网络安全漏洞管理怎么做：从扫描、分级到修复闭环的实战经验
做网络安全的朋友都知道，漏洞管理是安全运营里最基础也最头疼的一块。说它基础，是因为几乎所有安全事件都能追溯到某个没修的漏洞；说它头疼，是因为漏洞永远修不完——今天刚把这一批打完补丁，明天又扫出一批新的，跟打地鼠似的。很多公司的漏洞管理就是装个扫描器，出个报告，然后就没下文了，这种做法漏洞永远修不完。今天聊聊真正能落地的漏洞管理闭环该怎么搭。
第一步是资产梳理，这是漏洞管理的前提。你连自己有哪些资产、跑什么系统、开了哪些端口都不清楚，扫出来的漏洞报告就是一堆废纸。建议先做一个CMDB（配置管理数据库），把服务器、网络设备、应用系统、中间件这些都录进去，标清楚业务归属、负责人、重要程度。资产梳理不是一锤子买卖，要跟运维流程打通，新上的资产自动入库，下线的及时移除，不然CMDB很快就过时了。
第二步是漏洞扫描。现在商用的漏洞扫描器不少，绿盟、启明星辰、Tenable这些都可以，开源的有OpenVAS（现在叫Greenbone）。扫描要覆盖两个层面：一是主机层面，扫操作系统、中间件、数据库的漏洞；二是应用层面，扫Web应用的SQL注入、XSS、命令执行这些。扫描频率建议关键资产每周扫一次，非关键资产每月一次。另外要注意，扫描器只能扫已知漏洞，0day和业务逻辑漏洞它发现不了，还得靠渗透测试和代码审计来补。
第三步是漏洞分级和派单。扫描出来的漏洞少则几百多则几千，不可能全修，得按风险等级排优先级。通用的分级标准是CVSS评分，7分以上算高危，必须限期修复；4到7分是中危，排计划修；4分以下低危，有空再说。但光看CVSS还不够，还要结合业务场景判断——比如一个中危的漏洞如果在对外暴露的核心系统上，实际风险可能比高分但在内网的漏洞还大。分级之后要派给对应的负责人，最好跟工单系统打通，自动创建工单并跟踪进度。
第四步是修复和验证。修复方式一般有几种：打补丁、升级版本、加WAF规则、关闭不需要的服务和端口、最小化权限。打补丁是最直接的，但生产环境打补丁要小心，得在测试环境验证过再上生产，免得补丁没打明白反而把业务打挂了。修复完一定要重新扫描验证，确认漏洞真的修掉了，而不是扫不到了（有时候是服务关了导致扫不到，不算真正修复）。
漏洞管理最容易踩的坑有几个。第一个是只扫不修，报告出了一大堆，修复率不到10%，等于白做。第二个是跟业务部门扯皮，安全部门说要修，业务部门说不能停机，最后不了了之。解决办法是把漏洞修复纳入考核，或者提前跟业务约好维护窗口。第三个是忽略漏洞的时效性，同一个系统扫了半年还在修同一批漏洞，新漏洞又冒出来了，永远修不完。建议设个修复时限，高危7天、中危30天、低危90天，超期就升级处理。
总的来说，漏洞管理不是技术问题，是流程和管理问题。扫描器只是工具，关键在于有没有人盯、有没有闭环机制、有没有跟业务对齐。把资产、扫描、分级、修复、验证这五个环节串起来，持续跑下去，漏洞才能真正管得住。