【网络安全】网络安全漏洞管理十大度量指标

当前，网络安全漏洞所带来的风险及产生的后果，影响到网络空间乃至现实世界的方方面面，通信、金融、能源、电力、铁路、医院、水务、航空、制造业等行业各类勒索、数据泄露、供应链、钓鱼等网络安全攻击事件层出不穷。因此，加强对漏洞管理的迫切性、重要性日趋突出。

国家层面已经出台相关法律法规、标准规范，通信、金融等行业层面出台监管规定、管理规范，企业层面也正在逐步形成漏洞管理相关制度。同时，各类网络安全技术和产品，如漏洞扫描、资产安全、漏洞管理、暴露面管理、攻击面管理、态势感知、SOC、威胁管理等等系统都包含有漏洞管理相关能力。但实际作用和效果仍有很大进步空间。

运营者层面漏洞管理的理想效果是“所有系统漏洞均应得到及时发现、及时处置”，其底线目标是“系统漏洞不被攻击者利用并产生危害影响”。那么，是否有章可循去达到漏洞管理目标呢？目前全球尚未有成熟的标准或度量体系可供借鉴。
摄星科技多年来一直在帮助客户建立漏洞管理能力、输出情报和数据、提供漏洞管理服务，在客户需求、运营管理方面具有深厚积累，根据当前网络安全形势，结合未来最新的技术发展，提出漏洞管理十大度量指标，以期在设计、建设、评价、优化漏洞管理能力方面提供价值。

漏洞管理十大度量指标

漏洞管理十大度量指标分为资产覆盖率、风险资产识别粒度、检测能力完备程度、漏洞数据管理分析能力、优先级（VPT）应用程度、整改措施完备性、关闭漏洞百分比、漏洞重现率、响应时效性、运营管理完备程度等十个指标。

01资产覆盖率

此度量指标主要考察漏洞管理计划中资产覆盖面有无短板。
管理覆盖面：应该确定漏洞管理计划是否覆盖网络空间所有联网资产。除传统IT资产外，行业特有的如工控、物联网等专有资产，新兴技术如云、微服务、容器等，以及开发团队依赖的多个层面的开源组件等。

资产数据标准：资产库并非资产数据堆积，应建立资产数据标准，形成有标准的资产数据库，利于数据交换、数据共享，盘活资产数据。

SBOM技术：应形成软件物料清单SBOM，目前SBOM的主要安全用例是识别软件供应链中的已知漏洞和风险。可通过供应商申报、SAST、SCA等多种功能方式形成清单。SBOM可大幅度避免扫描，提升响应能力。

扫描技术覆盖面：扫描应覆盖所有资产类型和范围，避免形成扫描孤岛，可供选择的扫描技术有DAST、SAST、IAST、SCA等。重要资产可使用多品牌工具交叉扫描。

02风险资产识别粒度

此度量指标考察对风险资产的识别能力和管理粒度。

已不受厂家支持产品：应识别并重点关注已经结束寿命的老旧系统、组件等。此类产品造成的隐患往往很大，原因或是厂家消失，或是厂家已不再针对该产品发布漏洞补丁、更新程序。
P2P软件：应识别网内运行的P2P软件。P2P软件往往会带来恶意代码安装、数据泄露、易受攻击、拒绝服务、感染病毒等风险。

远程桌面共享：识别并形成远程桌面共享资产清单。避免允许NetBIOS的传入流量（UDP 137和138、TCP 135-139和445）。监测TCP 3389(RDP)服务等。

高危端口和服务：应定义高危端口和服务列表，尤其是对互联网开放的端口和服务，重点关注其关联漏洞。监测允许远程会话的协议的所有公共端口，例如TCP 22(SSH)、TCP 23(Telnet)、TCP 3389(RDP)以及TCP 20和21(FTP)等。

互联网暴露：互联网暴露资产受攻击机率较大，应充分识别互联网暴露资产，建立暴露面资产清单。

03检测能力完备程度

此度量指标考察漏洞检测能力。以此反映掌握漏洞态势的时效性能力。

检测周期和频率：应针对资产重要程度形成不同的周期性检测的机制，并可用自动化手段落实。

检测场景：应针对不同的检测场景，如资产存活、资产指纹、端口服务、漏洞等场景，或DevSecOps、暴露面监测等场景细化检测手段、检测策略、检测机制等。

时效指标：应形成每个场景的时效性量化指标。如单位资产（如100IP）的漏洞检测时间要在30分钟内完成，全网暴露面资产检测要在2个小时内完成。

04漏洞数据管理分析能力

此度量考察漏洞数据质量管理、漏洞跟踪分析能力。

多源异构漏洞归一化：应具备漏洞数据标准，在标准化的基础上对多来源数据进归一化，方便统一分析管理，压缩减少漏洞数量。

原始扫描数据清洗过滤：应对扫描原始数据中的非风险、干扰性数据进行清洗过滤，筛选出有价值的漏洞数据，再次减少需要分析处置的漏洞数量。

随时间变化平均漏洞数：统计分析资产、系统、部门、组织整体的漏洞数量（级别、POC/EXP漏洞、关键漏洞）在生命周期过程中变化趋势，体现漏洞处置效果，掌握风险的态势，优化处置措施。

随时间变化新增漏洞数：统计分析新披露漏洞（级别、POC/EXP漏洞、关键漏洞）、增加新资产带来漏洞，优化新增漏洞处置措施。

05优先级（VPT）应用程度

此度量考察对海量漏洞、关键漏洞风险管理能力。不同组织根据自身能力和管理要求选择不同的优先级方案。

基于漏洞级别：制定基于超危、高、中、低等不同级别的优先级措施，如超危、高危级别漏洞要优先处置。

基于威胁情报关联的可利用漏洞：通过威胁情报关联漏洞，查看漏洞当时是否有POC/EXP。有POC/EXP漏洞可作为高优先级漏洞处置。

基于实战化的关键漏洞列表：基于CISA KEV、VKB关键漏洞列表的实战化漏洞，作为优先处置对象。大型组织中，经过数据清洗过滤、关联POC/EXP后，待处理漏洞仍然是海量的，可把此类漏洞作为关键风险优先处置。

基于多属性决策算法：多属性包括了资产各类属性、漏洞各类属性、情报各类属性、生命周期管理各类属性，可作为 VPT风险计算因子。

06整改措施完备性

此度量考察漏洞处置、风险控制手段的丰富性及管理能力。

补丁数量：在给定时间范围内应用补丁数量，帮助改进补丁管理策略。

缓解措施数量：使用缓解措施的漏洞数量，条件满足时升级设备或应用更新补丁。

网关防御措施数量或虚拟补丁数量：无法升级或无法及时升级补丁、使用缓解措施情况下，使用IPS、WAF等网关防御措施进行风险缓解的漏洞数量。

07关闭漏洞百分比

此度量考察成功处置漏洞的结果，体现阶段性漏洞处置成果。

基于漏洞总数：以漏洞总数作为基数，关闭状态漏洞占漏洞总数的百分比。某些行业或企业会以漏洞总数修复率为考核管理要求。

基于漏洞级别：已关闭漏洞级别数量占该漏洞级别总数的百分比。某些行业以超危、高危漏洞的修复率作为漏洞管理人员的考核指标。

基于资产权重：以资产权重作为漏洞修复的前置条件，资产权重作为优先级VPT的计算因子。

SLA或考核指标：基于行业、企业监管或管理要求而关闭的漏洞数量。根据可用的时间和资源评估修复的有效性。

08响应时效性

此度量考察漏洞响应的及时性。

漏洞捕获时间：从情报、爬虫中获取漏洞信息的时间。

预警时间：组织内发布预警信息的时间。

网内排查时间：漏洞的影响范围，受影响资产定位所需时间。风险越长，受攻击几率越大，风险越高。方式有人工排查、扫描工具扫描、SBOM清单关联等。

处置时间：受影响资产上漏洞的处置的时间，或处置的时间要求。

09漏洞复现率

此度量考察漏洞修复的成功率。

漏洞复现率：加固措施不到位、补丁没有完全修复等导致漏洞在关闭后重新被检测到。复现率为复现漏洞数量占关闭漏洞数量百分比。

10运营管理完备程度

此度量考察漏洞管理体系的健全程度，漏洞运营管理能力成熟度。

闭环流程：是否具备生命周期闭环流程管理能力。
专职人员：是否配置专门的人员。
部门协同度：闭环流程中涉及部门的参与、配合程度。包括与上级监管单位、外部漏洞收录组织、情报组织、服务单位的协同。
系统协同度：闭环流程中涉及到的工具、系统、平台间API接口打通、数据共享程度。
运营制度：是否有健全的漏洞管理运营制度。
考核办法：是否有可落实的考核指标和管理办法。
学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、 计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉【整整282G！】网络安全&黑客技术小白到大神全套资料，免费分享！

第三种就是去找培训。

接下来，我会教你零基础入门快速入门上手网络安全。

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

第一阶段：基础准备 4周~6周

这个阶段是所有准备进入安全行业必学的部分，俗话说：基础不劳，地动山摇

第二阶段：web渗透

学习基础 时间：1周 ~ 2周：

① 了解基本概念：（SQL注入、XSS、上传、CSRF、一句话木马、等）为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透，学一学案例的思路，每一个站点都不一样，所以思路是主要的。
③ 学会提问的艺术，如果遇到不懂得要善于提问。

配置渗透环境 时间：3周 ~ 4周：

① 了解渗透测试常用的工具，例如（AWVS、SQLMAP、NMAP、BURP、中国菜刀等）。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景，懂得基本的使用，推荐在Google上查找。

渗透实战操作 时间：约6周：

① 在网上搜索渗透实战案例，深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试，推荐DWVA，SQLi-labs，Upload-labs，bWAPP。
③ 懂得渗透测试的阶段，每一个阶段需要做那些动作：例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入，寻找绕过waf的方法，制作自己的脚本。
⑤ 研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架。
⑥ 了解XSS形成原理和种类，在DWVA中进行实践，使用一个含有XSS漏洞的cms，安装安全狗等进行测试。
⑦ 了解一句话木马，并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限，Google关键词：提权

以上就是入门阶段

第三阶段：进阶

已经入门并且找到工作之后又该怎么进阶？详情看下图

给新手小白的入门建议：
新手入门学习最好还是从视频入手进行学习，视频的浅显易懂相比起晦涩的文字而言更容易吸收，这里我给大家准备了一套网络安全从入门到精通的视频学习资料包免费领取哦！

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉【整整282G！】网络安全&黑客技术小白到大神全套资料，免费分享！