近几年企业安全事件频发，大部分都是因为系统存在已知漏洞却没及时修复——类似某系统用了有漏洞的旧版组件、某服务器没打补丁被挖矿、某系统弱口令被撞库。漏洞管理就是解决这个问题的方法论，不是扫一遍漏洞修一下就完事，而是一套从发现到验证的完整闭环流程。

漏洞管理的第一步是资产盘点。你得先搞清楚自己有哪些资产：服务器多少台、什么操作系统、跑什么应用、用了哪些中间件和第三方组件、有多少台终端设备、网络边界在哪里。很多企业连自己有多少台服务器都不清楚，漏洞管理无从谈起。资产盘点要覆盖IT和OT（工控系统），要持续更新，不能一劳永逸。

有了资产清单才能开始第二步：漏洞扫描。业界常用的扫描器有Nessus、OpenVAS、绿盟极光、启明天闻、长亭洞鉴这些。扫描器的原理大致是这样：远程连接目标IP，尝试不同端口和协议，通过发送特定数据包、匹配服务版本号、调用漏洞特征库来判断是否存在漏洞。扫描分被动和主动两种：被动扫描是网络流量侧抓包分析，不影响业务；主动扫描要主动发包，可能对业务有影响，得在维护窗口做。

扫出来的漏洞要做风险评级。一般用CVSS通用漏洞评分系统，从基础分数（漏洞本身的严重程度）、时间分数（有没有公开利用代码、被蠕虫利用的可能性）、环境分数（对你这个企业的资产价值和攻击面）三个维度综合评估。评级分紧急、高、中、低四档，紧急漏洞比如Log4j2、Spring4Shell这种全球范围内被大规模利用的，必须24小时内修复。

漏洞修复是整个流程里最耗时也最容易出问题的环节。修复方式取决于漏洞类型：系统漏洞靠打补丁（Windows Update、yum update、apt upgrade）；应用漏洞靠升级版本或禁用有问题的组件；配置漏洞靠改配置项（比如关闭不必要的端口、改默认密码、开启安全头）。修复前一定要在测试环境验证补丁兼容性，不能直接在生产上裸更，不然系统挂了比有漏洞更惨。

修复后要做验证。用扫描器再扫一遍，确认那个漏洞确实没了。同时要检查有没有引入新问题——比如补丁打完服务启动正常吗？应用功能有没有受影响？这一步容易被跳过，很多人打了补丁觉得就没事了，结果扫描还能扫出来，白白浪费了修复时间。

除了补丁修复，还有其他缓解措施。临时无法修复的紧急漏洞，可以用WAF（Web应用防火墙）加规则拦截攻击流量；可以在防火墙侧封堵受影响端口和来源IP；可以暂时下线有漏洞的服务；可以用EDR（端点检测响应）加强检测。缓解措施不是根治，但能争取时间打补丁。

漏洞管理要做成持续机制，不能只在安全事件发生时才做。建议固定扫描周期（每周一次全面扫描，紧急漏洞专项扫描）、建立漏洞工单系统跟踪修复进度、每月做漏洞统计报表汇报给管理层。还要跟踪新披露的高危漏洞，比如关注CVE、CNNVD、CNVD这些漏洞公告平台，一旦有0day披露就要评估影响范围。

代码层面的漏洞管理也很重要，叫SAST（静态应用安全测试）和DAST（动态应用安全测试）。CI/CD流水线里集成SAST工具（SonarQube、Checkmarx、Semgrep），代码提交就自动扫描，把漏洞堵在开发阶段。这比上线后再扫到漏洞再修，成本低得多。

最后提一个常见误区：漏洞管理不是安全团队一个部门的事，它涉及研发、运维、IT基础设施、业务部门。研发要在代码里避免引入已知有漏洞的组件（用SCA软件成分分析工具检查）；运维要配合打补丁和验证；业务部门要理解为什么需要定期维护窗口。只有各部门配合，漏洞管理才能真正落地。