漏洞管理流程

学习目标：理解漏洞从发现到修复的全生命周期，掌握漏洞分级和修复期限的行业基准。

漏洞管理不是"扫一遍就完事"，而是一个跑在 SOC/运维交界处的持续闭环：监控 → 验证 → 分级 → 修复 → 改进。这一篇梳理一个典型企业的漏洞管理流程，新人作为 L1/L2 分析师，常被拉去参与其中的某几个环节。

漏洞生命周期总览

监控（主动扫描 + 被动接收）
   ↓
验证（去重去误报 + 复现可利用性）
   ↓
分级（按风险等级 + 业务影响）
   ↓
修复（按 SLA 推动修复 / 虚拟补丁 / 补偿控制）
   ↓
改进（流程优化 + 团队赋能）

每一环都有具体动作和目标产物，下面逐环节展开。

1. 监控阶段：发现漏洞从哪里来

漏洞情报有两条来源——主动扫和被动收。

主动扫描

维度	常用做法
工具	Nessus、OpenVAS、Qualys（国内：绿盟 RSAS、奇安信扫描器）
频率	核心系统每周 1 次，普通系统每月 1 次
覆盖范围	服务器、网络设备、云资源、数据库、第三方组件、Web 应用
典型产物	扫描报告、CVSS 评分、初步漏洞清单

被动接收

漏洞情报会从多个外部渠道"飘"过来，需要建立常态化跟踪：

• 公共漏洞库：CVE、CNVD、CNNVD
• 供应商通告：Microsoft Patch Tuesday、Cisco/Apache 安全公告
• 白帽子提交：内部 SRC 或外部众测平台（漏洞盒子、补天等）
• 安全设备流量抓取：WAF / IDS 捕获到的 0day 利用尝试
• 威胁情报订阅：行业 ISAC 共享、商业 TI 源（微步、奇安信）

2. 验证阶段：剔除噪音、确认可利用性

去重去误报

扫描工具的误报率不低。常见误报模式：

• 把"配置警告"当成"高危漏洞"
• 同一漏洞在多个端口/接口被重复上报
• 已被 WAF / 补偿控制阻断的漏洞，仍以原始等级上报

L1/L2 在这一步的工作：对照原始日志和资产清单，把误报标记掉。

复现验证

• 用 POC 或 Metasploit 模块在隔离环境复现
• 验证三件事：能不能利用、利用代价多大、利用后影响范围多广
• 留下证据链（截图、payload、流量包），作为后续修复优先级的依据

3. 分级与修复期限：风险等级 × 业务影响

漏洞等级不是只看 CVSS，而是结合业务影响综合判定：

风险等级	业务影响	修复期限	典型场景
危重	核心系统 / 客户数据	≤ 3 天	互联网暴露面 RCE、可拿数据库 root
高危	内部管理系统	≤ 7 天	需要认证的提权、内网横向 RCE
中危	测试环境 / 非敏感数据	≤ 30 天	信息泄露、需复杂前置条件的漏洞
低危	无实际利用路径	观察即可	仅在特定配置下才生效的理论漏洞

新人最容易踩的坑：直接把 CVSS 9.8 等同"危重"——但如果这个 9.8 的资产只是个内网测试机、没业务数据，实际优先级可能就是"中危"。永远把资产价值乘进去。

4. 修复策略：不是只有"打补丁"一条路

修复不一定是"装最新补丁"——很多时候补丁还没出、或装补丁要停业务，这时就需要替代方案。

标准修复

• 热修复：高危漏洞 72 小时紧急补丁，业务允许时段直接打
• 正常发布窗口：中低危漏洞跟随月度/季度发布窗口处理

临时缓解

• 虚拟补丁：在 WAF / IPS 上写规则临时拦截利用流量。平均部署时间 < 30 分钟，适合"补丁还没发布"或"必须等业务窗口"的场景
• 补偿控制：当漏洞无法直接修复（如老旧系统不能升级），采用网络微隔离、ACL、堡垒机等手段降低暴露面

特殊场景

零日漏洞（0day）

情报获取 → 影响分析 → 部署虚拟补丁 → 持续监控攻击迹象 → 跟进官方补丁

关键是先止血再根治：第一时间用虚拟补丁/网络隔离把暴露面切断，等官方补丁出来再做替换。

供应链漏洞

• 提前建立软件清单（SBOM），明确哪些系统用了哪个第三方组件
• 一旦上游爆雷，能在几分钟内定位受影响范围
• 与关键供应商签 SLA（漏洞响应 ≤ 72 小时）

5. 改进措施：让团队和流程持续变强

漏洞管理跑了一段时间后，需要把发现的问题反哺到团队能力建设：

• 制定内部《漏洞优先级评估指南》：把"业务影响 + 利用难度 + 暴露面"的判定标准写成 SOP，避免每个人凭感觉打分
• 开发团队培训：基础安全编码规范（输入校验、输出编码、最小权限、依赖检查）
• 运维团队培训：掌握热修复 + 回滚技能（修复失败比不修复更可怕）
• 漏洞修复排行榜：公示各业务线修复时效，倒数部门必须给出书面说明——用治理手段倒逼业务侧重视

与 SOC 日常工作的衔接

作为 SOC 新人，你不会从第一天就主导漏洞管理流程，但你会在很多场景下"接到漏洞相关的工作"：

场景	你会做什么
接到 EDR 告警提示某 CVE 被利用	配合漏洞管理团队确认资产是否打了补丁、是否需要应急隔离
关联告警和漏洞情报	"这台服务器上周扫到一个 RCE，本周就出现可疑外联"——把两者串起来上报
0day 应急	协助部署虚拟补丁规则、监控攻击尝试
复盘"为什么被攻陷"	回溯漏洞修复时效、判断是否因为修复延迟导致入侵

一句话总结

漏洞管理的核心不是"扫得多准"，而是"修得多快"。 一个能把 P0 漏洞稳定压在 72 小时内修完的团队，远比一个能扫出 10000 个低危漏洞却没人修的团队靠谱。

下一步

• 告警分诊与事件响应 —— 漏洞被利用后的响应流程
• SOC 基础概念 —— 漏洞管理角色在团队中的位置
• 常见威胁类型 —— 哪些威胁与漏洞强相关