隨著安全行業(yè)的眾多廠商慢慢轉(zhuǎn)型成為托管安全服務(wù)供應(yīng)商，一個(gè)特定的應(yīng)用領(lǐng)域也逐漸成為了主流，即：通過(guò)云計(jì)算軟件即服務(wù)交付的漏洞管理。目前，一些廠商也已提供了基于云計(jì)算的漏洞掃描和修復(fù)工具，這些產(chǎn)品迅速地占據(jù)了市場(chǎng)份額。在本文中，我們將首先探討下使用基于云計(jì)算的漏洞管理服務(wù)是否是你的企業(yè)的正確選擇，然后將提供一些標(biāo)準(zhǔn)來(lái)幫助你選擇供應(yīng)商，最后還會(huì)介紹一個(gè)用于云計(jì)算掃描的DIY方法。

　　軟件即服務(wù)，基于云計(jì)算的漏洞管理服務(wù)是否適合你的企業(yè)？

　　當(dāng)你考慮實(shí)施軟件即服務(wù)（SaaS）漏洞管理的產(chǎn)品或服務(wù)時(shí)，你可能需要花一點(diǎn)時(shí)間來(lái)確認(rèn)下你已開(kāi)發(fā)和歸檔的業(yè)務(wù)是否適合遷往云計(jì)算。具體的理由可能各不相同，但是很多企業(yè)所提出的共同的優(yōu)點(diǎn)卻是相同的，其中包括：

　　成本節(jié)省—基于云計(jì)算的漏洞管理服務(wù)有時(shí)候能夠通過(guò)降低你的總支出、取代你的組合掃描軟硬件成本以及年度使用許可費(fèi)來(lái)為你實(shí)現(xiàn)更低的直接成本。在幾乎所有的情況下，云計(jì)算服務(wù)能夠通過(guò)減少你的員工必須花在安裝和配置系統(tǒng)上的時(shí)間來(lái)降低你的非直接成本。

　　易于更新升級(jí)—使用SaaS方法，就能夠?qū)崿F(xiàn)自動(dòng)更新升級(jí)。通常情況下，供應(yīng)商只需按照預(yù)定的計(jì)劃簡(jiǎn)單地為產(chǎn)品打補(bǔ)丁，而所有的客戶就能夠幾乎立即進(jìn)行應(yīng)用程序錯(cuò)誤補(bǔ)丁和新功能的升級(jí)。與之類似，漏洞特征庫(kù)的升級(jí)也是能夠?qū)崟r(shí)完成的。

　　附加的角度—組合使用基于云計(jì)算的掃描程序和托管設(shè)備將為你的數(shù)據(jù)處理帶來(lái)額外的安全信息。除了查看你自己網(wǎng)絡(luò)中的漏洞，你還能通過(guò)托管在供應(yīng)商數(shù)據(jù)中心的掃描程序查看你的系統(tǒng)暴露在互聯(lián)網(wǎng)中的安全情況。

　　但是，這是一個(gè)魚(yú)與熊掌不可兼得的命題：當(dāng)你采用基于云計(jì)算方法時(shí)，你就必須放棄一定程度的控制權(quán)。你不再需要訪問(wèn)底層操作系統(tǒng)，而最重要的是，你可能再也無(wú)法控制應(yīng)用程序更新。面對(duì)這樣一個(gè)可能對(duì)你的業(yè)務(wù)流程產(chǎn)生負(fù)面影響的“增強(qiáng)型功能”，你可能根本沒(méi)有選擇的余地。

　　SaaS及云計(jì)算漏洞管理廠商如何選？

　　當(dāng)對(duì)供應(yīng)商進(jìn)行評(píng)估時(shí)，首先應(yīng)確定他們所提供的系統(tǒng)能夠以合理的成本滿足你的基本業(yè)務(wù)需求。其次，請(qǐng)?zhí)貏e關(guān)注服務(wù)水平協(xié)議，尤其是其中關(guān)于正常運(yùn)行時(shí)間和零時(shí)差攻擊特征可用性等方面的條款。此外，你還需花一些時(shí)間對(duì)系統(tǒng)的報(bào)告和整治跟蹤的能力進(jìn)行認(rèn)真評(píng)估。

　　DIY云計(jì)算漏洞掃描

　　如果你還沒(méi)有做好完全實(shí)施基于云計(jì)算漏洞管理的準(zhǔn)備工作，那么你還是不妨考慮為你的掃描環(huán)境增加一個(gè)基于云計(jì)算角度的可行性方法。很多漏洞管理系統(tǒng)供應(yīng)商都提供了掃描節(jié)點(diǎn)作為虛擬設(shè)備或純軟件產(chǎn)品。假設(shè)在諸如Amazon網(wǎng)絡(luò)服務(wù)EC2云計(jì)算這樣的環(huán)境中能夠簡(jiǎn)便地創(chuàng)建虛擬機(jī)服務(wù)，那么你可能需要在云計(jì)算中部署一個(gè)額外的掃描程序。然后，這個(gè)掃描程序就能夠與你的現(xiàn)有管理平臺(tái)集成，從云計(jì)算角度為你提供掃描結(jié)果。

　　那些還沒(méi)有部署任何漏洞掃描功能的企業(yè)可能還希望尋找到可完全建立在云計(jì)算環(huán)境中的免費(fèi)或低成本方法。 例如，開(kāi)源漏洞掃描程序OpenVAS就能夠被方便的設(shè)置在云計(jì)算中。如果你正在尋找更好的服務(wù)，那么你可以考慮Nessus；雖然它不再是免費(fèi)的，但是它提供了專業(yè)的Feed服務(wù)，而年使用許可費(fèi)為1500美元。

　　漏洞管理是試水云計(jì)算安全服務(wù)的一個(gè)好方向。你可以以較少的初期投入從云計(jì)算漏洞掃描開(kāi)始，并從這些系統(tǒng)所提供的額外角度和管理成本降低中實(shí)現(xiàn)顯著的收益。