利用基于风险情报的漏洞管理策略保护您庞大的资产暴露面

传统上，许多组织把漏洞管理看作是遵从规定的工作。这种方法已不再有效。

利用像MOVEit Transfer 这样的关键漏洞进行的一次成功的网络攻击可以破坏数以百万计的主机 。这就是为什么组织不能继续将漏洞管理视为一次性的任务。在当今不断变化的威胁环境中，以风险为中心的漏洞管理必须成为您的网络安全战略不可或缺的持续组成部分。原因如下：

攻击面很复杂：现代攻击面不再局限于数据中心或网络。IT安全团队要对拥有数万或更多资产的庞大攻击面负责，每个攻击面在任何给定点上都存在不同严重程度的多个漏洞。现代企业的IT资产现在包括:

    · 云基础架构和服务

    · Web应用程序

    · 远程办公

    · 面向互联网的资产

    · IoT 和OT环境

这意味着现代漏洞管理必须与这些不断演变的攻击面一样全面和灵活。

所有的漏洞都不一样。对于有效率的安全策略，基于实际业务风险（而不是任意的漏洞评分系统）的漏洞优先级排序是关键。将资源集中在最关键、最有可能影响您业务的漏洞上,可以确保有针对性的、有效的解决方案,并最大化节约您的时间和提高效率。

修复时间很重要： 及时补丁和修复漏洞至关重要。当您存在未解决的关键漏洞时，这些漏洞会为攻击者创造利用机会。高效的漏洞管理减少了这个窗口，以保护您的组织免受潜在的破坏。

协作是至关重要的：以风险为重点的漏洞管理不仅仅是跨部门协作。它还必须延伸到关键的利益相关者、供应商和合作伙伴。

IT、安全、业务部门和其他部门之间形成的的传统孤岛阻碍了进步。旧的思想认为安全只是IT的问题。现实是安全是每个人的责任。

通过加强协作，您可以建立一个对安全风险有整体理解的整体安全策略。同时，将风险水平与业务目标关联起来，从而对业务目标产生有意义的影响。

1.确保全面的资产清查

在保护您的资产之前，您必须知道您在保护什么，这包括管理临时或环境中不断变化的系统和设备。

全面和持续的资产清查应该是漏洞管理计划的基石。这包括识别整个IT环境、模板和云中的所有硬件和软件资产，并延伸到物联网和OT环境、软件和应用程序开发等等。

定期的资产审计对于准确的资产清单是必不可少的，但它不仅仅是知道你拥有哪些资产，你还必须深入了解:

    ·他们的位置

    ·谁在使用它们

    ·对您运营的重要度

这些知识，加上威胁情报，使您的团队能够根据资产关键度对漏洞进行修复优先排序。

2.持续评估和监测脆弱性

攻击者不会休息，您的漏洞管理控制也一样。使用实时漏洞评估 和持续扫描方法，可以及早发现新的漏洞和新出现的网络风险。这种前瞻性方法使您的团队能够在小问题演变为重大事件（如安全漏洞）之前解决问题。集成自动化还可减少手动任务、减少时间和错误，并确保持续、一致的监督，从而使您的网络防御更加成熟。

3.专注于最重要的事情

CVSS评分高的漏洞并不一定代表它能够被攻击者利用。基于情报的风险优先级设置使团队能够将有限的资源集中在最有可能影响您的业务的漏洞上，以风险为重点的修复可以改善您的安全态势，使您的业务更具安全弹性。

4.在攻击者利用安全漏洞之前修补漏洞

及时和准确的补丁最终可以降低与漏洞相关的最大风险。建立有效的补丁管理流程和明确的时间表至关重要。分配角色、职责和问责制可确保您的团队能够及时处理您的漏洞。这将缩小您的风险暴露窗口，并降低潜在数据泄露的可能性。

5.整合业界最新威胁情报

漏洞威胁情报、自动化工具和人工智能可以增强您对攻击者使用的实际战术的洞察力。通过了解攻击途径和方法，您的团队可以根据利用可能性确定漏洞的优先级。然后，您可以主动调整安全控制措施，保持领先一步。

6.衡量和基准

漏洞数据是跟踪程序有效性的关键。带有自定义和自动报告的漏洞管理平台可帮助您的团队在业务上下文中沟通安全风险。

考虑使用实时收集安全数据的漏洞管理工具。这可以帮助您的团队在攻击者之前发现趋势并发现安全漏洞。跟踪和衡量漏洞管理程序的影响，以完善漏洞管理流程并缩小攻击面。

开发一个强大的漏洞管理程序只是保护您攻击面的第一步。有效的漏洞管理是一个持续的过程。下面是五条建议，以帮助您的程序随着威胁环境的演变而发展和成熟。

• 实现流程的标准化和自动化

• 制定标准化的漏洞检查、风险评估、确定优先次序、补救和报告程序。

• 使用自动化漏洞评估和管理工具简化手动任务、减少错误并让您的安全团队腾出时间专注于其他需求。

• 使用漏洞管理平台

• 考虑一个漏洞管理解决方案，如Tenable SC。它具有全面的扫描能力、实时威胁情报和基于风险的优先级排序。

• Tenable 的 VPR 漏洞优先级分析可以帮助您评估环境中的漏洞和风险。解决方案还具有高级报告功能。

• 此外，还应考虑进行内部和外部渗透测试，以确保控制功能符合预期。

• 增强您的安全团队的能力

• 为您的团队提供必要的培训、资源、安全工具和威胁情报，以有效利用漏洞管理平台。如果您的资源或团队可用性有限，请考虑与Tenable这样的安全厂商问合作，定制您的漏洞管理计划。

• 提高安全意识

• 培养安全意识文化

• 教育员工、主要利益相关者、供应商和合作伙伴了解安全最佳实践以及您的策略和合规要求。

• 确保您的安全团队有工具、安全策略和程序来管理关键的漏洞管理任务，例如:
  

• 风险管理

• 补丁漏洞

• 报告可疑活动

• 不断改进

• 跟踪和衡量关键绩效指标，如:

• 查明的漏洞数目

• 风险承受能力和阈值

• 补救时间

• 降低风险

• 使用关键的安全指标，找出需要改进的地方

• 修复安全漏洞

• 定期完善您的漏洞管理流程