去年某企业的网络内网被勒索病毒锁死，起因是安全一个三年前就公布过补丁的漏洞。IT部门不是漏洞理制没收到升级通知，但排期表上它一直排在“业务需求”后面。检测级管这种事我见过太多回，和系漏洞检测报告躺在邮箱里，统升系统升级窗口永远约不上。网络

漏洞检测不能靠季度扫一次。安全扫描器跑出来的漏洞理制结果，高危漏洞往往只占百分之几，检测级管剩下全是和系中低危。但攻击者恰恰喜欢用那些不起眼的统升小口子做跳板。我的网络建议是：核心业务系统每周至少一次全量扫描，边缘系统每月一次。安全扫描策略要分时段，漏洞理制别在业务高峰期跑，否则数据库连接数一上去，业务部门电话就打过来了。

扫描工具选型上，商业扫描器和开源工具各有用处。Nessus这类商业工具误报率低，但授权费不便宜。OpenVAS免费，可你得有人会调策略。见过一个运维团队用OpenVAS扫出两千多个漏洞，没做去重和优先级排序，结果修了半年还在修。扫描结果必须做资产关联，知道哪个漏洞对应哪台机器、跑什么业务、暴露面多大。没有资产库的漏洞扫描，等于没扫。

升级这件事，最怕“一刀切”。生产环境直接上最新版本，不出事是运气。我的做法是：先看厂商补丁说明，确认修复了哪些CVE。然后在内网搭一个和业务几乎一样的镜像环境，打补丁跑一周。观察CPU、内存、关键接口响应时间。没问题再推灰度，先升百分之十的节点，盯两天。最后才全量。这个过程听着慢，但比半夜被叫起来回滚强。

有些系统确实没法升级。比如医院的老HIS系统，厂商早就不维护了，跑在Windows Server 2008上。这种情况下，虚拟补丁和微隔离是最后防线。在它前面架一台WAF，或者用EDR做进程行为监控。别指望能彻底修好，但至少能把攻击面压缩到最小。

制度层面，光有流程文件不够。得有人对“不升级”这件事签字负责。我见过一个公司，每次漏洞修复延期都要业务负责人和运维负责人双签，说明延期原因和补偿措施。签了三个月，延期申请从每月十几张降到两张。责任到人，比什么考核都管用。

检测和升级之间还有个时间差问题。扫描发现漏洞，到补丁真正打上，中间可能隔几周。这段时间靠什么扛？入侵检测规则要同步更新，防火墙策略要临时收紧。别让漏洞裸奔太久。

最后说个细节：补丁打完别急着关工单。等下一个扫描周期跑完，确认漏洞真的消失了再关。我遇到过补丁装了但服务没重启，扫描器照样报漏洞的情况。运维以为修了，其实没生效。这种乌龙，比不修还危险。