随着漏洞的大规模爆发，越来越多的公司都积极采取主动防护措施来管理其环境中的漏洞。但是，随着基础架构变得越来越复杂，企业发现很难完全找到整个生态系统中不断激增的漏洞。漏洞频频发生，你还在为修补漏洞而疲于奔命吗？你还会在睡眼惺忪中，被拉起来去修补漏洞吗？

面对此起彼伏的漏洞，制定有效的漏洞管理计划可以在攻击者利用漏洞之前，建立全面而持续的流程来识别、分类、补救和缓解漏洞，从而解决网络安全挑战。

制定漏洞管理计划的四个步骤

制定一个有效的漏洞管理计划，通常分为以下四个步骤。请务必注意，良好的漏洞管理流程应持续进行漏洞扫描，以便及时发现随着环境的不断变化而新引入的漏洞。

1. 发现漏洞

漏洞管理过程中的第一步也是最基本的一步就是找出整个环境中可能存在的所有漏洞。可以通过漏洞扫描程序扫描现有的所有可访问系统来解决这一问题，包括便携式计算机、台式机和服务器、数据库、防火墙、交换机、打印机等等。

通过漏洞扫描程序可以识别在这些系统上运行的所有开放端口和服务，登录到这些系统并尽可能地收集详细信息，然后再将其获取的信息与已知漏洞关联起来。通过这一过程得出的技术见解，可用于创建漏洞报告、指标等等。

2. 漏洞评估

一旦确定了整个环境中的所有漏洞，就需要对其进行评估，根据组织机构的风险管理策略适当地处理其所带来的风险。不同的漏洞管理解决方案对漏洞使用不同的风险评级和评分，但对于创建新的漏洞管理计划，一个普遍引用的框架是通用漏洞评分系统（CVSS）。

漏洞评分可以帮助组织机构确定如何对已发现的漏洞进行优先级排序，重要的是还要考虑其他因素，以全面了解任何给定漏洞带来的真实风险。还要注意的是，漏洞扫描程序在极少数情况下会产生误报，因此，在此阶段的过程中，除了风险评分之外，还需要包括其他注意事项。

3. 漏洞处理

在对发现的漏洞进行优先级排序后，最重要的工作就是与业务或网络相关人员协作，立即对漏洞进行处理。根据所讨论的漏洞，通常按照以下三种途径进行漏洞处理：

补救措施：完全修复或修补漏洞，让攻击者无法再利用该漏洞，这通常是在可能的情况下最可取的选择。

缓解措施。如果无法完成补救措施，组织机构可能会选择次佳方案，即通过实施补偿性控制措施来降低利用漏洞的可能性。这种解决方案应该是临时的，实在为组织机构最终补救该漏洞争取时间。

风险接受。如果某个漏洞是低风险漏洞，或者其修复成本要比漏洞被利用的成本还要高，这时组织机构可以选择不采取任何措施来修复该漏洞。

在确定具体的处理策略时，最好是组织机构的安全团队、系统所有者和系统管理员共同商讨正确的补救方法——无论是发布软件补丁还是刷新物理服务器。在完成补救措施之后，明智的做法是再次进行漏洞扫描，以确保该漏洞已切实得到有效补救或缓解。

4. 漏洞报告

提高检测和处理漏洞的速度和准确性对于管理其所带来的风险至关重要，这就是为什么许多组织机构不断评估其漏洞管理计划的有效性的原因所在。为此，他们可以利用漏洞管理解决方案中的可视化报告功能。借助所需的洞见，IT团队可以确定哪些补救技术所需的工作量最少，却能帮助他们修复最多的漏洞。就安全团队而言，他们可以使用此报告来监视一段时间内的漏洞趋势，并将其降低风险的进度趋势汇报给领导层。理想的解决方案将包括与IT票证系统和补丁工具的集成，以加快团队之间共享信息的过程。这有助于客户在降低风险方面取得重大进步。企业还可以使用这些评估来满足其合规性和法规要求。

提高漏洞管理计划有效性的四点建议

进行全面扫描。尽管许多企业曾经发现扫描企业网络上的服务器和台式计算机就足以扫描出漏洞了，但是当今复杂且快速发展的IT环境需要一种综合的方法。您的漏洞管理计划应该让您了解到整个攻击面（包括云），并在设备首次连接到网络时进行自动检测。

持续评估漏洞。基础架构和应用程序可以每天甚至每小时都在发生变化。因此，必须不断扫描环境，确保尽早识别新漏洞。许多漏洞管理解决方案包括端点代理和其他集成，可以为您实时提供整个环境中漏洞状况视图。

加快流程。实现漏洞管理流程的自动化对于正确管理企业面临的大量风险至关重要。人工决策在每个漏洞管理计划中都扮演着至关重要的角色，但是自动化可以帮助简化在这些关键决策点之前和之后所做的重复性工作。

解决人的弱点。漏洞不仅限于技术；它们也存在于组织机构内的人为因素中。安全团队必须与IT运营和应用程序开发小组合作，以便更快地识别和修复各种漏洞。同时，用户培训和模拟可以提高组织抵御网络钓鱼和其他社会工程攻击的能力。

随着攻击面的不断扩大，企业面临的风险也越来越大，从而增加了可供黑客利用的漏洞数量。漏洞管理计划为公司提供了一个框架，用于大规模管理这些风险，从而更快地检测整个环境中的漏洞。同时，分析可帮助组织不断优化用于补救的技术。有了强大的漏洞管理计划，企业不仅可以更好地应对自己面临的风险，而且不仅可以应对现在的风险，还可以应对未来的风险。

如欲了解关于漏洞管理的更多信息，敬请关注青藤云安全X漏洞银行将于3月19日16:00联合举行的线上直播“知己知彼 管理漏洞”。

报名入口：扫描下方二维码

直播入口

扫码有礼：扫描下方二维码，参与群内互动，更有精品礼品相赠

入群福利：

入群参与可获得极客时间提供的199元课程大礼包
转发海报获取安全牛课堂价值千元限时热门好课（密码安全、WIRE SHARK网络安全分析、CTF前导课程、办公安全等）

• 3.3月13-3月18每日群内惊喜抽奖
• 漏洞银行限量钥匙扣、鼠标垫、纪念币
• 青藤云安全办公礼包、解压神器
• 特邀福利（仅限甲方，入群解锁领取规则）
• 漏洞银行云安全防护、远程应急保障、漏洞之眼系列安全检测产品免费优惠活动
• 青藤云安全CEO张福撰序《ATT&CK框架使用指南》100本限时送！