Câu trả lời:
Một số người khác đã đề cập đến SecurityF Focus, nhưng đối với các vấn đề liên quan đến bảo mật chung hơn (không cụ thể đối với CNTT), tôi khuyên dùng Schneier về Bảo mật . Blog của anh ấy chạm vào bảo mật CNTT, nhưng cũng về các chủ đề bảo mật khác. Tôi thấy rằng một số vấn đề chung hơn mà anh ấy thảo luận giúp tôi nhận thức rõ hơn về bảo mật nói chung, mang đến các hoạt động CNTT.
Thành thật mà nói, điều chính tôi làm là luôn cập nhật các bản vá, bao gồm cả trong danh sách gửi thư thông báo / bảo mật cho bất kỳ phần mềm nào tôi cài đặt không phải từ nhà cung cấp hệ điều hành chính.
Bất cứ điều gì khác bắt đầu rơi vào khía cạnh "nhiều nỗ lực hơn giá trị của nó" so với phân tích lợi ích. Tôi có thể tự thực hiện bản vá tùy chỉnh của mình, nhưng tôi có nhiều khả năng phá vỡ thứ gì đó hơn là nếu tôi chờ nhà cung cấp phát hành bản cập nhật đã thử nghiệm.
Luôn có những mối đe dọa mới. Bạn có thực sự có thời gian để theo kịp với mỗi người trong số họ? Bạn thậm chí có quan tâm nếu bạn không chạy chương trình được đề cập trong cấu hình bị ảnh hưởng?
Tập trung vào việc cung cấp bề mặt tấn công nhỏ nhất bạn có thể, cùng với cửa sổ tấn công hợp lý nhỏ nhất. Nói cách khác: chỉ chạy những gì bạn cần, tường lửa mọi thứ bạn có thể, và cập nhật trên các bản vá.
Bảo mật tập trung là yêu thích của tôi. Tôi đăng ký vào nguồn cấp dữ liệu này với trình đọc rss của tôi. Khối lượng của nó có thể quản lý để làm theo. Danh sách gửi thư Bugtraq nổi tiếng cũng được lưu trữ ở đó.
Bạn cũng nên đăng ký danh sách thông báo (bảo mật) của nhà cung cấp nếu họ có.
SecurityF Focus có một cơ sở dữ liệu lỗ hổng lớn được phân loại theo nhà cung cấp và sản phẩm. Bạn cũng có thể mua Symantec DeepSight Alert Services nơi bạn có thể chọn phần mềm bạn có và một số phương pháp để thông báo lỗ hổng.
Có một dịch vụ bổ sung của Symantec (Threat Alert) thông báo về các mối đe dọa an ninh toàn cầu.
Trong cùng một dòng, bạn có thể sử dụng (và đóng góp cho) OSVDB (Cơ sở dữ liệu dễ bị tổn thương nguồn mở).
Nếu bạn muốn biết về các công cụ bảo mật, tôi thấy darknet rất hữu ích.
US-CERT đưa ra một bản tóm tắt lỗ hổng hàng tuần. Nó khá toàn diện và thường chỉ mất vài phút để đọc lướt nó. Bạn có thể đăng ký qua e-mail hoặc RSS ...
Tôi theo dõi một số tài nguyên tập trung vào bảo mật, mục yêu thích của tôi là Schneier và Trung tâm Bão Internet (một phần của Sans). Thật không may, tôi đọc Schneier càng lâu, tôi càng thấy mình suy nghĩ, "Ừ, nhưng ...." sau khi đọc một mục. Điều đó đang được nói, anh ấy làm một nhà mật mã học đáng kinh ngạc, và chắc chắn có thể giúp bạn suy nghĩ với sự an toàn trong tâm trí. Dark Reading là một tài nguyên tốt khác cho nhà phân tích bảo mật, nhưng có khả năng sẽ bị ảnh hưởng / bỏ lỡ cho các nhân viên CNTT nói chung.
Nếu không, hãy làm những gì mà mọi người khác dường như đang đề cập; đăng ký vào bản vá hoặc danh sách thông báo cho bất cứ điều gì bạn sử dụng nhà cung cấp hoặc cách khác. Tôi đăng ký vào danh sách gửi thư của Secunia để theo dõi chung về những gì đang diễn ra. Mỗi tuần một lần, chúng tôi sẽ hỏi SysAdmins xem các bản vá có được áp dụng từ các lỗ hổng được quảng cáo thông qua Secunia hay không.
Nó thực sự phụ thuộc vào mức độ quan tâm đến an ninh của bạn. Bạn chỉ muốn theo dõi khi tài sản bạn có trong nhà có vấn đề về an ninh? Hay bạn thực sự thích bảo mật?
Bạn cũng có thể kiểm tra Project Quant để biết danh sách quy trình theo dõi các tư vấn: http://securosis.com/projectquant/details-monitor-for-advisories
Một số người gần đây đã biên soạn một danh sách tốt gồm hơn 100 nguồn cấp RSS liên quan đến bảo mật: kỳ lạ.com / forum / topic / list-of-ffeed-for-infosec
Tôi cũng sẽ biết xấu hổ cắm OSVDB (Cơ sở dữ liệu dễ bị tổn thương nguồn mở), một dự án của Quỹ bảo mật mở. Đây là một nơi tuyệt vời để lấy thông tin về lỗ hổng được kết hợp từ nhiều nguồn khác nhau (milw0rm, Bugtraq, secunia, CVE, v.v.)