從零開始 OCS Inventory：打造資訊資產管理 × 資安CVE漏洞通報（iThome鐵人賽系列書）

♛ 第一本專門為 OCS Inventory 量身打造的本土實戰指南 ♛
打造專屬於你的資安弱點通報機制

　　本書內容改編自第15屆iThome鐵人賽IT管理組佳作系列文章《OCS Inventory：開源資產管理解決方案》。不同於艱澀難以理解的官網手冊，帶領您一步一步從系統安裝到實際的應用情境，用系統性並循序漸進的方式教學，是您最適合入門的新手書。

　　近年來，隨著金管會積極推動強化上市（櫃）公司資通安全管理的措施，證交所及櫃買中心已訂定資通安全管控指引供公司參考。此外，公司治理評鑑指標也將導入ISO 27001等資訊安全管理系統作為加分項目。值得注意的是，ISO 27001：2022新版的控制措施增加了「組態管理」和「威脅情報」。

　　因此，本書將從資訊資產的「組態管理」開始，教您如何針對各式各樣的資訊設備進行組態盤點，以及如何自動化大量部署或更新等應用，從而大幅提升管理人員的管理效率。再藉由「組態管理」所盤點到的軟體資訊，延伸到與「威脅情報」的整合，可以識別目前企業所安裝的軟體中存在的漏洞並發送告警訊息。

　　值得一提的是，數位發展部底下的國家資通安全研究院也推出了一套資通安全弱點通報系統，用以協助公家機關落實資通安全管理法中的資產盤點與風險評估。也就是說，按照本書的教學，您也可以打造出一套專屬於自己的資通安全弱點通報解決方案。

　　重點摘要
　　✦ 從零開始入門
　　搭配實際操作畫面，漸進式學習無負擔
　　✦ 設備組態管理
　　支援多樣作業系統，隨時取得最新組態
　　✦ 軟體弱點掃描
　　整合威脅情資蒐集，自動掃描軟體弱點
　　✦ 遠端部屬軟體
　　代理程式自動派送，強化企業維運效率

　　本書可以學到哪些知識
　　● 盤點伺服器與使用者設備的硬體規格及安裝了哪些軟體
　　● 取得最新的 CVE 漏洞資料庫與現行已安裝的軟體進行比對
　　● 透過 Grafana 客製化自己的 CVE Reporting
　　● 透過 Zabbix 監控 CVE 的數量並即時告警
　　● 封裝與透過 GPO 軟體派送大量部署代理程式
　　● 將已部署的代理程式進行版本升級或降級
　　● 使用代理程式遠端部署或移除相關應用程式
　　● 使用代理程式遠端執行 PowerShell 與 Windows 執行檔
　　● 使用代理程式遠端部署檔案或資料夾
　　● 安裝外掛程式來取得 Office 授權金鑰確認是否有人私自使用盜版的金鑰
　　● 使用 IP Discovery 來檢索所有的連網設備與生成企業網絡地圖
　　● 使用 SNMP Scan 來增強 IP Discovery 獲得更多的識別資訊

　　目標讀者
　　．想要導入ISO 27001的企業
　　．企業的資安專責人員
　　．企業的系統管理人員
　　．想了解組態管理的組織或個人
　　．對威脅情報有興趣的組織或個人

專業推薦

　　在廣大的企業環境中，IT 資產盤點永遠是難以被滿足的需求之一，除了功能滿足之外，還有經費不足等等各種內部問題。好在 Ivan 願意把他在 OCS Inventory 上的寶貴應用經驗分享成書，讓我們多出強大武器應對各種 IT 環境的難題，包含看板設計與安裝派送教學，甚至連整合 CVE 達成 VANS 的資安整合應用都做到了，簡直是 IT 單位必備良藥！──── 鄭郁霖 Jason Cheng（節省工具箱有限公司 技術總監／中華民國軟體自由協會 常務理事）