不論貴企業的規模大小，企業每天暴露的風險數目都是呈指數成長。事實上，過去三年來，每年公佈的弱點數目 幾乎增加了三倍。

原因很簡單:隨著數位轉型浪潮的興起，企業採用的裝置、技術和資產 數量和種類都愈來愈多(如雲端、OT和容器) 使得網路攻擊破綻也不斷擴大。破綻愈大，弱點也愈多在此同時，弱點的嚴重性持續增加，網路罪犯也變得愈來愈狡詐。

努力預測弱點的資安團隊則忙得暈頭轉向。舊方法把重點放在 Common Vulnerability Scoring System (CVSS) 上，並沒有把風險考量進去。事實上，在 CVSS 分數為 7 分或 7 分以上的弱點中，有 76% 並沒有專門撰寫的攻擊程式碼。許多企業因為仰賴 CVSS，而把時間浪費在風險極低或甚至毫無風險的弱點上。同時有將近半數的危險弱點仍 存在於工作環境當中。其結果是浪費時間、錯失機會及承受不必要的業務風險。

不過，也有好消息。風險型弱點管理提供更聰明的方法，可依據機器學習產生的風險模型來保護企業。這種 方法會在企業風險的來龍去脈中評估弱點。因此，資安團隊可從被動反應轉為主動預測，而且可以專注在對 企業造成最大且立即性風險的弱點上。

舊方法只強調兩個步驟:識別和評估弱點，而風險型方法則更進一步，可提供全面、有效率的方法來降低企 業風險。

若要獲得風險型弱點管理的優勢，就需要藉由現代化解決方案，提供完整能見度、持續評估及更主動、更具 策略性的方法。此外，也必須將傳統流程加以擴充，納入三種額外的功能:優先排序、修補以及衡量。

Tenable因應各種曝險管道，除了系統與應用程式弱點，另外包含網頁、容器、工控環境等威脅，以下為各模組詳細說明：

Tenable.sc 

Tenable.sc 產品藉由 Nessus 技術於內部進行管理，可即時持續評估網路，提供業界最全面的弱點涵蓋範圍。這是一套完善的弱點管理解決方案，包含：

• 內部部署的風險型弱點管理

• Nessus 掃描器數量無限制，即刻提供網路能見度

• 運用高度可自訂的儀表板、報告和工作流程，取得更清楚、更可行的資料深入分析結果

• 使用內建的風險評分和威脅情報立即找出弱點並排定其優先順序

• 具備可自訂的設定警示、通知和工單功能，能加速資安事端的回應

• 可免費存取 API 進行客戶整合、資料擷取，並使資料更加完善

Tenable.io Vulnerability Management

Tenable.io 是雲端管理平台，藉由 Nessus 技術於雲端管理及掌控，可預測應優先修正的安全問題，所有資訊都可以彙整到雲端集中管理。提供以下功能：

• 主動掃描、代理程式、被動監控、雲端連接器和 CMDB 整合可提供統一能見度，並持續掌握已知和先前未知的所有資產。

• Tenable 涵蓋超過 61,000 個弱點，擁有業界最廣泛的 CVE 和安全組態支援能力，可協助您瞭解所有的曝險。

• 將弱點資料、威脅情報和資料科學相互整合，可提供易於瞭解的風險評分，以便快速評估及瞭解應優先修復哪些弱點。

Tenable.io Web Application Scanning

Tenable.io Web Application Scanning 是全方位 Cyber Exposure 解決 方案的一部份，用以快速評估 web 應用程式，無需繁重的手動操作。

• 交付精準度高的掃描結果，降低誤報及漏報，讓掃描報告的準確度更值得企業和開發人員信賴。

• 不太需要動手的自動化掃描，瞭解 web 應用程式隨環境 變化的安全風險，無需耗費時間和人力。

• 掃描所有應用程式，包括採用現代化 web 框架所建立的 應用程式，例如 JavaScript、AJAX、HTML5 和單一頁面 應用程式。

• 快速進行安全評估 利用快速的應用程式掃描功能，在兩分鐘內找出常見的 安全狀況問題，即刻實現價值。

• 藉助 Tenable Cyber Exposure 平台，更清楚掌握攻擊破 綻中的真實網路風險，降低系統複雜性，擺脫工具不斷 增加、龐雜且低效率的情況。

Tenable.io Container Security 

Tenable.io Container Security 可整合至您的 DevOps 流程來消除資安盲點，且不會拖慢軟體開發進度。Tenable.io Container Security 能提供容器影像的端到端能見度，並在部署前先執行風險評估、惡意軟體偵測和策略強制實施。Tenable.io Container Security 相容於現有的 DevOps 工具鏈，因此能跟上 DevOps 的速度，並實現主動的能見度和安全性以解決容器所帶 來的安全挑戰。

安全地加速 DevOps 只要 30 秒即可從 DevOps 工具鏈內部讀取容器影像，並偵測風險和惡意軟體，以避免拖慢程式碼的速度。

• 降低補救成本 可在應用程式發佈前的開發階段就發現並修復軟體缺陷，此能大幅降低補救成本達 85%。 

• 獲得精準、深入的能見度 瞭解容器影像每一層，準確掌握網路風險資訊，減少誤報，並提供詳細的修復指南。

• 保護執行中的容器 獲得執行中容器的能見度並偵測可能會在部署之後產生的最新弱點和安全問題。

• 執行安全性原則 超出您企業風險限度的新容器將無法建立，此可確保在部署容器前就符合您的安全性原則。

Tenable Lumin

Tenable Lumin 可協助企業透過精準可行的 Cyber Exposure 測量 (包括企業內部或相較於其他同業公司的評分) 將網路風險的重要性提升至與其他類型的風險管理相當的水準。Tenable Lumin 可協助資安團隊擺脫艱澀難懂的技術語言，改以簡單明瞭的方式將技術資料轉換成商業洞見，以制定更完善的商業決策。這些洞見有助於讓資安團隊依據商業風險的高低來規劃需要優先處理的修復工作，並可引導團 隊採取最佳的修復行動，強化與 IT 部門間的協調合作。

• 量化網路風險提供涵蓋企業及營運小組 內部的客觀網路風險衡量方式，以制定 更明智的決策。

• 衡量網路風險改善成效衡量安全計畫在 執行一段時間之後的成效，藉此了解風 險改善的趨勢並溝通成果。

• 與同業比較以進行指標分析了解自身的 網路風險與評估成熟度與其他業界同行 的比較結果，以迅速找出優缺點。

• 提高生產力執行排名最高的建議修復動 作來緩解最危急的 Cyber Exposure 並 提升 IT 效率。

• 控制工具成本從自身的弱點管理資料獲 得更多的洞見，無需在安全架構中另行 安裝單一功能解決方案。

Tenable.ot

Tenable.ot是專門針對工控環境安全的解決方案，透過與各大工控廠商的技術配合，能完整找出生產環境中的資安問題。包含：

涵蓋範圍極廣：Tenable.ot 的威脅情報充分運用與工業網路相關的多種偵測來源， 包括 ICS-CERT、NVD、新興威脅、Tenable 情報以及其他情報。這 些情報為企業提供了防禦 OT 威脅的全面保護力。

抵禦新的威脅：威脅情報一貫的即時性使企業能獲得最新摘要，確保企業能使用最新的保護機制來抵禦新興的 OT 威脅。

獨家情報:獲得來自 Tenable Research 的獨到見解，包括零時差弱點的新入侵指標、獨特的 SCADA 軟體威脅，還有以專家研究為依據的其他指標。

深入瞭解實際情況：有了 Tenable 的多重資料來源，企業將可獲得有因果關係的威脅相關資訊，這些資訊有助於排定威脅的優先順序並加快調查速度和準確度。因果關係包括威脅、執行者、與該威脅相關的活動以及 IoC 威脅嚴重性

搜尋威脅：充分運用多種偵測功能，包含不正確的 IP、可疑網域、惡意雜湊、封包特 徵碼、弱點等