每24小时，大约有80个新CVE被发布。没有系统化的方法来发现、优先排序和修复漏洞，您就是在与企业玩俄罗斯轮盘赌。60%的数据泄露涉及已知的未修补漏洞。
漏洞管理是识别、评估、优先排序、修复和验证组织IT资产中安全漏洞的持续系统化过程。这不是一次性扫描 — 而是一个持续减少组织风险的计划。
漏洞跨越多个类别：
漏洞评估告诉您问题所在（时点）。漏洞管理确保问题得到修复 — 并保持修复（具有优先排序、跟踪、验证和改进的持续计划）。
监管罚款：NIS2要求漏洞管理 — 最高€10M或营业额的2%。泄露责任：GDPR要求"适当的技术措施"。勒索软件：WannaCry、Log4Shell、MOVEit — 全都利用已知的可修补缺陷。保险：网络保险公司审计补丁管理并调整保费或拒绝索赔。
您无法保护不知道的东西。维护所有IT资产的最新清单并持续扫描。关键指标：资产覆盖率、扫描频率、距上次扫描的时间。
并非所有漏洞都平等。严重的CVSS评分并不自动意味着严重风险。考虑可利用性、资产关键性、暴露程度、补偿控制和业务背景。
选项包括打补丁、配置更改、补偿控制（WAF、虚拟补丁）、正式风险接受或系统退役。
实际未修复的"已打补丁"漏洞会提供虚假的安全感。修复后始终重新扫描、回归测试并验证配置更改。
服务多个受众：安全团队（战术仪表板）、IT管理层（战略报告）、高管（业务风险）和审计员（合规证据）。
数量：成千上万的严重/高危发现 — 无法全部修复。虚假紧急：许多严重CVE从未被利用。缺少背景：支付系统上的中危漏洞可能比隔离开发服务器上的严重漏洞风险更高。
基于风险的漏洞管理（RBVM）将漏洞严重性与威胁情报（是否正在被利用？）、资产关键性（多重要？）和暴露程度（面向互联网？）相结合。这将可操作积压减少了80-90%。
| 方面 | CVSS | EPSS |
|---|---|---|
| 衡量什么 | 漏洞严重性（0-10） | 利用概率（0-100%） |
| 更新 | 基本静态 | 每日 |
| 关注点 | 可能发生什么 | 将会发生什么 |
| 局限性 | 只有约15%的严重漏洞被利用 | 不考虑资产背景 |
高CVSS + 高EPSS → 严重，立即修复。高CVSS + 低EPSS → 按标准SLA计划。低CVSS + 高EPSS → 提升，调查（可能被低估）。低CVSS + 低EPSS → 在常规维护中处理。
| 框架 | 漏洞管理要求 | 处罚 |
|---|---|---|
| NIS2 | 第21条："漏洞处理和披露"作为最低措施 | 最高€10M / 2%营业额 |
| DORA | ICT风险管理，定期漏洞评估 | 行业特定执法 |
| DSGVO/GDPR | 第32条："适当的技术措施" | 最高€20M / 4%营业额 |
| ISO 27001 | A.8.8：技术漏洞管理 | 认证风险 |
| PCI DSS 4.0 | 季度外部ASV扫描、内部扫描、年度渗透测试 | PCI不合规罚款 |
| 风险级别 | 面向互联网 | 内部关键 | 内部标准 |
|---|---|---|---|
| 严重 | 24小时 | 72小时 | 7天 |
| 高危 | 7天 | 14天 | 30天 |
| 中危 | 30天 | 60天 | 90天 |
| 低危 | 90天 | 180天 | 下次维护 |
KENSAI使用持续更新的332,000+ CVE数据库扫描Web应用、API和基础设施。识别整个攻击面上的已知漏洞和配置错误。
超越CVSS：交叉引用主动威胁情报，考虑真实世界的利用数据，通过智能分析减少误报，并提供基于风险的优先排序，让您专注于重要事项。
每次扫描都会生成与NIS2、DSGVO/GDPR、DORA和ISO 27001一致的报告 — 为审计员和监管机构提供记录的漏洞处理和披露证据。
为每个发现提供可操作的修复建议。减少关闭漏洞所需的时间和专业知识。
专业版：€990/月 — 适合成长型企业。企业版：€2,490/月 — 高级功能和更高的扫描量。
识别、评估、优先排序、修复和验证安全漏洞的持续过程。与一次性评估不同，它是一个具有结构化发现、基于风险的优先排序和定义SLA的跟踪修复的持续计划。
RBVM通过实际风险（威胁情报 + 资产关键性 + 暴露程度）而非仅CVSS严重性进行优先排序。将可操作积压减少80-90%，并将资源集中在真正危险的漏洞上。
CVSS评定严重性（静态，0-10）。EPSS预测利用概率（动态，每日更新）。一起使用时，它们提供严重性背景和利用可能性，实现卓越的优先排序。
关键/面向互联网的：至少每周（首选每日或持续）。内部：每月最少。重大变更后：始终。趋势是持续扫描。
NIS2第21条明确要求"漏洞处理和披露"。合规计划必须展示系统化发现、基于风险的优先排序、定义的SLA、验证、持续监控和记录的流程。
严重/高风险漏洞的MTTR — 它直接衡量您关闭最危险暴露窗口的速度。
安全不是可选项。
🗡️ KENSAI团队
Get a free security scan of your website in 60 seconds
Free Security Scan →