下面关于漏洞管理的说法 哪些是错误的

上周和一位做金融行业安全审计的朋友吃饭，他吐槽说刚给一家银行做完渗透测试，关于管理报告交上去之后，漏洞客户那边的法错运维主管拍着胸脯说“我们每个漏洞都修了，CVSS评分低于7的下面我们直接忽略，没风险”。关于管理我朋友当场就愣住了——这句话里至少藏着三个要命的漏洞错误认知。漏洞管理这件事，法错很多团队干了好几年，下面方向却一直是关于管理歪的。

这大概是下面流传最广的误解。漏洞管理是关于管理一个持续循环的过程：资产发现、扫描、漏洞评估、优先级排序、修复、验证、复测。打补丁只是其中一环。我见过一个电商团队，用扫描器把几百台服务器全扫了一遍，然后运维通宵打补丁，结果第二天业务系统崩了——因为某个补丁和他们的老版本中间件冲突。漏洞管理的核心是风险决策，不是无脑修。有些漏洞根本修不了（比如老旧工控设备），有些修复成本远高于风险本身，这时候需要的是缓解措施、隔离、监控，而不是硬修。

另一个细节：扫描器报出来的漏洞数量通常远大于真实存在的风险。误报率在复杂环境下能到30%以上。把扫描结果直接当修护清单，等于把安全团队变成流水线工人，累死还没效果。

CVSS（通用漏洞评分系统）衡量的是漏洞本身的技术严重性，但它不包含你环境的上下文。一个CVSS 9.8的远程代码执行漏洞，如果那个服务只在内网、且需要认证才能访问，实际风险可能低于一个CVSS 6.5但暴露在公网、无需认证的SQL注入。我亲身经历过一个案例：某公司急着修一个CVSS 9.1的Apache漏洞，结果忽略了同一个系统里一个CVSS 5.3的弱口令——攻击者用弱口令进去，五分钟就把那个高危漏洞自己修了（或者利用它提权）。

正确的做法是引入可利用性和业务影响两个维度。比如EPSS（漏洞利用预测评分系统）可以给出未来30天内被利用的概率，再结合资产重要性、网络暴露面、是否有公开EXP，综合排优先级。只看CVSS，等于用体温计判断一个人要不要进ICU——发烧40度可能是流感，也可能是普通感冒。

修复验证是漏洞管理里最容易被跳过的一步。很多团队提交了补丁工单，运维点了“已完成”，安全团队就默认漏洞消失了。但实际情况是：补丁可能没打上、服务没重启、配置文件没更新、或者修复被后续变更回滚了。我见过一个政府项目，漏洞报告显示“已修复”，半年后同一个漏洞被另一个扫描器再次发现——原来当初运维只是把漏洞扫描器的IP加进了白名单。

没有验证的修复等于没修。而且漏洞管理还需要度量：平均修复时间（MTTR）、漏洞 reopen 率、按严重级别分布的修复率。这些数据才能反映流程是否健康。一个团队如果永远在“扫描-修复-再扫描”里打转，却从不看趋势，那和救火队没区别。

这可能是最危险的一条。安全团队通常没有权限直接改生产环境，也不清楚业务系统的依赖关系。如果运维不配合，修复就是空话；如果业务不参与，优先级排序就是拍脑袋。我合作过的一个互联网公司，安全团队发现一个高危漏洞需要重启数据库，业务团队直接拒绝——因为那天有促销活动。最后安全团队只能临时加WAF规则缓解，等窗口期再修。如果一开始就把业务拉进来，根本不会出现这种对抗。

漏洞管理的本质是跨部门的风险协商。安全团队提供技术判断，业务提供影响评估，运维提供执行能力。缺了任何一方，流程都会断裂。那些把漏洞管理当成安全部内部KPI的公司，往往漏洞越修越多。

回到开头那个银行运维主管的话。他说“CVSS低于7直接忽略”，这等于放弃了中危漏洞的防御。而现实攻击链里，攻击者往往先用中危漏洞（比如信息泄露、配置错误）做跳板，再结合其他手段拿下核心系统。漏洞管理不是做算术题，是理解你的对手会怎么走下一步。

如果你发现自己团队里有人坚信上面任何一条，别急着争论。先拿一个真实的历史漏洞事件（比如Log4Shell或者某个内部渗透案例）复盘一下，看看那些错误认知会导致什么后果。数据比道理更有说服力。

(责任编辑：焦点)