nessus风险等级

Nessus的使用非常简单。它根据已知的系统漏洞和弱点，对被评估的系统进行模拟攻击，最后给出一份详细的报告。而你所要做的，不是安装和运行工具，而是要将评估报告汇报给企业，并决定对哪些漏洞必须立即打上补丁，哪些弱点可以暂时放缓处理。

Nessus将系统的漏洞归结为三类：

Security Holes: 该项攻击成功并且会造成极大的安全风险。

Security Warnings: 该项攻击成功，但是不会对安全造成大的影响。

Security Notes: 软件通过扫描发现了系统相关信息。

接下来，Nessus还会将这三类漏洞依据风险因素分解为不同等级：

Critical:已经威胁到远端主机的安全。

Serious: 该漏洞泄漏的信息可以被黑客利用进行攻击 。

High: 黑客可以在远端主机获取shell，或者执行任意命令。

Medium: 该安全漏洞可以导致用户权限扩大。

Low: 从该漏洞获取的信息可以被黑客利用，但是不会立刻造成严重威胁。

None: 系统不存在隐患。

需要记住的是，Nessus报告的漏洞可能包含多个等级的风险因素。而你需要判断每个漏洞最有可能实现的风险等级，并将其报告给企业决策者。

对于每个被发现的漏洞，Nessus都会有一个BugTraq ID（BID）列表链接，一个公共漏洞和暴露（CVE）代码链接和一个Nessus ID。这三个参考链接中的任意一个，都可以帮助你更进一步了解该漏洞的潜在危害。

Nessus的评估报告采用通用的HTML格式，你可以方便地对报告进行编辑，并发送给企业相关人员。对报告进行分析是一件枯燥的工作，同时也是必需的，因为依靠你对安全报告的分析和建议，企业才能建立一个全面的安全架构。

通过分析Nessus的评估报告来判断系统漏洞是否会对企业系统造成影响，是非常重要的。

你可以通过打补丁或者升级软件的方式来解决风险问题。然而，有些涉及应用程序的补丁可能会带来一些未知的结果。为了避免出现这种情况，你可以利用已有的安全工具封锁该应用程序的TCP和UDP端口，从而减低软件漏洞带来的风险。

Nessus是一款相当好的工具，但是在进行漏洞评估前，我建议你还是应该进行一些手动测试，以便检验评估结果。一旦你对系统进行了评估，就该按照分类进行分析并修补系统了。