“择需”修复，引入资产业务价值维度判定漏洞修复优先级

资讯 TOM 2021-05-08 13:51

在过去的10年里，每年新增的漏洞数量都在增长，丝毫未见衰减的趋势。网络安全行业权威的CVE漏洞库报告显示，目前累计已披露的漏洞数量已经达到了15万之多。在可预见的未来5-10年内，IT和安全部门不得不面临的一个现实是：漏洞数量多且带来的风险将会长期存在，无法将巨大的资源投入到漏洞修复里来，需要以“择需”的视角引入漏洞的评判标准。

图片来源于Security Intelligenc：Top 10 Cybersecurity Vulnerabilities of 2020

那么，在有限的安全资源投入情况下，判定漏洞修复的优先级就变成了一个需要慎重考虑的问题。我们如何识别哪些漏洞需要优先修复？究竟需要从哪些维度，以什么计量单位来计算漏洞的修复优先级？安全行业权威的漏洞优先级评估框架：CVSS

安全行业内通用的做法是参考或者直接使用漏洞的CVSS分值，通过CVSS分值来确定漏洞修复的优先级。在CVSS3.0版本中，漏洞的CVSS值取决于三个重要的维度：

•基本属性（Base）

•时间（Temporal）

•环境（Environmental）

通过综合计算这三个属性值，最后得出最终分数。在这三个属性中，基本属性（Base）通常由漏洞的可利用性和后果严重程度来决定，不会随时间或者外界因素而变化。时间（Temporal）属性通常会增加漏洞的暴露范围和潜在可利用性。而环境（Environmental）则根据漏洞所处的资产环境进行判定。大量的漏洞工具实际上并没有真正使用CVSS框架计算漏洞修复优先级

从CVSS的模型理论框架上来看，并没有问题。

但是，在实际的漏洞管理工作中，漏洞环境因素是与资产紧密相关的，如果没有办法判断资产的环境、属性、网络位置，那么计算出来的结果一定是不够准确的。而市场上大部分的漏洞扫描工具并不能精准的发现和识别资产，更谈不上对资产的风险进行准确计算了。

大部分漏洞扫描工具都是直接使用NVD给出的漏洞CVSS分值，而这个最终分值实际上只能体现漏洞自身所带来的威胁情况，远不能反映真实情况。

并且，按照CVSS的计算模型，只要最终分值超过7.0就会变成高危漏洞，而高危漏洞一般都是需要快速修复的，这就造成了实际工作中待修复漏洞数量急剧上升，给安全管理人员带来极大的压力。Gartner：从4个维度进行漏洞修复优先级评估

Garter的研究结果显示，如果要真实反应漏洞的风险程度，需要结合漏洞和资产两个因素综合考虑，尤其要考虑资产的业务价值。

图片来源于Gartner

在评估资产的业务价值时，首先需要考虑资产的暴露面情况。面向公网的资产比内网的资产面临的攻击风险程度要高的多。毫无疑问，如果同一个漏洞出现在面向公网的资产和内网资产上，如果一定要选一个优先修复，那么我们当然会选择先修复面向公网的资产，将内网资产的修复工作稍稍延后。

其次，资产被攻击对业务造成的影响有多大，也需要企业从实际业务角度来定义。同一个漏洞，在一台域主机和一台普通的内网服务器上被黑客利用攻击成功后造成的后果是截然不同的。如果是域主机被攻陷，很可能会造成几十上百台机器同时被攻陷。

有了资产维度的考虑，再加上对威胁情报，漏洞被利用以后的后果严重程度，可利用性作为参数。基本上就可以全面的反应出漏洞的真实风险，也就能够相对比较准确的计算出漏洞的修复优先级了。华云安提供的漏洞修复优先级评估模型

华云安，作为CNNVD的优秀技术支撑单位，推出了全新的漏洞修复优先级评估计算模型。在这个评估模型中，除了引用漏洞自身危害性，漏洞扩散范围，漏洞情报以外（详见图2），还引入了资产维度。在资产维度，华云安综合考虑了设备的类型、设备具备的能力，以及设备所起到的作用三个维度，并对每一个维度进行相应评分（详见图1）。

图1. 资产维度部分评分参数

图2. 漏洞维度部分评分参数

我们可以看到，华云安的整个漏洞修复优先级评分模型中，不仅完善的涵盖了CVSS框架中所列举的环境和时间维度，而且引入了资产的业务价值作为计算因子，并允许用户在实际应用过程中对资产的价值进行动态调整，从而进一步校准漏洞优先级评分，使其反映真实的风险情况，从而能够有效的帮助用户识别真正高危的漏洞风险，在有限的安全资源投入情况下，实现投入产出比的最大化。

代做工资流水公司扬州银行流水修改报价株洲银行流水账费用漳州签证工资流水打印上海办银行流水单德阳贷款流水代办镇江入职银行流水图片济南工作收入证明报价宁德个人银行流水制作大庆打入职工资流水济宁企业银行流水办理武汉企业银行流水制作台州背调流水开具潮州车贷流水报价绍兴打印转账银行流水洛阳薪资银行流水报价深圳流水代做台州工资代付流水打印淮安制作工作收入证明温州自存流水开具淮安背调工资流水价格泉州工资流水代办德阳薪资流水单代做阜阳购房银行流水费用湘潭工资银行流水模板揭阳企业银行流水公司上海查询对公流水鞍山打印对公账户流水洛阳开离职证明蚌埠办流水南阳代开个人流水香港通过《维护国家安全条例》两大学生合买彩票中奖一人不认账让美丽中国“从细节出发”19岁小伙救下5人后溺亡多方发声卫健委通报少年有偿捐血浆16次猝死汪小菲曝离婚始末何赛飞追着代拍打雅江山火三名扑火人员牺牲系谣言男子被猫抓伤后确诊“猫抓病”周杰伦一审败诉网易中国拥有亿元资产的家庭达13.3万户 315晚会后胖东来又人满为患了高校汽车撞人致3死16伤司机系学生张家界的山上“长”满了韩国人？张立群任西安交通大学校长手机成瘾是影响睡眠质量重要因素网友洛杉矶偶遇贾玲 “重生之我在北大当嫡校长”单亲妈妈陷入热恋 14岁儿子报警倪萍分享减重40斤方法杨倩无缘巴黎奥运考生莫言也上北大硕士复试名单了许家印被限制高消费奥巴马现身唐宁街黑色着装引猜测专访95后高颜值猪保姆男孩8年未见母亲被告知被遗忘七年后宇文玥被薅头发捞上岸郑州一火锅店爆改成麻辣烫店西双版纳热带植物园回应蜉蝣大爆发沉迷短剧的人就像掉进了杀猪盘当地回应沈阳致3死车祸车主疑毒驾开除党籍5年后原水城县长再被查凯特王妃现身！外出购物视频曝光初中生遭15人围殴自卫刺伤3人判无罪事业单位女子向同事水杯投不明物质男子被流浪猫绊倒投喂者赔24万外国人感慨凌晨的中国很安全路边卖淀粉肠阿姨主动出示声明书胖东来员工每周单休无小长假王树国卸任西安交大校长师生送别小米汽车超级工厂正式揭幕黑马情侣提车了妈妈回应孩子在校撞护栏坠楼校方回应护栏损坏小学生课间坠楼房客欠租失踪房东直发愁专家建议不必谈骨泥色变老人退休金被冒领16年金额超20万西藏招商引资投资者子女可当地高考特朗普无法缴纳4.54亿美元罚金浙江一高校内汽车冲撞行人多人受伤