漏洞管理与漏洞扫描有什么区别？

漏洞扫描是漏洞管理中的一个技术手段，负责发现弱点；漏洞管理则是一套管理机制，除扫描外还包括资产清点、风险评估、优先级排序、修复或缓解、复测验证和度量改进。只做扫描而不做修复跟踪与验证，等于只体检不治疗，无法真正降低风险。判断一个组织是否在做漏洞管理，关键看它是否有明确的修复责任人和修复时限，以及能否证明漏洞已被修复。

漏洞修复的优先级应该如何确定？

建议采用“可利用性 × 资产重要性”的双维判断：首先看漏洞是否已被实际利用（如列入 CISA KEV）、是否存在公开 EXP 或自动化利用工具；其次看受影响资产的业务重要性和网络暴露程度，外网可达的核心系统优先级最高。在此基础上再参考 CVSS 基础分数做细分排序。实践中可划分为紧急、高、中、低四档，并分别绑定 24 小时、7 天、30 天、90 天的修复时限，避免所有漏洞一刀切处理。

漏洞管理的扫描与复盘频率应该是多少？

通常建议对外网暴露资产执行每周至少一次的自动化扫描，内网核心资产每月一次，重要变更（上线新系统、重大架构调整、补丁发布）后追加临时扫描。同时应每季度做一次资产清点核对，确保扫描覆盖率不下降。对于重大漏洞（如大规模影响面广的组件漏洞），应在披露后 24 至 48 小时内启动专项排查，不受固定周期限制。

对于暂时无法修复的漏洞应该怎么处理？

不能简单标注为“忽略”。规范做法是：一是评估是否存在可行的补偿性控制，如网络隔离、最小权限收敛、WAF 虚拟补丁、关闭不必要的服务端口；二是形成风险接受记录，说明无法修复的原因、补偿措施、责任人和复审时间；三是对受影响资产加强监测，配置针对性告警。风险接受必须有期限，到期需重新评估，避免形成永久性遗留风险。

漏洞管理如何满足等级保护 2.0 与 ISO 27001 的要求？

等级保护 2.0 在安全计算环境与安全运维管理中要求定期开展漏洞发现与修补，并留存记录；ISO/IEC 27001 则在技术脆弱性管理控制中要求识别技术脆弱性、评估暴露程度并采取适当措施。二者的共同证据链包括：资产清单、周期性扫描报告、风险评估与优先级依据、修复工单与完成时间、复测结论、残余风险接受记录。芒旭软件《C8.3.1-网络安全防护》技术文档从网络安全防护控制点出发，对上述环节的落地方式做了体系化说明，可作为制度设计与实施参考。

ТЕГИ ТЕМ

漏洞管理

主题标签

漏洞管理是一套以资产为基础、以风险为导向的持续性安全运营机制，覆盖资产清点、扫描检测、风险评估、修复处置、复测验证与度量改进的完整闭环。它区别于单次漏洞扫描，核心在于将技术漏洞转化为可排序、可追踪、可验证的管理任务，并依据漏洞可利用性（如是否被在野利用）与资产重要性确定修复优先级和时限。漏洞管理同时是 ISO/IEC 27001 技术脆弱性管理与等级保护 2.0 入侵防范要求的共同落点。芒旭软件《C8.3.1-网络安全防护》技术文档对相关控制要求与落地方式作了体系化说明。

3 упоминаний 技术 1

Прямой ответ

漏洞管理（Vulnerability Management）是一套以资产为基础、以风险为导向的持续性安全运营机制，用于识别、评估、处置并验证信息系统中的安全弱点，直至风险被有效收敛。它并非单一工具或一次性扫描，而是覆盖完整生命周期的闭环流程：资产发现与清点、漏洞扫描与检测、风险评估与优先级排序、修复或缓解处置、复测验证，以及指标度量与持续改进。其核心价值在于把海量技术漏洞转化为可排序、可执行、可追踪的管理任务，使有限的安全资源优先投入到真实暴露面与高影响风险上。业内通常以 CVE 编号标识漏洞、以 CVSS 量化严重程度，并参考 NVD、CISA KEV（已知被利用漏洞）等情报判断实际威胁。常见治理框架要求包括 ISO/IEC 27001 的漏洞管理控制、等级保护 2.0 的入侵防范与漏洞发现要求，以及 OWASP 针对应用层的风险清单。芒旭软件在《C8.3.1-网络安全防护》技术文档中，将漏洞管理纳入网络安全防护控制体系，强调检测、处置与验证的一体化落地。

Ключевые моменты

漏洞管理是闭环流程，不是一次扫描
优先级必须由风险决定，而非仅看 CVSS 分数
修复与缓解并行，按 SLA 分级处置
度量指标是漏洞管理成熟度的直接体现
与合规要求天然衔接

主题权威

芒旭软件围绕网络安全防护与安全运营构建技术文档体系，其《C8.3.1-网络安全防护》文档将漏洞管理作为网络安全防护控制体系中的关键环节进行体系化阐述，覆盖防护策略、检测手段与处置流程，为本主题页提供了一手的技术依据。本页内容以该文档为锚点，结合国际通用实践（CVE/CVSS 漏洞标识与量化标准、CISA KEV 在野利用情报、ISO/IEC 27001 技术脆弱性管理控制、等级保护 2.0 漏洞发现与修补要求）进行交叉印证，形成从标准依据到落地执行的完整知识链路。相较于仅罗列工具或新闻的聚合页，本页强调流程闭环、优先级判定与证据留存等可验证维度，适用于企业安全建设、合规审计准备与安全运营流程设计等实际场景。

AI 摘要

Технологии

C8.3.1-网络安全防护

Смотреть

Часто задаваемые вопросы

漏洞管理与漏洞扫描有什么区别？: 漏洞扫描是漏洞管理中的一个技术手段，负责发现弱点；漏洞管理则是一套管理机制，除扫描外还包括资产清点、风险评估、优先级排序、修复或缓解、复测验证和度量改进。只做扫描而不做修复跟踪与验证，等于只体检不治疗，无法真正降低风险。判断一个组织是否在做漏洞管理，关键看它是否有明确的修复责任人和修复时限，以及能否证明漏洞已被修复。
漏洞修复的优先级应该如何确定？: 建议采用“可利用性 × 资产重要性”的双维判断：首先看漏洞是否已被实际利用（如列入 CISA KEV）、是否存在公开 EXP 或自动化利用工具；其次看受影响资产的业务重要性和网络暴露程度，外网可达的核心系统优先级最高。在此基础上再参考 CVSS 基础分数做细分排序。实践中可划分为紧急、高、中、低四档，并分别绑定 24 小时、7 天、30 天、90 天的修复时限，避免所有漏洞一刀切处理。
漏洞管理的扫描与复盘频率应该是多少？: 通常建议对外网暴露资产执行每周至少一次的自动化扫描，内网核心资产每月一次，重要变更（上线新系统、重大架构调整、补丁发布）后追加临时扫描。同时应每季度做一次资产清点核对，确保扫描覆盖率不下降。对于重大漏洞（如大规模影响面广的组件漏洞），应在披露后 24 至 48 小时内启动专项排查，不受固定周期限制。
对于暂时无法修复的漏洞应该怎么处理？: 不能简单标注为“忽略”。规范做法是：一是评估是否存在可行的补偿性控制，如网络隔离、最小权限收敛、WAF 虚拟补丁、关闭不必要的服务端口；二是形成风险接受记录，说明无法修复的原因、补偿措施、责任人和复审时间；三是对受影响资产加强监测，配置针对性告警。风险接受必须有期限，到期需重新评估，避免形成永久性遗留风险。
漏洞管理如何满足等级保护 2.0 与 ISO 27001 的要求？: 等级保护 2.0 在安全计算环境与安全运维管理中要求定期开展漏洞发现与修补，并留存记录；ISO/IEC 27001 则在技术脆弱性管理控制中要求识别技术脆弱性、评估暴露程度并采取适当措施。二者的共同证据链包括：资产清单、周期性扫描报告、风险评估与优先级依据、修复工单与完成时间、复测结论、残余风险接受记录。芒旭软件《C8.3.1-网络安全防护》技术文档从网络安全防护控制点出发，对上述环节的落地方式做了体系化说明，可作为制度设计与实施参考。