基于风险的漏洞管理如何提升现代 IT 环境的安全态势

漏洞评估和漏洞管理似乎没什么不同，其实不然。正如 Enterprise Strategy Group 发布的一份新白皮书所述，关键是要了解它们之间的差异，并从临时性的漏洞评估转变为持续的、基于风险的漏洞管理（RBVM）。请继续阅读 Tenable 委托实施研究的要点，了解 RBVM 如何帮助企业在混合、复杂和多云环境中实现稳固的安全和风险态势。

不要将漏洞评估与漏洞管理混为一谈。

为了有效地管理安全风险，您需要采用持续、全面的漏洞管理方法，而不仅仅是定期或临时进行时间点漏洞评估。漏洞评估固然重要，但这只是更广泛的漏洞管理计划的一部分，该计划旨在降低风险，提高现代 IT 环境的安全态势。

这是 Tenable 委托 Enterprise Strategy Group (ESG) 撰写的白皮书焦点，白皮书名称为“Elevating Security with Risk-based Vulnerability Management（使用基于风险的漏洞管理提升安全性）。” 该报告详细介绍了您为何需要基于风险的漏洞管理 (RBVM) 计划，因为该计划不仅评估漏洞，还要进行优先分析、采取行动、重新评估并纳入改进措施。在此博客文章中个，我们将深入探讨该报告的一些关键要点。

什么是漏洞评估及其局限性？

ESG 将漏洞评估定义为“用于发现 IT 资产、应用程序及其关联漏洞的时间点网络扫描”。企业通过定期评估，很难全面跟踪和衡量计划的成功与否。定期评估往往无法回答一些重要问题，诸如：

• “我们是否对环境中的资产进行了全面的扫描？”
• “我们是否及时解决了所有严重漏洞？” 
• “我们是否降低了整体风险？”

如果不回答这些问题，企业就无法确定其工作的长期影响。

随着云服务、IoT 设备、运营技术 (OT) 系统、移动端点等的采用，企业必须管理和保护高度复杂的混合多云环境。鉴于漏洞评估工具的设计目的是一次扫描一个 IT 环境，那么依赖于此类传统工具的企业往往必须进行多次单独扫描才能覆盖其环境。即便如此，全面的资产可见性仍然是传统工具无法达到的高度，因为这些工具的设计目的并非是为检测和保护虚拟机、容器、云基础设施和短暂工作负载等现代资产。

然后，必须将扫描结果汇集到一个位置进行优先级分析和修复工作。传统的漏洞评估工具难以实现工作流程自动化，这可能会让企业付出高昂的代价。正如 ESG 白皮书所述：“传统工具本身的费用可能更低，但据发现结果采用富有成效的措施所需的额外人力工时远超软件所节省的费用。” 

漏洞管理计划面临的最大挑战

根据 ESG 对 383 名 IT 和网络安全专业人员所进行的调查可知，企业在当前漏洞管理流程和工具方面面临的 3 大挑战是：

• 实现漏洞发现、优先分析和缓解等流程的自动化
• 跟踪缺乏补丁或无法修补的漏洞
• 尽力协调不同工具之间的漏洞管理流程

这些数据表明，企业需要一种超越传统漏洞评估的漏洞管理解决方案，以提供强大的工作流程自动化功能、有效、高效的基于风险的优先级分析，以及一个弥合安全和修复团队之间差距的方法。

持续、基于风险的漏洞管理的好处

采用持续的、基于风险的漏洞管理计划对于更有效地降低风险和增强安全态势至关重要。

要采用基于风险的方法实施漏洞管理，ESG 着重强调了三个所需的关键要素，以便有效、高效地了解漏洞的上下文并对风险进行优先级分析：

1. 影响： 如果漏洞被成功利用，您需要了解对受影响资产和整个企业的负面影响。
2. 漏洞利用的可能性： 了解哪些漏洞在现实中正被恶意利用和哪些漏洞可轻松被利用是确定优先级分析工作的一个重要因素。
3. 资产价值： 近年来，这一因素变得愈发复杂，因为确定哪些系统在运行关键软件不再是资产价值的衡量因素。资产价值还涉及身份数据以及授予系统用户的角色和权限。

完善企业的漏洞管理计划，将其变成一个主动的、全面的计划，有效降低风险，这样您便可以更好地满足现代工作负载的需求。 要深入了解 ESG 的调查结果，请立即下载完整的白皮书。

Tenable 漏洞管理如何发挥作用

Tenable Vulnerability Management 是一个基于风险的漏洞管理平台，为解决当今最严峻的漏洞管理挑战提供了一种有效的现代化方法。

Tenable Vulnerability Management 在云中进行管理并由 Tenable Nessus 提供技术支持，具有业界最全面的漏洞覆盖范围，可对企业进行实时持续评估，并提供全面的生态系统可见性，以预测攻击并快速应对严重漏洞。

要了解有关 Tenable Vulnerability Management 的更多信息，请立即开始您的免费试用并下载白皮书 “Elevating Security with Risk-based Vulnerability Management”（使用基于风险的漏洞管理提升安全性）。