登录
2021.11.29
5021
上海碳泽信息科技有限公司
一、案例背景
某全球矿业集团是以黄金及基本金属矿产资源勘查和开发为主的高技术效益型国际矿业集团，中国500强企业。2003年12月成功登陆香港股票市场，是中国最大的矿产金生产企业、中国第三大矿产铜和六大锌生产企业之一，国家高新技术企业。
随着业务的发展，该矿业集团已经成为全球型的组织，而信息安全建设才刚刚开始，随着安全形势越来越严峻，几乎每天都有新的漏洞出现，这还不包括0day漏洞，因此漏洞扫描器需要高频率的更新，在重大漏洞出现之日起24小时内就需要完成对自己系统环境的扫描，检查自己系统是否存在此漏洞，从而可以第一时间进行修复措施。如果反应慢了，可能自己的系统早已被利用并放置了恶意程序。
漏洞管理是一件枯燥、繁琐、乏味又耗时的工作，光靠人力难以全面完成这项工作，现实需要更高自动化的管理工具，包括定时对IT环境（各种IT物理和虚拟设备）进行扫描，并根据问题的严重性进行优先级划分，然后进行各种修复措施，并需要和运维及研发乃至管理层进行正确的沟通。
因此，建立一套真正基于安全风险的漏洞风险管理平台，提升管理效率，成为了该矿业集团迫在眉睫的需求。
二、案例概述
漏洞扫描与管理系统在构建完善的信息安全体系的过程中，是必不可少的基础设施之一。信息系统中充斥着各种过时的技术和数量众多的新系统、新软件及新协议，安全漏洞数量成倍增加，持续性可操作的基于风险的漏洞管理平台才是问题的解决之道。
碳泽玉衡漏洞风险管理平台是新一代真正基于风险的漏洞统一管理平台，通过智能化操作，减少人工干预，提高管理效率，结合更详细有效的修复建议，加快漏洞修复进程。
碳泽玉衡漏洞风险管理平台是真正的新一代RBVM平台，融合了VA （漏洞评估技术）、VPT（漏洞优先级评估技术）以及BAS（攻击模拟及漏洞验证技术），结合流程和接口的定制开发，形成统一管理，真正实现了基于安全风险的漏洞管理平台，并且通过分布式多引擎有效覆盖用户的整个网络，自动化实现漏洞管理流程。
三、安全技术应用情况
碳泽玉衡漏洞管理系统的特点是同时满足对主机及网络设备风险管理和安全人员工作能力的补充，同时提供网络风险管理，也提供资产管理功能，两者通过搭配紧密关联，体现安全风险与资产的紧密联系，玉衡漏洞管理系统的资产管理功能可基于灵活的需求条件进行配置，资产分组分为两种类型，一种是静态资产组，包含固定不变符合条件的资产，另一种是动态资产组，根据资产创建时的条件自动匹配符合条件的资产。
与此同时，碳泽玉衡漏洞管理系统融合了风险量化评估技术及攻击渗透模拟系统，帮助客户真正构建基于风险的漏洞管理平台，并提供直接美观的报表，从业务角度出发的报告，让客户了解有关漏洞的全面信息。
系统关键功能：
- 系统设计为浏览器/服务器（B/S）架构，直接通过Web操作管理。
- 支持全面的网络资产脆弱性扫描与资产信息管理，包括操作系统、网络设备、应用、中间件、数据库等。
- 支持多用户多角色操作，支持权限控制等，产品本身符合安全规范。
- 系统控制管理与扫描引擎分离式设计，便于资源调度和扩展。
- 支持通用操作系统，支持云计算环境虚拟化部署。
- 分项目操作模式。对渗透测试任务可分项目操作，各项目之间的数据互不冲突。结合多用户功能，可以适应大规模网络目标环境。
- 进行数据分析以过滤、呈现安全事件；
- 提供风险量化分析模块，有效区分漏洞优先级；
- 提供漏洞攻击渗透验证模块，有效验证漏洞可利用性；
- 实现独立的、专业的、多引擎的Web安全评估体系；
- 提供全开放API接口，方便和第三方系统整合。
四、客户反馈效果
通过部署碳泽玉衡漏洞风险管理解决方案，帮助该矿业集团建立基于风险的漏洞评估和管理体系，同时完成了等级化保护等合规工作。
通过项目建设，完成周期性的漏洞评估和修补工作，并且通过渗透测试模块验证漏洞的真实性，同时让信息安全团队能够将工作重点集中在最具风险的漏洞上。
手机：19925407556
邮箱：info@c-csa.cn