政府機關資安弱點通報機制(VANS)伺服器端導入
曜揚科技 Aserve Technology Corp.
產業：政府機關
2022/6/28
伺服器導入VANS所面臨的挑戰
因應資通法規定，政府機關等級為Ａ級、B 級，需於111年8月完成、C 級則112年8月完成資安弱點通報機制(VANS)，上傳軟體資產CPE，上傳又區分使用者及資通設備，後者指的是伺服器端，機房伺服器除了windows外，還有Linux，而且比較不會在伺服器上，安裝資產軟體Agent。故客戶提出以下目的：
- 不安裝Agent收集管控私接設備，降低被入侵的機會。
- 以最小權限，以不建立及提供任何管理者權限收集VANS。
- 支援Linux VANS軟體CPE收集。
- 客戶端設備與各伺服器端設備匯總單一OID上傳至技服VSAN平台。
- VANS平台通報之若點交各系統負責承辦人員處理追蹤。
解決方案
在詳細與客戶討論與POC測試之後，推薦客戶採用國內知名品牌：e-Soft 曜祥網技的SIP解決方案：VNS模組，可以支援Agentless，windows 工作排程，來解決伺服器端不安裝Agent，但可以收集完整軟體CPE。
- 伺服器端VANS：
- 提供工作排程，自動收集伺服器上的軟體及硬體，以及自動轉換CPE格式，伺服器端不須安裝Agent，即能收集軟體CPE清單。
- 支援Linux軟硬體資訊收集，用Linux本身排程去執行，取得軟硬體清單，並自動轉換CPE格式， ｅ-SOFT SIP提供自動及手動方式，上傳行政院技服中心。
- 自建資安軟體風險評鑑平台：
- 資安弱點通報機制(VANS)上傳前，都希望能先查看那些風險，可以在上傳技服中心前，內部有平台可以定期提供報表，以利機關先修正改善，以落實資安政策。
專案成果：快速導入VANS（Agentless）
客戶從評估到導入不到１個月就完成，並整合原有IP管理系統(Dr.IP)，可以盤點未執行Agentless或工作排程的設備，解決伺服器不能安裝Agent問題，及能快速查看伺服器上有那些軟體風險CVE，進行提交給相關協力廠商做修正。