企業必須認識到，漏洞管理不再僅僅是一個“掌控一切”的問題。每天進入系統的新漏洞的數量將永遠大于企業采用實際方法修復的數量。
那么，如何提高漏洞管理的有效性，從而開始專注于最重要的漏洞呢?以下是企業有效地進行漏洞管理的5個步驟：
(1)將資產和漏洞集中在一個清單中
在企業能夠很好地進行漏洞管理之前，需要更清楚地了解自己的資產。美國網絡安全中心(CIS)將“企業資產的庫存和控制”列為其推薦的網絡防御行動中最重要的安全控制措施。這是因為企業在開始進行漏洞管理之前需要對其資產有著清晰的了解。
為了獲得完整的信息，企業需要整合現有的資產和漏洞數據，這些數據來自資產管理工具、配置管理數據庫(CMDB)、網絡掃描器、應用程序掃描器和云計算工具。為了避免麻煩，不要忘記對這些數據進行重復數據消除和關聯，以便每個資產只存在一個實例。這項工作對于了解企業的脆弱性風險至關重要。
(2)確定關鍵業務資產
在企業的運營環境中，并不是所有的計算機系統都同樣重要。沒有生產數據的測試系統上的關鍵漏洞遠遠沒有企業工資單系統上的相同漏洞重要。所以，如果企業沒有制定關鍵業務資產清單，現在是開始編制的好時機。
企業的事件響應團隊也對其關鍵業務資產非常感興趣。如果企業沒有名單，他們可能會有。此外，如果企業的努力使在業務資產上可利用的漏洞更少，那么對這些業務關鍵型資產具有不利影響的安全事件就會越來越少。
(3)利用威脅情報豐富漏洞數據
2022年，全球平均每個月披露2800個新漏洞，這意味著，為了確保漏洞數量不會增加，企業必須每月修復2800個漏洞。如果想取得進展，需要解決的不僅僅是這些問題。
傳統的建議是只修復嚴重和高度嚴重的漏洞。然而，根據Qualys公司發布的調查數據，51%的漏洞符合這些標準，這意味著企業每個月需要修復1428個漏洞。
這是一個壞消息。好消息是，大約有12000個漏洞存在利用代碼，其中大約9400個足夠可靠，有證據表明有人正在使用它們。企業可以使用漏洞情報來了解正在使用哪些利用代碼以及它們的有效性。將漏洞掃描與高質量情報饋送相關聯是發現哪些漏洞值得長期關注，哪些漏洞只是曇花一現的關鍵。
(4)自動化重復的漏洞管理任務以實現規模化
收集KPI或其他指標、分配票據和跟蹤誤報證據通常都是重復而無趣的工作，盡管如此，安全分析師仍將其50%至75%的工作時間用于完成這些工作。值得慶幸的是，這些任務是算法可以協助甚至完全自動化完成的。
然而，協作并不能實現自動化。因此，將漏洞管理任務分為兩類，以便更好地利用每個人的時間。將重復和單調的任務實現自動化，企業的分析人員可以處理只有人類才能完成的復雜的工作。這不僅能提高工作效率，還能提高工作滿意度。
(5)跨團隊提供優先級的漏洞補救
漏洞管理是信息安全中最困難的實踐之一。每一個安全實踐都對自己的結果有一定的控制;他們執行一個動作，動作會產生一個結果，他們根據自己動作的結果進行評估。
但是，漏洞管理必須首先影響其他的團隊執行某個操作。在那里，操作產生結果，漏洞管理團隊成員將根據其他人的操作結果進行評估。在最糟糕的情況下，它會演變成將一個電子表格交給系統管理員，上面標注“修復這個問題”。其結果是隨機修復了一些漏洞。
有效的漏洞管理需要更多的精確性。如果企業可以為資產所有者提供一個簡短而具體的漏洞列表，這些漏洞需要按照優先級順序在特定資產上解決，并且還愿意幫助確定針對每個漏洞的最佳修復措施，那么將更有可能獲得滿意的結果。
幾乎所有的風險都存在于僅有5%的已知漏洞中。如果企業能合作解決這些問題，就可以把漏洞管理從一個不可能的夢想轉變成一個可以引以為豪的成就。
關于企業網D1net(hfnxjk.com)：
國內主流的to B IT門戶，同時在運營國內最大的甲方CIO專家庫和智力輸出及社交平臺-信眾智(www.cioall.com)。同時運營19個IT行業公眾號(微信搜索D1net即可關注)
版權聲明：本文為企業網D1Net編譯，轉載需在文章開頭注明出處為：企業網D1Net，如果不注明出處，企業網D1Net將保留追究其法律責任的權利。
京公網安備 11010502049343號