sentinel, Lab
技战法概述
漏洞管理是企业安全运营的基础性工作之一。然而，随着漏洞数量的持续增长（NVD 每年新增的 CVE 数量已超过 2 万），企业的安全团队面临着巨大的漏洞修补压力。受限于运维资源和业务可用性的要求，企业无法在漏洞公告发布后立即完成所有漏洞的修补，必须根据漏洞的实际风险程度确定修补的优先级。
传统的漏洞优先级评估主要依赖 CVSS（Common Vulnerability Scoring System）评分，但 CVSS 评分仅反映了漏洞本身的技术严重性，未考虑漏洞在企业实际环境中的可利用性、受影响资产的价值和已有的防护措施等因素。
企业需要建立一套量化的漏洞修补优先级评估模型，综合考虑漏洞技术特征、资产价值、威胁情报和环境因素，实现有限资源下的最优漏洞修补决策。
三阶段技战法
| 阶段 | 名称 | 关键目标 |
|---|---|---|
| 阶段一 | 漏洞资产关联与信息采集 | 将发现的漏洞与具体的资产进行关联，采集多维评估信息 |
| 阶段二 | 漏洞优先级量化评估 | 基于多维度的量化评估模型，计算每个漏洞的修补优先级评分 |
| 阶段三 | 修补跟踪与闭环管理 | 建立漏洞修补的跟踪机制和闭环管理流程，确保按时修补 |
CVSS 单维度评估的局限
| 对比 | CVSS 9.8 测试环境 | CVSS 7.5 互联网核心系统 |
|---|---|---|
| 漏洞 | Log4Shell | Spring Framework RCE |
| 环境 | 测试环境 | 核心业务系统 |
| 防护 | WAF + RASP 已防护 | 无额外防护 |
| 暴露 | 无互联网暴露 | 互联网直接暴露 |
| 实际风险 | 中 | 极高 |
CVSS 仅反映技术严重性，不考虑资产价值、暴露面、防护措施和威胁情报