请问各位都是如何来检查服务器的潜在威胁的？

[qfdk]

背景如下，

公司需要对所有的服务器进行安全检测，并提供解决方案 （软件升级或者是其他的操作）

期间得到了一个很神奇的代码叫做 CPE 也就是一个软件的 id 吧。 结构如下

cpe:/<part> : <vendor> : <product> : <version> : <update> : <edition> : <language>

这个叫做 cpe 的东西可以来寻找 CVE，当然了 地址是这里 https://nvd.nist.gov/

那么问题就来了，有什么办法可以快速找到一个软件的 CPE ？ 现在都是用

https://nvd.nist.gov/products/cpe/search 慢慢的寻找，不知道有没有什么快速的方法直接定位 cpe ？

做了个简单的搜索方便自己，主要是根据 cpe 来寻找对应的 cve 列表 根据结果来分析 潜在的威胁

[vibbow]

always upgrade to latest version.

[whypool]

sudo yum update

[qfdk]

@vibbow #1 最新的版本，但是比如用的 postgreSQL 这样的东西也要最新版本 ? 我的选择是分支上的最后的版本
@whypool #2 对于 OS 层面 我确定，需要这个

[Greenm]

本地 lynis

远程用漏扫

[qfdk]

@Greenm #4 主要是对已知版本进行分析。现在正在如何思考获得 cpe 类似于 cpe:/a:apache:http_server:2.0.0 可以查到这个版本的所有 cve 以及漏洞

[ctsed]

找个懂安全的人做个漏扫渗透，几千块，比自己搞好多了

[vibbow]

@qfdk 只要没停止维护，那分支上的最新版也算最新版呀~

[qfdk]

@ctsed #6 公司有渗透部门 但是现在是做安全分析 毕竟渗透这样的东西也要花时间的... 又一次 他们做测试没打招呼 把 dev 的机器搞挂了 还纳闷儿 都 物理隔离了咋还会被 x 虽然是子公司 也不能这么玩儿

[qfdk]

@vibbow #7 大佬说的对 问题又来了 如何快速知道软件不维护呢？ 大量软件的网站都不一样 有的写在 roadmap 里面， 有的写在 changelog 里面 还有的写在下个版本中 快疯了. 关键词用 eol 还有 support 相关 不知道还有没有好办法？

[vibbow]

@qfdk 我的浏览器收藏夹里有一个目录，里面专门放的目前服务器用的软件的更新信息...
定期全部打开看一遍就知道了......