作者coflame (吾养吾浩然之气)
看板MIS
标题Re: [闲聊] 心脏流血”暴露OpenSSL缺陷
时间Mon Apr 14 15:11:25 2014
※ 引述《futureq (无名再见)》之铭言:
[恕删]
: 个人心得:
: 真的是蛮可笑的,开放源始码真的对软体开放工作的人是好事吗?
: 如果路上一堆免钱的饮料店、免费鸡排店、免费便利商站该有多好?
: 有时候想想,开放源始码最大的获利者,就是那些卖防毒软体,弱点扫描的公司
: 就我在公司的经验,
: Windows 作业系统在每半年被弱点扫描扫出问题较低。(大概是无脑自动更新)
: 若是PHP,MySQL,如果半年不理他,则每次都有问题XD,一直修再修。
: 弱点扫描真的很好赚,派个人放台NB在内网就好了,按台数计价。
: 1台1000块,100台就10万。常常几百台扫下来就快50万。
: (要更便宜也可以,但老板都选妹比较辣的厂商...XD)
: 最後一天请工程师驻点说明一下处理流程。
: 然後一堆经办每次扫完都在盖章,真的很烦@@.....
: 纯报怨...
讲弱扫好赚的人,实在应该跟分享一下那是哪一家厂商,
我考虑跟他们合作生意。
事实上不知这位朋友指的弱扫是哪种?OS? AP? Web?
依文章来看应该是OS, Web,
扫完之後的报告书、处理建议,甚至要跟AP Developer、
Server Administrator、 DBA去谈(ㄔㄠˇ ㄐㄧㄚˋ)怎麽修正,
才是弱扫的厂商服务价值。
譬如说吧,以这次OpenSSL的问题,你跟Server Administrator说
要更新OpenSSL的版本,Server Administrator会去问AP Developer
可不可以升,AP Developer会跟你说以下几种:
1. 你能保证升级後我的Application不会出问题吗?
2. 真要做,我需要 N个月的时间,过渡期间你的补偿措施是什麽。
结果就是这个Critical的弱点无法结案。
弱扫的精随不是单单只有弱扫工具,
扫完之後的Remediation(修正) 跟沟通协调,才是真功夫啊!
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 110.29.68.176
※ 文章网址: http://webptt.com/cn.aspx?n=bbs/MIS/M.1397459487.A.93A.html
1F:推 hhyu0627:只能在同意不过了,现在正在fix Iso 27001的洞,超难搞 04/14 15:35
2F:→ hhyu0627:的ㄕ 04/14 15:35
3F:→ infosec:哪家弱扫厂商这麽佛心 还可以帮忙和developer吵架? 04/14 16:07
4F:→ x2006:升级後我的Application不会出问题<-先VM起来,再升级测试看看 04/14 17:00
5F:推 trumpete:所以正妹得标~~~~~无误~~~ 04/14 17:13
6F:推 goodga:我们家的好像就是这样耶~客户是xxC,还好工程师不是我 04/14 17:29
7F:→ futureq:噞,那间厂商就直接copy国外的解决方案阿 04/14 18:59
8F:→ futureq:哈 04/14 18:59
9F:→ futureq:就是patch而已,怎麽会吵架呢? 04/14 18:59
10F:→ futureq:若有升级失败,跟弱扫厂商无关,是原厂商负责的事 04/14 19:00
11F:→ futureq:不知道你是找那家来弱扫的,具然肯支援开发商的事情@@ 04/14 19:01
12F:→ futureq:不可思议@@。 04/14 19:02
13F:推 cem236321:通常﹍﹍单位才会出现原PO说的那种况状 04/14 19:21
14F:→ cem236321:只要做 而不用看结果 也不想做处理 04/14 19:21