作者coflame (吾养吾浩然之气)
看板MIS
标题Re: [闲聊] 心脏流血”暴露OpenSSL缺陷
时间Mon Apr 14 15:11:25 2014
※ 引述《futureq (无名再见)》之铭言：
[恕删]
: 个人心得：
: 真的是蛮可笑的，开放源始码真的对软体开放工作的人是好事吗？
: 如果路上一堆免钱的饮料店、免费鸡排店、免费便利商站该有多好？
: 有时候想想，开放源始码最大的获利者，就是那些卖防毒软体，弱点扫描的公司
: 就我在公司的经验，
: Windows 作业系统在每半年被弱点扫描扫出问题较低。(大概是无脑自动更新)
: 若是PHP,MySQL，如果半年不理他，则每次都有问题XD，一直修再修。
: 弱点扫描真的很好赚，派个人放台NB在内网就好了，按台数计价。
: 1台1000块，100台就10万。常常几百台扫下来就快50万。
: (要更便宜也可以，但老板都选妹比较辣的厂商...XD)
: 最後一天请工程师驻点说明一下处理流程。
: 然後一堆经办每次扫完都在盖章，真的很烦@@.....
: 纯报怨...
讲弱扫好赚的人，实在应该跟分享一下那是哪一家厂商，
我考虑跟他们合作生意。
事实上不知这位朋友指的弱扫是哪种？OS? AP? Web?
依文章来看应该是OS, Web，
扫完之後的报告书、处理建议，甚至要跟AP Developer、
Server Administrator、 DBA去谈(ㄔㄠˇ ㄐㄧㄚˋ)怎麽修正，
才是弱扫的厂商服务价值。
譬如说吧，以这次OpenSSL的问题，你跟Server Administrator说
要更新OpenSSL的版本，Server Administrator会去问AP Developer
可不可以升，AP Developer会跟你说以下几种：
1. 你能保证升级後我的Application不会出问题吗？
2. 真要做，我需要 N个月的时间，过渡期间你的补偿措施是什麽。
结果就是这个Critical的弱点无法结案。
弱扫的精随不是单单只有弱扫工具，
扫完之後的Remediation(修正) 跟沟通协调，才是真功夫啊！
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 110.29.68.176
※ 文章网址: http://webptt.com/cn.aspx?n=bbs/MIS/M.1397459487.A.93A.html
1F：推 hhyu0627:只能在同意不过了，现在正在fix Iso 27001的洞，超难搞 04/14 15:35
2F：→ hhyu0627:的ㄕ 04/14 15:35
3F：→ infosec:哪家弱扫厂商这麽佛心 还可以帮忙和developer吵架？ 04/14 16:07
4F：→ x2006:升级後我的Application不会出问题<-先VM起来,再升级测试看看 04/14 17:00
5F：推 trumpete:所以正妹得标~~~~~无误~~~ 04/14 17:13
6F：推 goodga:我们家的好像就是这样耶~客户是xxC，还好工程师不是我 04/14 17:29
7F：→ futureq:噞，那间厂商就直接copy国外的解决方案阿 04/14 18:59
8F：→ futureq:哈 04/14 18:59
9F：→ futureq:就是patch而已，怎麽会吵架呢？ 04/14 18:59
10F：→ futureq:若有升级失败，跟弱扫厂商无关，是原厂商负责的事 04/14 19:00
11F：→ futureq:不知道你是找那家来弱扫的，具然肯支援开发商的事情@@ 04/14 19:01
12F：→ futureq:不可思议@@。 04/14 19:02
13F：推 cem236321:通常﹍﹍单位才会出现原PO说的那种况状 04/14 19:21
14F：→ cem236321:只要做 而不用看结果 也不想做处理 04/14 19:21