讲好漏洞管理故事，没有指标怎么行

漏洞管理一直是企业网络安全运维中的关键环节，但又是安全运维的痛点。不仅要投入大量的人力物力，还无法被其他运维团队所理解。那么，向领导层和相关团队反映出当前漏洞管理的现状和挑战便是一个急需解决的问题。 通过有效的数据讲好故事，发现问题，或许是做好漏洞管理的突破口。让我们一起来看看以下漏洞管理的运维指标能否帮到你。

漏洞扫描覆盖率

指标描述

漏洞扫描覆盖率指的是企业内定期接受漏洞扫描的资产在所有资产中所占的比例。

计算方法

用漏洞扫描器覆盖的资产数量除以企业的资产总数，所得结果即为漏洞扫描器覆盖率。

指标意义

了解系统是否定期接受扫描对于评估企业面临的风险至关重要。在漏洞扫描覆盖率达到稳定状态之前，漏洞趋势的报告意义会大打折扣。因为只有当大部分资产都能定期被扫描时，基于扫描结果生成的趋势报告才能更准确地反映企业整体的安全态势和变化趋势。若覆盖率不稳定，报告中的数据可能会因未扫描系统的情况而产生偏差，无法真实体现企业整体的安全状况。

漏洞变化率

指标描述

漏洞变化率指的是在一定时期内，已修复漏洞的数量与新发现漏洞数量的差值比率，它反映了漏洞管理过程中漏洞关闭和新出现的情况。

计算方法

取特定时间段（例如每月）内新发现漏洞数量减去已修复漏洞数量的绝对值。

指标意义

它能表明漏洞管理计划是取得进展（即修复的漏洞数量多于新发现的漏洞数量），还是情况在恶化（即新发现的漏洞数量多于修复的漏洞数量），也就是判断企业在应对漏洞问题上是否处于有利地位。

平均漏洞暴露窗口期

指标描述

平均漏洞暴露窗口期旨在体现从漏洞被发现（这里以漏洞公布时间近似代表发现时间）到完成修复这段时间的长度。

计算方法

计算（漏洞关闭日期 - 漏洞公布日期）的平均值。

指标意义

它有助于依据各项漏洞对应的政策标准来评估企业的表现情况。其目标是让平均暴露窗口期尽可能接近平均修复时间。若两者接近，说明企业在发现漏洞后能迅速采取行动进行修复，整体漏洞管理效率较高，能在较短时间内消除安全隐患；若平均暴露窗口期远长于平均修复时间，可能暗示企业在漏洞管理流程中存在一些问题，比如漏洞确认环节耗时久、修复资源调配不及时等，导致漏洞长时间处于暴露状态，增加了企业面临的安全风险。

逾期未修复的漏洞修复情况

指标描述

该数据反应了逾期未修复的漏洞情况，若未按照公司政策取得豁免，那么这些漏洞应该被正常修复。

计算方法

（当前日期 - 首次发现日期）大于政策要求的时间期限的漏洞数量

指标意义

对于逾期未修复的漏洞数量，可以帮助统计存在问题的系统或组件，或者是否存在不切实际的修复时间的要求。

漏洞例外数量

指标描述

漏洞例外数量指的是在一段时间内，根据公司政策，可以豁免实施补丁的漏洞数量。

计算方法

统计被排除在修复工作之外且获得豁免的漏洞数量。

指标意义

需要建立一个数据库来跟踪和管理这些豁免项，以便相关方和漏洞管理参与者能够对其进行持续监控，并且风险管理人员可以判断是否有某类排除项需要作为风险情况进行上报。

资产的漏洞重开率

指标描述

一段时间内，环境中因任何原因被重新开启的相同类型的漏洞数量。（资产可以是特定的系统、应用程序等）

计算方法

在一段时间内，统计之前已被关闭的漏洞中，再次被开启的数量。

指标意义

识别那些原本被认为已得到处理或关闭，但实际上问题依旧存在的漏洞。通常，这种情况可能是漏洞修复系统存在问题，或者是系统存在特殊情况。

补丁部署速率

指标描述

补丁部署速率用于统计每日所实施的补丁数量。

计算方法

取主机每次进行补丁安装时当天所应用补丁数量的绝对值。

指标意义

这有助于企业了解主机每次漏洞修复时所应用的补丁数量。它可以作为一种衡量手段，用于了解环境中补丁安装工作的开展频率。

补丁更新时长

指标描述

系统的补丁更新时长是指自上次安装补丁以来的天数。

计算方法

取自系统上次安装补丁以来所经过天数的绝对值。

指标意义

这有助于企业了解近期是否进行了补丁安装操作。相关方能够知晓自系统上次安装补丁后过去了多少天。不过，较低的补丁更新时长并不一定意味着系统已完全打好所有必要的补丁。

平均修复时间

指标描述

平均修复时间是指企业从发现漏洞到完成该漏洞修复所需的平均时长。

计算方法

计算（漏洞关闭日期 - 首次发现日期）的平均值。

指标意义

这能让企业了解从发现漏洞到完成修复所花费的时长。当出现新的漏洞时，它能提供相关洞察，并且可以据此了解按照常规流程修复这些新漏洞所需的时间。

结语

无论是了解漏洞修复的及时性、补丁安装的频率，还是掌握漏洞的动态变化、扫描的覆盖范围等，都需要做到心中有数。如此一来，便能更有针对性地开展漏洞管理工作，有效降低企业面临的安全风险，为企业的稳定运营保驾护航。