漏洞管理生命周期：从发现到修复的完整闭环

漏洞管理生命周期：从发现到修复的完整闭环

漏洞管理不是”扫一遍然后给IT发个Excel”——它是持续发现→评估→修复→验证的循环。发现阶段：用Nessus/Qualys做全网资产扫描（包括云资源和容器），使用Nuclei做Web应用和API的专项扫描。关键绩效指标：资产覆盖率（被扫描的资产/已知总资产），目标100%——未被扫描的设备就是不可见的风险。

评估阶段是漏洞管理中最需要专业判断力的环节：不能只看CVSS分数。一个CVSS 9.8的漏洞如果只在内部测试环境且无外部网络可达，风险就低。反之一个CVSS 5.5的漏洞如果是域控上的本地提权，风险极高。引入风险评分 = CVSS × 资产重要性 × 暴露程度。修复SLA：Critical→72小时，High→7天，Medium→30天，Low→下个发布周期。修复验证不是”重扫一遍没有该漏洞了”——要验证修复措施是否真正解决了根因而非只是删除了症状。