网络安全学习站

系统与供应链安全 · kp-025

漏洞管理：CVE、CVSS 与补丁生命周期

核心 约 20 分钟 状态：reviewed #漏洞管理#CVE#CVSS#补丁

一句话定义

漏洞管理是"持续发现 → 评估 → 修复 → 验证 → 度量"的闭环流程；其词汇是 CVE（漏洞编号）、CWE（弱点分类）、CVSS（严重度评分），其核心判断是：修复优先级不由分数单独决定，而由"可利用性 × 暴露面 × 资产价值"共同决定。

为什么重要

漏洞永远修不完——这是漏洞管理的第一公理。每月新增披露以千计，而工程资源有限，所以"如何排序"比"如何扫描"更能区分成熟度；Equifax 事件（kp-005）证明，败给一个有补丁的旧漏洞的组织远多于败给零日攻击的组织。把漏洞管理流程化，是把安全从"救火"变成"运营"的关键一课。

前置知识

kp-001（CIA 三元组）：CVSS 的影响维度即 C/I/A。

核心概念

  • CVE：公开漏洞的唯一编号（格式 CVE-年份-序号），是全球协作的"漏洞身份证"；CWE 描述漏洞的弱点类型（如"SQL 注入"是 CWE-89），连接漏洞与代码缺陷模式。
  • CVSS v3.1：0-10 分，由三组指标构成——基础组（可利用性：攻击向量/复杂度/所需权限/用户交互；影响：C/I/A）、时间组、环境组；分数来自加权公式，基础组可计算：
text
ISS = 1 - (1-C)(1-I)(1-A)          # 影响子分数（各维衰减叠加）
Impact = 6.42 × ISS（版本 3.1 网络向量下，完整权重表见 FIRST 规范）
BaseScore = Roundup(Min(Impact + Exploitability, 10))
  • 辅助信号：EPSS（被利用概率预测）与 KEV（已知被在野利用目录）——回答"这个洞真的会被打吗"。
  • 生命周期闭环：资产清点 → 发现（扫描器/SCA/SAST/DAST，分别覆盖基础设施、依赖、代码、运行应用）→ 评估（CVSS 起点 + EPSS/KEV 修正 + 暴露面与补偿控制）→ 修复（SLA 分级：如 KEV 高危 48h、高危 7 天、中危 30 天）→ 验证复扫 → 度量（MTTR、积压趋势、SLA 达成率）。

公式、模型或图示

text
优先级 ≠ CVSS 分数，而是：
优先级 ≈ f(可利用性[EPSS/KEV], 暴露面[公网? 权限?], 资产价值, 补偿控制)
例：CVSS 10.0 但仅内网无入口的漏洞，可排后于
    CVSS 7.5 且在 KEV、公网可达、核心资产的漏洞

原理与机制

漏洞管理的真正难点是三个工程问题。第一，覆盖：扫描器只看到"它能看到的世界"，未纳管资产（影子 IT）是最大盲区，所以资产清点既是第一步也是持续动作。第二，排序：原始 CVSS 是"最坏情况下的通用分"，缺资产语境；行业实践用 EPSS/KEV 修正为"现实被利用概率"，再叠加暴露面判断。第三，责任：漏洞修给谁？必须映射到明确的负责人与 SLA 并纳入工程考核，否则发现-修复之间会形成无主积压。度量体系（MTTR 中位数、超 SLA 比例、 reopen 率）既是管理工具，也是对上汇报的通用语言——它把"我们安全吗"变成"我们修复 KEV 漏洞的中位耗时是 3 天，趋势连续四季度下降"。

实例或案例

Log4Shell（CVE-2021-44228，CVSS 10.0）复盘练习：某团队按"分数最高先修"通宵升级全部系统；另一团队先按 SBOM 与运行时探测确定"哪些服务真的引入且可达"（kp-024 的 SBOM 此刻兑现价值），优先修复公网可达的 12 个服务，其余纳入常规迭代。同样的漏洞，第二种排序让核心风险先被消除——这正是"分数 ≠ 优先级"的教科书案例。

直观类比

漏洞管理像医院分诊：CVE 是病历编号，CVSS 是"理论上最重的病情刻度"，EPSS/KEV 是"这种病正在流行吗"，暴露面是"这位患者接触传染源了吗"。分诊护士不会按刻度排号，而是按"病情 × 流行 × 接触"组合排——否则候诊室会挤满轻症，重症反而排不上。

常见误区

  • "CVSS 高分必须最先修"：分数不含资产语境；KEV+公网+核心资产的中分漏洞往往更急。
  • "扫描器报告=事实"：误报与不可达漏洞常见，验证（可达性/版本确认）是修复前的必经步骤。
  • "修完就完"：缺少复扫验证与根因归因（为什么反复出现同类漏洞？基线/流程哪里缺了？），修复会变成西西弗斯循环。

与其他知识点的关系

  • kp-024（供应链）：SBOM/SCA 是漏洞发现输入的上游设施。
  • kp-022（主机加固）：补丁与基线同属主机侧闭环。
  • kp-028（应急响应）：KEV 级漏洞爆发（如 Log4Shell）常以应急模式运行。

自测题

  1. 写出 CVSS 影响子分数 ISS 的公式并解释含义。要点：ISS = 1-(1-C)(1-I)(1-A)，三维独立衰减叠加，任一维趋满则 ISS 趋 1。
  2. 为什么用 EPSS/KEV 修正 CVSS？要点：CVSS 是最坏情况的理论分；EPSS/KEV 提供"实际被利用概率与在野证据"，修正排序更贴近现实风险。
  3. 资产清点为什么是漏洞管理的第一步且须持续？要点：扫描覆盖以资产为前提，影子 IT 造成结构性盲区；资产持续变化故须持续纳管。

延伸阅读

《CVSS v3.1 Specification》（FIRST）：完整指标定义与计算规范。