什么是漏洞优先级排序？

• CVSS 等传统严重性评分系统有助于衡量技术严重性，但无法提供威胁制造者最有可能利用环境中的哪些漏洞这类信息。
• 基于风险的漏洞优先级排序结合了威胁情报、资产背景、攻击路径分析和业务环境，以识别需要立即处理的高可利用性漏洞。
• 前沿 AI 模型极大地加快了漏洞的发现和利用速度，因此，有效的基于风险的漏洞优先级排序功能比以往任何时候都更加重要。
• 有效的漏洞优先级排序功能，能让修复工作集中于最可能对业务造成重大影响的漏洞。

漏洞优先级排序是指根据对企业构成的风险程度对安全漏洞进行排序的过程。基于风险的漏洞优先级排序，可以让修复团队将精力集中在解决最重要的漏洞上。 挑战在于规模。

大多数企业需要管理遍布 IT、云、OT、身份、应用程序及其他环境中的数千甚至数万个漏洞。 传统的漏洞评分方法往往将其中很大一部分发现结果归类为“紧急”。 例如，仅通用漏洞评分系统 (CVSS) 就会将大约 60% 的漏洞标记为“严重”或“高危”，任何安全团队都难以负荷这些工作量。

类似 CVSS 这样的传统漏洞评分和优先级排序系统，会导致“已知问题”与“可修复问题”之间的差距日益扩大。

以风险为导向的漏洞优先级排序有助于缩小这种差距。 它不会一视同仁地对待每项发现结果，而是识别出哪些具有可利用性、哪些会影响对业务最关键的资产，以及在哪些方面进行修复对降低网络安全风险的效果最为显著。

在过去的几年时间里，漏洞问题发生了变化。

企业不再需要管理几百项资产和数量尚可但积压已久的发现结果。现代混合攻击面涵盖云基础设施、运营技术、远程和未受管端点、身份系统、SaaS 应用程序、容器等。现代攻击面的复杂性和广度增加了企业面临的暴露风险：它为威胁制造者提供了更多可利用的入侵点，以及更多通往企业最重要资产和数据的攻击路径。

与此同时，漏洞数量也在不断增加。 

在典型的环境中，安全专业人员在处理运营、维护和合规等其他职责的同时，还要管理大量未处理的发现结果。 由于无法明确判断哪些漏洞需要立即处理，修复工作往往变得被动且缺乏一致性。

AI 加剧了漏洞管理方面的挑战。像 Claude Mythos 这样的前沿模型已经展示了大型语言模型 (LLM) 能够以多快的速度发现代码中的漏洞。

被动式修复无法与前沿 AI 的速度相匹配。如果漏洞管理流程依赖于手动分级处理，并且采用每周扫描一次的周期，则应对现代 AI 驱动型攻击的方式从根本上就存在不匹配的问题。根据漏洞在现实世界中的可利用性及其对业务的潜在影响来确定漏洞优先级，并利用 AI 实现自动修复的企业，最能有效保护自身免受 AI 驱动的攻击。

多年来，安全团队一直依靠通用漏洞评分系统 (CVSS) 来确定漏洞的严重性。

CVSS 颇具价值：它提供了一种标准化方法，用于评估攻击复杂度、所需特权和潜在影响等技术特征。

然而，CVSS 并非为评估业务风险而设计。 它并未考虑评分较高的漏洞是存在于重要性较高的系统还是重要性较低的系统中，也未考虑该漏洞是否位于通往敏感数据的路径上。

CVSS 未涉及以下风险因素：

• 资产重要性
• 潜在的业务影响
• 补偿控制措施的存在 
• 攻击路径的可行性 

随着漏洞数量激增，CVSS 的局限性也日益凸显。当约 60% 的发现结果被归类为“严重”或“高危”时，就难以判定优先级。

漏洞利用预测评分系统 (EPSS) 通过估算漏洞被利用的可能性，在一定程度上提供了帮助。

这些额外的背景信息有助于识别攻击者可能针对的漏洞。然而，EPSS 在很大程度上仍然是以孤立的方式评估漏洞。它无法得知受影响的资产是否支持关键业务流程，特权身份是否可以访问该资产，以及该资产是否位于可行的攻击路径上。

无论是 CVSS 还是 EPSS，都未能解答企业最关心的问题： 攻击者可能会利用哪些漏洞来入侵关键资产？

如果没有这些背景信息，企业可能会将时间浪费在修复影响较小的发现结果上，而构成最大威胁的暴露风险仍未得到解决。

结果可想而知：

• 警报疲劳
• 修复积压项目
• 资源利用效率低下
• 未得到缓解的网络安全风险

Continental AG shifted to risk-based vulnerability prioritization after a serious cyber incident. They replaced their CVSS-based methodology with the Tenable One Exposure Management Platform, which applies threat intelligence, business and technical context, attack path analysis and other capabilities to prioritize an organization’s highest-risk vulnerabilities. As their IT Security Manager noted, the same vulnerability on a CEO's device carries far higher risk than on an intern's. That context is what drives remediation to the right places.

一家美国大型电信公司从以合规为导向的方法转向了基于实际攻击场景的方法，因为仅凭严重性评分无法让其确定应优先修复哪些问题。 基于业务背景和实际可利用性进行优先级排序，才是实现有效降低风险的关键。

有效的漏洞优先级排序应侧重于暴露风险。 采用基于风险的方法进行优先级排序，利用攻击路径分析（包括身份和云上下文信息），并养成持续评估风险的习惯，是完善优先级排序进而加强修复工作的最佳途径。

采取基于风险的方法

基于风险的漏洞优先级排序利用多种背景信息来源，以确定哪些发现结果需要立即采取行动。

这些因素通常包括：

• 可利用性
• 威胁情报
• 资产重要性
• 业务影响
• 漏洞存在时间
• 正在进行的漏洞活动

目标是识别会带来实质性风险的漏洞，而不仅仅是得到高分的漏洞。

当修复团队掌握哪些漏洞会威胁关键服务时，他们就能更有效地分配资源，并迅速降低风险。

使用攻击路径分析

攻击者很少会在利用一个漏洞之后就收手。

他们会利用一系列漏洞、配置错误和身份弱点，在不同环境之间移动，从而入侵最有价值的目标。

实际上，区别就在于是在海量公开发现结果中筛选，还是专注于其中与最宝贵资产相关的少数发现结果。

攻击路径分析可帮助企业了解各个风险在整个环境中是如何相互关联的。 它并非孤立地看待漏洞，而是识别攻击者实际可能利用的路径，以此在网络中横向移动并访问敏感系统或数据。

这种背景信息有助于企业区分不会被利用的漏洞与属于可行且高风险攻击路径的漏洞，从而让企业能够将修复工作集中在能够阻断攻击路径并遏制重大数据泄露的环节上。

包含身份和云上下文信息

同一个漏洞所带来的风险因其所在位置以及访问人员而大不相同。 一个面向互联网的云工作负载中与权限过高的服务帐户相关的中等严重性漏洞，通常比一个孤立且受严格控制的服务器上的严重 CVE 更需紧急处理。

身份上下文信息可提供攻击者在利用漏洞后可能采取哪些行动：哪些帐户可以访问受影响的资产、它们拥有哪些特权，以及这些特权是否会导致敏感数据泄露或获得管理控制权。 云上下文信息首先能提供该资产的暴露程度信息：它是否可被公众访问、其配置情况如何，以及它连接了哪些对象。

这种同时考虑两种信号的优先级排序方式，是根据攻击者可能实际造成的危害来对漏洞进行排序，而不仅仅是依据严重性评分。 这有助于企业将修复工作重点放在最有可能影响业务的暴露风险上。

持续评估风险

优先级排序必须是一个持续的过程，而不是静态的时间点流程。

每天都有新的 CVE 出现，威胁行为者也会据此调整策略。业务优先级会随着时间推移而变化，基础设施也会随之演进。

一个当前优先级较低的漏洞，如果漏洞利用活动增加，或者受影响的资产成为对业务至关重要的资产，则其重要性之后可能会显著提升。

持续评估有助于企业根据情况的变化调整优先事项。 这有助于团队专注于当前的风险，而不是过往的假设。

Tenable 在打造漏洞优先级排序功能时基于一个简单的前提：不能一视同仁地对待每个漏洞。

专注处理最重要的漏洞

Tenable 漏洞优先级评级 (VPR) 是一个动态评分机制，根据每个漏洞的利用可能性及其可能造成的影响严重性对其进行评级。

CVSS 将约 60% 的漏洞归类为“严重”或“高危”，但 Tenable Research 表明，只有约 1.6% 的上述漏洞会带来实质性的业务风险。

VPR 利用机器学习、威胁情报、漏洞特征、漏洞利用活动以及其他信号，精准识别优先级较高的发现结果。

这可以让企业将修复工作集中在能产生最大效果的领域。

使用 Tenable One 添加资产背景

风险与背景信息密不可分。 

Tenable One 将 VPR 与资产重要性评级 (ACR)、攻击路径分析和身份上下文信息相结合，从而构建出一个完整的暴露风险视图。

这种方法有助于企业掌握以下信息：

• 哪些资产最为重要
• 有哪些可利用的漏洞
• 关键系统存在哪些攻击路径
• 哪些修复措施可以最大限度地降低风险

与其逐一审查孤立的发现结果，不如根据暴露风险和业务影响来确定优先级。

提供持续的漏洞覆盖范围

Tenable 支持以企业规模管理漏洞。

该平台利用超过 318000 个插件，在 20000 种可进行修复的产品中检测出 138896 个CVE。 在发现漏洞后的 6 至 24 小时内，通常会提供关键检测结果，让企业能够快速评估新出现的威胁。

尽早识别目前可被利用的漏洞

威胁制造者绝不会等到合规失效才展开行动。

Tenable tracks actively exploited vulnerabilities past those listed in the CISA Known Exploited Vulnerabilities Catalog. Tenable Research has identified 201 actively exploited CVEs not yet included in the KEV catalog, providing an average lead time of 37 days before government mandates catch up.

这种额外的可见性有助于根据攻击者的行为而非合规时间表来确定优先级。

为准确且可审计的决策提供支持

当优先级排序功能确定需要修复时，扫描精度至关重要。

Tenable 的 6 西格玛扫描准确度（每百万次扫描仅有 0.32 个缺陷）为漏洞管理计划、审计和合规报告提供了可靠的数据。

借助 Tenable Hexa AI 加快进程

发现正确的漏洞只是挑战的一部分，企业还需要针对这些漏洞采取行动。

Tenable Hexa AI 通过自动将经过优先级排序的发现结果纳入分类、工单、调查和修复工作流，有助于缩短平均修复时间。 采用这些功能的企业已将特定流程的修复时间从 90 天缩短至 90 分钟。

随着 AI 加速漏洞发现，漏洞修复流程也必须相应加快。

SRF Limited, a global manufacturing company, extended Tenable One across both its IT and OT environments to get that unified view. As their CISO described it, cybersecurity is not about eliminating all vulnerabilities. It is about knowing which ones matter most and acting before threat actors do.

漏洞和 CVE 是安全风险版图的一部分，配置错误和权限过高同样也是其中的一部分。Tenable One 将这些可预防的网络安全风险整合到一个统一视图中，因此企业可以根据当前的暴露风险情况来做出修复决策，而不是依据扫描程序上周标记的内容。

如果希望了解优先级排序后的下一步操作，请参阅关于漏洞修复的配套指南。 应用程序安全计划同样发挥着重要作用，此类计划能在软件开发生命周期早期阶段就解决安全弱点。