頁弱點掃描
網頁弱點掃描則可以偵測網站的弱點，例如SQL Injection、XSS、XXE等檢測項目，並且確認符合如OWASP Top 10、PCI DSS等標準。
為什麼要做弱點掃描？了解4大原因！
風險管理
網站一旦遭遇資安問題，可能發生網站毀損、停用、甚至最嚴重的情況是客戶資料外洩。因此，做好弱點掃描可以大幅度的排除這些網站漏洞，降低資安風險。
即時掌握漏洞
一般來說，為了確保網路環境的安全，企業應定期進行弱點掃描，頻率約落在半年至一年進行一次。這樣可以確保企業能夠即時的掌握資安漏洞，並進行修復與調整。
符合法規
政府機關網站作為重要的資訊提供者，許多部門皆有規定需定期進行弱點掃描。另外，在特定產業網站如保險業、證券業等，為了保障使用者安全，也有相關法規規定需進行弱點掃描的次數與頻率。這些規定也凸顯了弱點掃描在網路安全管理中的重要性。
由國際標準化組織（ISO）所制定的ISO27001，是目前最通用且具有正式法律效力的資安法規。凡是通過ISO27001認證的企業，表示其：
- 嚴格落實並全面履行管理責任。
- 嚴格遵守相關法律規定，例如：台灣《個資法》。
- 有效降低因資料外洩而增加的營運成本。
- 確保客戶有感受到自身資料受到保護，進而增加品牌的信任度與形象。
- 大幅降低資料及財產的外洩風險，提升企業信譽與競爭力。
系統設計不當
設計不當的作業系統可能會造成嚴重的安全漏洞，例如讓駭客有機會加裝惡意程式，或是因過時的組態設定而導致資料外洩，這些問題不僅會威脅到企業的資訊安全，也可能危及客戶的敏感資訊。而弱點掃描可以協助識別系統中的錯誤設計並迅速進行修復，讓系統恢復正常運作。
弱點掃描的重要性是什麼？為什麼需要做弱點管理！
Q：弱點掃描多久要做一次？是否有法律規範需要定期掃描？
特定產業和公家網站對於弱點掃描的頻率有明確規範。以保險業為例，在保險業辦理資訊安全防護自律規範中，便規定弱點掃描每季須掃描一次。
而一般企業網站通常會將弱點掃描的頻率設定在每半年至一年進行一次，以確保網站的安全性，且依各項風險等級之弱點進行修補或矯正措施，紀錄處理情形並持續追蹤改善。
Q：弱點風險等級是什麼？如何判斷處理順序？
完成弱點掃描後，企業會將掃描出的所有弱點及漏洞，包括描述和嚴重程度整理成報告，再將這些弱點／漏洞分類為不同的風險等級，並根據等級決定相應的處理方式：
- 高風險漏洞：對網站構成立即或高度威脅性的重大安全弱點，須立即修復。
- 中風險漏洞：對網站的威脅程度較低，可先觀察，後續修復時再處理即可。
- 低風險漏洞：對網站不會產生太大的影響，可以最後處理。
一般來說弱點風險等級會分成以上三種，企業會優先處理高風險以上的漏洞，並依序修復中低風險。
Q：做了弱點掃描卻不修補可能產生什麼樣的風險？
不修補弱點可能會導致幾個潛在風險：
- 無法即時發現系統中所存在的漏洞及弱點，一旦遭受駭客攻擊，網站資安就可能產生問題。
- 安全漏洞可能導致公司內部資料、客戶資料外洩。
- 如同前段提到，特定產業針對弱點掃描的頻率有明確規範，若不遵守法規則可能面臨法律責任及罰款。
- 網站作為企業的門面，若因未進行弱點掃描而遭受攻擊，出現了安全問題，極有可能損害企業形象，導致客戶信任度下降。
完成弱點掃描後，應該持續進行各主機／系統的弱點修補與追蹤管理，有效的修補弱點才可以降低系統風險。一旦弱點掃描為中高風險，且處理作業拖得越久，對系統來說空窗期就越高，若是在此時遭受駭客攻擊，可能會造成無法挽回的資安危機！
資料來源:https://www.gss.com.tw/e-forum/user-tell/3769-2024-02-27-02-48-06
