概述 | 工作原理 | 快速开始 | 路线图 | 联系我

概述

根据 vulndb 和 cve 等来源的数据，每天大约有 50 个新漏洞被业界知晓，并且可以预见这个数字还将进一步增长。这是一个庞大的漏洞数量，需要有效且快速地评估和修复。因此，如今的组织正致力于（或应该致力于）降低风险而非消除风险，漏洞管理几乎等同于风险优先级划分，而风险是一个由多重因素决定的动态变化概念。

理论上，考虑诸如基础 CVSS、资产可访问性、关键性、漏洞利用可用性、业务敏感性等因素的方法似乎很合适，但每个组织手动对每个漏洞针对每个资产进行此类操作并不现实。

目标与理念

为克服上述挑战，vPrioritizer 的设计主要目标如下：

1. 集中化 —— 必须作为漏洞管理的单一管理界面
2. 自动化 —— 任何可以自动化的任务都必须自动化
3. 社区分析 —— 利用社区分析随时间推移优化优先级算法

阅读更多…

工作原理

vPrioritizer 使我们能够在不同层面评估风险（因此能够全面控制上文风险计算部分所述的各项风险的粒度）：

• 我们可以按单个资产分配重要性
• 我们可以按单个漏洞评估严重性
• 同时，我们可以在资产与漏洞关系层面调整这两个因素
• 此外，社区分析提供了建议风险的情报

vPrioritizer 使我们能够理解组织中每个资产因每个漏洞而产生的上下文风险。它基于社区的分析为每个漏洞扫描器识别的漏洞提供建议风险，进一步强化了风险优先级划分流程。因此，团队在任何时候都可以基于统一标准化的数据，更有效地做出更明智的决策：哪些（漏洞）需要修复（或可以搁置），以及针对哪些（资产）。

快速开始

对于 Linux 用户：

1. 安装 docker 和 docker-compose
   • sudo apt-get update
   • sudo apt-get install docker-ce docker-compose
2. wget https://raw.githubusercontent.com/varchashva/vPrioritizer/master/docker-compose.yml
3. docker-compose up
4. 浏览器访问 http://localhost:7777/vp，即可探索工具 :)

对于 Windows 和 Mac 用户：

1. 安装 postgres
2. 使用以下信息创建用户和数据库：
   • 用户名：vprioritizer
   • 密码：vprioritizer
   • 数据库名：vprioritizer
3. git clone https://github.com/varchashva/vPrioritizer.git
4. cd vPrioritizer
5. python manage.py runserver 0.0.0.0:7777
6. 浏览器访问 http://localhost:7777/vp，即可探索工具 :)

演示

路线图

• 支持所有操作系统（Linux、Mac、Windows）的 Docker
• 与扫描器 API 集成：
  • Nexpose
  • QualysGuard
  • Nessus
  • 云原生扫描器
    • AWS Inspector
    • Azure Security Center
    • GCP Security Command Center
• “自定义上传字段”模块
• 漏洞累积
• 自定义“设置”页面
• 维护漏洞知识库
• 通过 OSINT 提供漏洞“帮助”
• 优先级算法成熟化（持续进行）

贡献与联系我

感谢 Jyoti Raval 作为出色的质量保障。

如有任何问题/评论/建议，请联系我： | | 提出 Issue