漏洞管理扫雷之动态优先级技术

漏洞管理是当前企业网络安全运营的核心环节，在运营管理过程中，普遍存在海量漏洞与修复资源有限的矛盾，在此情况下，使用漏洞优先级排布技术，集中力量修复对组织影响大的漏洞，而将能够接受风险的漏洞加入到“白名单”暂不修复，从而大量减少修复工作量。达到将好钢用在刀刃上的目的，解决风险与修复成本的矛盾。

然而，这一通用性的方法，在当前激烈的攻防对抗、安全合规形势下正面临挑战：

当前，此类案例比比皆是，在已掌握的漏洞中出现问题殊为可惜。“白名单“中历史漏洞看似被暂时冻结，实则成为随时可能引爆的“地雷”。“白名单“中的漏洞数量往往很多，容易形成一片”雷区“。

“雷区“的产生是白名单机制有问题吗？并不是，相反，白名单正是有效的漏洞风险管理方法。”雷区“的产生是由于漏洞优先级评估技术存在不足而导致的。

我们知道，漏洞的风险是动态变化的，且变化的时间越来越短。漏洞级别会调整。今天漏洞的利用程序没有公开，明天可能就公开了。今天不是合规漏洞，过一段时间就被加入到合规清单。这种动态变化需要体现到优先级评估中，这样才能体现漏洞的最新风险。白名单中的漏洞也应该随着风险变化有一个动态的加入、移除的机制。

排除“雷区”需要将优先级评估和白名单管理由“静态”变为“动态”。动态优先级技术旨在帮助用户评估漏洞最新、真正的风险，避免用“静态地图”导航“动态战场”，破解当前被动挨打的局面。

优先级评估应从合规、威胁、业务等三个角度进行全面评估。

从国家、行业和内部安全合规角度，使用合规列表的方式管理漏洞风险。列入合规清单的漏洞应优先被修复。

当前有如 "两高一弱"内网漏洞 、"两高一弱"互联网漏洞、监管通报漏洞、APT专项漏洞、勒索软件专项漏洞、供应链安全专项漏洞、恶意开源组件专项、业务上线专项漏洞、CISA KEV、关键漏洞目录等合规性漏洞，对应不同的场景和专项要求。

从威胁角度分析，有公开 PoC/ExP的漏洞，意味着攻击者已经掌握了具体的攻击方法，随时可能发起攻击；EPSS（漏洞利用预测评分系统）评分较高的漏洞，表明其被利用的可能性较大；SSVC（特定利益相关者漏洞分类）中处于活跃（active）或 PoC 状态的漏洞，说明其利用状态较为危险；勒索软件和APT关联漏洞，更是会对企业的数据安全和业务连续性造成致命威胁。

从业务的角度分析，资产属性变化如某云服务器从测试环境迁移至生产环境后，原有白名单漏洞可能直接暴露于公网；供应链漏洞风险传导如第三方组件漏洞被利用后，白名单中的关联漏洞风险等级需重新评估。

优先级动态评估能力不足是由于缺少漏洞动态风险数据导致的，漏洞情报可弥补这一不足。通过高质量漏洞情报捕捉时间维度上的威胁、合规变化，避免静态评估的局限性。使得用户始终能够掌握最新的漏洞风险。

用户本地漏洞管理平台与云端漏洞情报的互动，不断更新本地漏洞风险，并动态评估优先级，更新已评估的优先级，与白名单的动态加入、移除机制配合，可有效排除白名单“雷区”。

提供“两高一弱”、关键漏洞目录、CISA KEV等合规清单的漏洞标签。

提供漏洞与CAPEC、ATT&CK、公开PoC/ExP、APT组织、勒索软件组织的映射和关联。

公开PoC/ExP：覆盖4.8万漏洞、8.2万链接；

CAPEC（漏洞攻击模式枚举）：CAPEC ID与漏洞的映射；

ATT&CK：ATT&CK ID与漏洞的映射；

APT漏洞：涉及749个APT组织和3129个漏洞；

勒索软件漏洞：涉及212个勒索软件组织和657个漏洞；

提供每日最新的EPSS（漏洞利用预测评分系统）、SSVC（特定利益相关者漏洞分类）数据，提供优先级评估更广泛的视角。