弱点稽核，您做的确实吗？

• 了解企业网路架构
  执行弱点稽核的第一步，就是对企业的网路环境先做个了解，确认网路架构中提供了哪些网路服务及应用程式，并确定在执行弱点扫描前是否有其他需注意与配合之事项。
  
  
• 依据需求选择扫描目标
  评估有哪些主机、应用程式及网路设备要执行弱点扫描，若企业规模较大，则建议采用多工排程功能进行分批扫描，检测结果再透过 E-mail 通知、存档或汇入 ODBC 资料库，可以节省网路频宽的占用及提升弱点检测的效率。
  
  
• 选用适合的弱点评估工具
  市面上有许多弱点评估(VA) 工具，MIS 人员或资安委外厂商可依需求，选用适合的弱点评估工具，并将弱点评估工具部署在企业网路环境上，在执行弱点稽核作业前，先更新检测模组与弱点资料库，将弱点稽核功能发挥到极致。
  
  
• 选择适当的扫描政策，进行弱点扫描作业
  依据目标主机的不同，选择适当的扫描政策来进行弱点扫描，将加快扫描作业时间，如∶要进行 NT 网站的弱点检测，则可以选择 IIS 网站的安全政策，若要进行 SANS TOP 20 常见弱点检测，则可以选择其所属的政策。
  
  
• 分析弱点扫描结果
  依据扫描後的结果，产生报表或自订企业所需求的报表，如∶前後次差异性报表，并根据企业网路状况，进行扫描结果的分析。
  
  
• 弱点修补与安全漏洞之修正
  企业可依弱点的严重程度及分布状况进行修补作业，风险性较高的弱点先进行修正，风险较低的弱点亦需安排时程逐步完成修补，另外，有些弱点无法以更新软体的方式进行修正，则需以管理的方式将安全风险降到可接受的范围。
  
  
• 弱点扫描复检作业
  在完成弱点修补後，必需再进行一次弱点扫描的复检作业，主要的目的是要确定弱点是否已经正确地被修正。完成以上七个步骤才算是一次完整的弱点检测流程。

• 弱点评估工具评鉴方式之参考