セキュリティの脆弱性修復の追跡
私はしばらくこれを調べてきましたが、実際に適切なものは見つかりませんでした。
私が探しているのは、セキュリティの脆弱性の修復ステータスを追跡するシステムです。 「bugzillaforIT」のようなもの
私が探しているのは、次のことを可能にする非常に単純なものです。
- 修正が必要な新しい脆弱性のバッチエントリ
- ユーザーごとの割り当て
- AD/LDAP認証
- 進捗状況を追跡するためのシンプルなインターフェース-調査、変更管理ステータス、修正など。
- 歴史的検索能力
- 除算で除算する機能
- セキュリティチームがアクセスするための解決の証拠を保存する機能
- 依存関係の追跡
- Linuxベースが最適です（それが私のグループです:)）
- 無料は良いですが、システムがそれだけの価値があるのであれば、コストはそれほど重要ではありません
システムはこれらすべての機能を備えている必要はありませんが、備えていれば素晴らしいでしょう。
はい、ヘルプデスクソフトウェアを使用することはできますが、SLAアラートとペナルティをトリガーするなど、グループ外で簡単に検索できないなど、多くの落とし穴があります。
私が見つけたもののほとんどは、開発者向けのバグ追跡システムであり、私が探しているものに対して正直なところやり過ぎです。
サーバー障害の入力はいつものように大歓迎です！
わかりました、私が知る限り、これを行う製品はありません。あなた自身を転がさなければならないでしょう。
出発点としては、Metasploitとnmapから始めて、脆弱性を収集し、それらをデータベース（mysql、postgresなど）にドロップし、その入力をバグトラッカー（Trac、Redmineなど）の作成アイテムとして使用します。 ）そしてそれを発券エンジンとして使用します。
AD/LDAP認証レコードを取得する限り、syslogコレクションを使用してその入力を行うことができます。そこから直接データベースに収集できるかどうかはわかりません。
「これを製品化すれば、金持ちになる」とまでは言いませんが、適切なSEOがあれば、確かに多くのページビューやコンサルティングのオファーを得ることができます。
いずれにせよ、大変な作業になるので、それだけの価値があることを願っています。 ;-)
[〜＃〜] update [〜＃〜]： Metasploit を調べましたか？
この質問は非常に古く、自分に合った解決策を見つけた可能性がありますが、そうでない場合は、Dradisフレームワークを調べましたか？それはあなたの箱のほとんどをチェックします。完全開示、私はDradisを作るチームで働いています。
評価からお気に入りのツール（Nmap、Burp、Nessusなど）の出力を収集したら、Dradisを使用してそれらを単一のプロジェクトにコンパイルします。
ルールエンジンを使用して調査結果を重複排除し、問題ライブラリからベンダーの説明を独自のものに更新します。
ユーザーに問題を割り当てて、自分にとって意味のあるステータスカテゴリのインターフェイスを修正およびカスタマイズします。
ご覧になりたい場合は、さまざまなプランとコミュニティエディションの比較をご覧ください： https://dradisframework.com/pro/editions.html