如今，由于系统中的漏洞数量不断增加，各种规模的组织都面临着巨大的挑战。截至 2024 年 2 月，国家漏洞数据库是漏洞数据的综合来源，报告了超过 238,000 个案例。网络安全漏洞可能会导致严重后果，包括关键流程中断、敏感信息被盗、财务损失甚至勒索。

因此，建立漏洞管理（VM）流程是组织网络安全战略的重要组成部分，需要周密的规划。让我们探讨一下如何正确构建这个过程。

解决漏洞和管理问题

漏洞是指信息系统中的缺陷，攻击者可利用该缺陷来中断软件操作、破坏 IT 基础设施完整性并访问机密数据。通常，它们源于开发人员在使用编程语言时犯下的错误、配置错误或系统设计缺陷。

众多网络安全法规和标准都强调安全分析和漏洞消除，强调它们在维护组织网络安全方面的关键作用。

对于小公司来说，使用简单的扫描工具足以自动检测其系统中的漏洞。此过程涉及手动检查扫描结果并将修复任务分配给 IT 部门的相应人员。一般来说，这可以由一名网络安全专业人员来管理，这使其成为小型运营的实用解决方案。

随着您的业务扩展，它会获得更多的资产、系统和网络，从而导致潜在漏洞的增加。这种扩张可能会导致资源紧张，尤其是在 IT 部门出现技能短缺的情况下。

对于拥有复杂 IT 基础设施的大公司来说，仅仅扫描是不够的。识别漏洞只是第一步。迅速解决并消除它们非常重要。VM 超越了扫描仪提供的简单检测。它可以自动评估、确定优先级并消除各种安全弱点。

在这种情况下，使用 DevOps 投资回报率计算器自然可能有助于评估虚拟机工作的可扩展性和成本效益。

创建适合组织独特规模、活动和需求的有效流程会带来许多挑战和问题。以下是最常见的挑战：

• 管理IT 系统和基础设施内的更新和变更。
• 由于漏洞数量巨大，因此可以有效地确定漏洞的优先级。
• 针对无法立即修复的漏洞采取措施。
• 使IT 部门相信修复的紧迫性。
• 寻找有效的工具来跟踪补救进度和期限。
• 监督虚拟机流程并生成管理报告。

此列表并不完整，可能会因每个组织的具体情况而异。考虑到这些挑战，在建立此流程时有效地确定优先顺序至关重要。

在解决列出的挑战之前，必须准备并签署详细说明漏洞管理流程的范围和目标的文件和协议。这些文件应明确定义每个步骤中涉及的员工的角色和职责。

实施全面的漏洞管理

建立漏洞管理流程涉及一系列重要步骤：

1. 清点所有资产。
2. 识别这些资产中的任何漏洞。
3. 根据漏洞的潜在影响确定其优先级。
4. 解决和修复漏洞。
5. 持续监视和控制您的系统是否存在新漏洞。

下面，将分享虚拟机生命周期每个阶段的实用技巧，以简化和提高网络安全措施的效率。

1. 库存

任何组织的第一步都是确定需要保护哪些资产。这涉及对所有资产进行盘点和分类，例如服务器、计算机和网络设备。

资产信息可以来自 IT 基础设施监控系统或配置管理数据库(CMDB) 解决方案。这些软件工具旨在跟踪组织的 IT 资产。

完全覆盖公司的基础设施至关重要，因为这里的任何漏洞都可能使重要系统容易受到黑客攻击。考虑资产生命周期的不同阶段（例如资产退役时）也很重要，以全面了解所有资产类型。

许多公司都使用过时的系统。例如，ATM 机通常在旧的 Windows 系统上运行。IT 领导者必须找到更新遗留技术的解决方案，以提高安全性和用户体验。了解影子 IT也很重要，因为这些非官方使用的设备和软件可能会引入更多的安全漏洞。

完成资产盘点后，建议您为公司的资产开发一种资源空间模型（RSM）。您应该对已识别的资产进行分组，并指定一个负责设备和软件的责任方。然后，将这些资产链接到特定部门及其支持的业务流程，以及公司 IT 和信息安全框架中涉及的无形资产。

在此阶段，评估每项资产的重要性至关重要。了解哪些资产最重要将有助于确定优先顺序并集中精力修复最重要的漏洞。

2. 识别

识别涉及发现和分析系统中的潜在漏洞。这可以使用扫描仪来检查网络、操作系统、连接的设备和端口来完成。他们还分析活动进程和正在运行的应用程序，生成详细说明发现的任何缺陷的报告。

或者，信息安全专家可以手动搜索漏洞，其中可能包括进行渗透测试或红队等团队安全评估。该过程是持续进行的，需要定期执行。

这确保了基础设施漏洞的数据保持最新并处于可接受的水平。

一旦收集了有关公司所有资产中的漏洞的信息，就会出现下一个问题：解决这些漏洞的最佳顺序是什么？

3. 优先级划分

有多种方法可以对漏洞进行优先级划分。目前，最广泛使用的方法是 CVSS 评分，默认情况下，大多数漏洞源都提供该方法。

CVSS 标准既有优点也有缺点。其优点之一是可以简单地按评级值对漏洞进行排名，该评级考虑了攻击向量、利用难度和系统影响等因素。

然而，许多数据提供商只提供基本指标，缺乏对持续评估更新的支持。因此，即使在漏洞发布之后，最初分配的评级通常也保持不变。这种限制破坏了 CVSS 的可靠性，因此有必要将其视为有关漏洞潜在严重性的信息来源，而不是完全依赖它。

与此同时，其他漏洞优先级排序方法包括难以评估的参数。因此，在建立漏洞管理时，许多公司主要依靠基本的优先级策略：

• 仅解决关键漏洞
• 修复已被公开利用的漏洞
• 修复影响最关键资产的漏洞

优先级方法的选择取决于公司现有的流程和法规。这会产生一个漏洞数据库，并按资产、软件或资产组组织指定的评级。

4. 消除

通常，信息安全专家负责组织内的网络威胁防御，而 IT 部门则负责解决漏洞。因此，促进 IT 和信息安全部门之间的有效协作对于实施消除或减轻已识别漏洞的措施非常重要。

信息安全专家可以将任务分配给 IT 部门，以手动或自动方式修复漏洞。任务范围通常取决于负责解决安全漏洞的个人。这可以是监督信息系统的 IT 专家，也可以是管理 Linux、Windows 服务器和网络设备的专职员工。

一旦信息安全团队发现漏洞，指定的员工就会开始修复过程。这可能涉及安装补丁/更新、实施缓解措施，或者跳过漏洞并接受与攻击技术相关的风险（如果严重级别较低）。

一旦生成了要解决的漏洞列表，每个漏洞都会经历处理阶段。因此，IT 负责人应与信息安全专家协调如何继续此过程。

第一步涉及评估漏洞与特定信息系统的相关性。如果认为不相关，则可能会被标记为误报。相反，如果漏洞相关，则必须决定是否更新软件或找出无法更新的原因。

对于大多数信息系统，通常有一个涉及安全更新分析的阶段。此过程涉及在测试环境中安装补丁并随后验证系统是否继续正常运行。

如果更新安装过程中出现严重问题或补丁不可用，建议实施以下补偿措施：

• 调整信息系统内易受攻击组件的设置。
• 限制使用易受攻击的软件和设备。
• 确保服务器和网络设备的冗余。
• 监控与信息系统内潜在漏洞利用相关的安全事件。
• 安装额外的安全措施，例如防火墙或防病毒解决方案。
• 考虑虚拟修补。

一旦完成所有解决漏洞的任务，每个任务都应该被分配一个适当的状态。

5. 持续监控和控制

监控流程旨在评估 IT 专业人员完成所有指定任务以解决漏洞或实施补偿措施的程度。它还旨在评估漏洞管理流程的有效性并确定改进的机会。

建议通过重复扫描和手动尝试利用主机来验证漏洞的消除。此外，集成自动文档生成以创建有关资产、网络或任务的定期报告是控制阶段不可或缺的一部分。

预算友好的漏洞管理策略

改善网络安全可能需要付出代价，但事故造成的成本往往会超过它。对于预算紧张的公司来说，寻找财务机会来建立漏洞管理流程至关重要，但也具有挑战性。探索的一种途径是利用免费或开源的漏洞扫描工具，它可以提供识别漏洞的基本功能，而无需大量的财务投资。

此外，组织可以寻求与网络安全公司或学术机构建立伙伴关系或合作，提供无偿或折扣的漏洞评估和修复服务。

此外，分配资源用于员工培训可以增强内部漏洞管理能力，而不会产生大量成本。此外，公司可以考虑将发票保理作为改善现金流或将利润内部再投资到网络安全基础设施和人员的手段，确保财务资源得到有效分配。

漏洞管理是一个持续且必要的过程，直接影响企业的安全水平。确保虚拟机生命周期每个阶段的有效性可以在潜在问题升级为对业务的重大威胁之前识别并消除它们。