每24小时,大约会公布80个新的CVE。如果没有系统化的方法来发现、排序和修复漏洞,您就是在拿自己的业务玩俄罗斯轮盘赌。60%的数据泄露涉及已知的、未修补的漏洞。
漏洞管理是识别、评估、优先级排序、修复和验证组织IT资产中安全漏洞的持续系统化流程。这不是一次性扫描——而是一个随时间推移降低组织风险的持续计划。
漏洞跨越多个类别:
漏洞评估告诉您有什么问题(时间点)。漏洞管理确保问题得到修复——并保持修复状态(具有优先级排序、跟踪、验证和改进的持续计划)。
监管罚款:NIS2要求进行漏洞管理——罚款高达1000万欧元或营业额的2%。泄露责任:GDPR要求"适当的技术措施"。勒索软件:WannaCry、Log4Shell、MOVEit——都利用了已知的、可修补的缺陷。保险:网络保险公司审计补丁管理并调整保费或拒绝理赔。
您无法保护您不知道的东西。维护所有IT资产的当前清单并持续扫描。关键指标:资产覆盖率、扫描频率、自上次扫描以来的时间。
并非所有漏洞都是平等的。严重的CVSS评分并不自动意味着严重风险。考虑可利用性、资产关键性、暴露度、补偿控制和业务环境。
选项包括补丁、配置更改、补偿控制(WAF、虚拟补丁)、正式风险接受或系统退役。
一个实际上没有修复的"已修补"漏洞提供了虚假的安全感。修复后始终重新扫描、回归测试并验证配置更改。
服务于多个受众:安全团队(战术仪表板)、IT管理层(战略报告)、高管(业务风险)和审计员(合规证据)。
数量:数万个严重/高危发现——无法全部修复。虚假紧急性:许多严重CVE从未被利用。缺少环境:支付系统上的中危漏洞可能比隔离开发服务器上的严重漏洞风险更高。
基于风险的漏洞管理(RBVM)将漏洞严重性与威胁情报(是否被利用?)、资产关键性(有多重要?)和暴露度(面向互联网?)相结合。这将可操作的待办事项减少了80-90%。
| 方面 | CVSS | EPSS |
|---|---|---|
| 测量内容 | 漏洞严重性(0-10) | 利用概率(0-100%) |
| 更新 | 基本静态 | 每日 |
| 焦点 | 可能发生什么 | 将发生什么 |
| 局限性 | 只有约15%的严重漏洞被利用 | 不考虑资产环境 |
高CVSS + 高EPSS → 严重,立即修复。高CVSS + 低EPSS → 按标准SLA计划。低CVSS + 高EPSS → 提升优先级,调查(可能被低估)。低CVSS + 低EPSS → 在常规维护中处理。
| 框架 | 漏洞管理要求 | 处罚 |
|---|---|---|
| NIS2 | 第21条:"漏洞处理和披露"作为最低措施 | 高达1000万欧元/营业额2% |
| DORA | ICT风险管理,定期漏洞评估 | 行业特定执行 |
| DSGVO/GDPR | 第32条:"适当的技术措施" | 高达2000万欧元/营业额4% |
| ISO 27001 | A.8.8:技术漏洞管理 | 认证风险 |
| PCI DSS 4.0 | 季度外部ASV扫描、内部扫描、年度渗透测试 | PCI不合规罚款 |
| 风险级别 | 面向互联网 | 内部关键 | 内部标准 |
|---|---|---|---|
| 严重 | 24小时 | 72小时 | 7天 |
| 高危 | 7天 | 14天 | 30天 |
| 中危 | 30天 | 60天 | 90天 |
| 低危 | 90天 | 180天 | 下次维护 |
KENSAI使用包含332,000+ CVE的持续更新数据库扫描Web应用、API和基础设施。识别整个攻击面的已知漏洞和配置错误。
超越CVSS:交叉引用活跃威胁情报,考虑真实世界利用数据,通过智能分析减少误报,提供基于风险的优先级排序,让您专注于重要事项。
每次扫描都会生成与NIS2、DSGVO/GDPR、DORA和ISO 27001对齐的报告——为审计员和监管机构提供漏洞处理和披露的文档证据。
为每个发现提供可操作的修复建议。减少关闭漏洞所需的时间和专业知识。
Professional: €990/月——适合成长型企业。Enterprise: €2,490/月——高级功能和更高的扫描量。
识别、评估、优先级排序、修复和验证安全漏洞的持续流程。与一次性评估不同,它是一个具有结构化发现、基于风险的优先级排序以及具有明确SLA的跟踪修复的持续计划。
RBVM通过实际风险(威胁情报+资产关键性+暴露度)而不是仅CVSS严重性进行优先级排序。将可操作的待办事项减少80-90%,并将资源集中在真正危险的漏洞上。
CVSS评估严重性(静态,0-10)。EPSS预测利用概率(动态,每日更新)。一起使用,它们提供严重性背景和利用可能性,实现卓越的优先级排序。
关键/面向互联网:至少每周(首选每日或持续)。内部:至少每月。重大变更后:始终。趋势是持续扫描。
NIS2第21条明确要求"漏洞处理和披露"。合规计划必须展示系统化发现、基于风险的优先级排序、明确的SLA、验证、持续监控和文档化流程。
严重/高风险漏洞的MTTR——它直接衡量您关闭最危险暴露窗口的速度。
安全不是可选项。
🗡️ KENSAI团队
Get a free security scan of your website in 60 seconds
Free Security Scan →