Key Takeaways
- 传统的漏洞管理（VM）会用未经筛选的发现淹没团队；集成威胁情报可以增加真实世界的上下文，让你能够优先修复实际被攻击的目标。
- 基于威胁情报和风险的优先级排序能降低平均修复时间（MTTR），与业务风险保持一致，并将安全计划从被动反应转向主动防御。
- 现代方法利用自动化风险评分、仪表板和工作流集成，将情报操作化，融入现有的漏洞管理流程。
- Recorded Future 的漏洞情报提供实时风险评分、可利用性洞察以及与主流漏洞管理平台的集成，以推动行动。
引言
在当今的威胁形势下，安全团队面临着日益严峻的漏洞过载挑战。每天都有数十个新的CVE被披露，涵盖广泛的技术——仅2024年就发布了超过40，000个。如果没有强有力的组织、优先级排序和可见性，这种漏洞洪流会使修复团队不堪重负，并导致真正危险的缺口得不到解决。团队需要一种方法来区分噪音和风险，并将精力集中在关键之处。没有全面的可见性和明确的工作流程，组织就无法知道哪些漏洞最重要，修复工作也会停滞不前。
基于风险的优先级排序——尤其是当它基于威胁上下文时——能使修补工作与现实世界的攻击者活动以及组织最关键资产保持一致。这正是威胁情报改变游戏规则的地方。通过将有关活跃漏洞利用、攻击者兴趣和恶意软件关联的洞察添加到漏洞数据中，团队可以识别哪些问题正在被积极利用，并优先处理这些问题。其结果是形成一种现代的、由情报驱动的漏洞管理方法，弥合了无尽的漏洞列表与实际风险降低之间的差距。
理解威胁情报与漏洞管理
在组织现代化其漏洞管理方法之前，了解所涉及的两个核心学科以及它们独立运作时出现的局限性非常重要。威胁情报和漏洞管理对于降低网络风险都至关重要，但集成不畅往往阻碍团队根据情报采取行动，从而无法真正领先于关键漏洞。为了理解将威胁情报与漏洞管理集成的价值，让我们定义每个学科及其传统局限性：
- 威胁情报：指关于恶意行为者、其战术和新兴攻击的经过整理的信息，帮助防御者做出明智决策。威胁情报包含有关危害指标、对手技术和在野外观察到的漏洞利用的数据。其目标是了解当前的威胁形势，并预测攻击者下一步可能如何攻击。
- 漏洞管理（VM）：是系统性地识别、评估和修复组织系统中弱点（软件缺陷、错误配置等）的过程。传统的漏洞管理程序依赖网络扫描器和资产清单数据库来发现漏洞，分配严重性分数（例如CVSS），然后根据优先级进行修补或缓解。标准的漏洞管理周期包括扫描已知CVE、生成发现列表、尽可能修复问题，然后重新扫描以验证修复情况。
孤岛式方法的局限性
在各自为政的情况下，发现漏洞和实际降低风险之间存在重大差距。漏洞管理工具擅长检测数千个问题，但如果没有威胁上下文，它们无法判断那数百个关键CVE中哪些真正对你的组织构成实际风险。这通常导致团队仅根据CVSS严重性或修补的难易程度来修复问题——这是一种以数字为导向的方法，可能会使正在被积极利用的漏洞得不到修补。与此同时，威胁情报团队可能正在追踪危险的新漏洞利用或对手攻击活动，但如果该情报没有与漏洞管理流程相关联，它就永远不会影响补丁优先级排序。这两个团队并行运作，错过了对抗真实威胁所需的协同作用。
在不整合威胁情报和漏洞管理的情况下，存在危险的脱节——关键的漏洞可能因为漏洞管理团队缺乏对现实世界威胁活动的洞察而迟迟得不到解决，而威胁情报也可能因为没有既定的路径来通知修复工作而被低估。
传统漏洞管理的挑战
即使资源最丰富的团队也难以跟上当今的漏洞形势。大量的发现、有限的可用上下文以及快速行动的压力，都在传统的漏洞管理程序中造成了结构性弱点。关键问题包括：
海量的CVE
现代组织面临漏洞雪崩。每次漏洞扫描都可能返回数百或数千个发现，每年新披露的CVE数量都创下记录。这种巨大的数量使得团队修补所有漏洞变得不切实际，但如果没有进一步的指导，许多漏洞管理者会感到压力，需要尽可能多地修复问题，并使用已修补漏洞的原始数量作为成功指标。结果往往是四处救火和团队疲劳。此外，使用基于数量的指标而非与影响相关的指标，会降低你的漏洞管理程序的可信度。
缺乏真实世界的威胁上下文
传统的漏洞管理程序通常基于静态严重性分数（CVSS）或供应商指南进行优先级排序，这些分数显示了漏洞在被利用时的严重程度，但并未反映攻击者是否正在积极利用它。一个漏洞在CVSS上可能被评为9.8“严重”，但如果没有威胁行为者将其作为目标，它带来的直接风险就低于一个正在被广泛利用的7.0“高”分漏洞。没有威胁情报，漏洞管理者就缺乏洞察力，无法了解哪些漏洞出现在漏洞利用工具包中、在暗网论坛上被提及，或被用于最近的入侵事件中。
修复团队资源限制
大多数安全和IT团队根本没有足够的人员或停机时间来及时修复每一个漏洞。传统的漏洞管理通常以被动反应模式运行——扫描、列出、尝试修补——这会压垮团队。他们必须对无尽的补丁队列进行分类、安排维护窗口并避免干扰关键系统。在人员有限的情况下，补丁积压通常会增加。
被动与主动姿态
被动应对方式由定期的扫描报告或最新的安全公告驱动。组织可能只有在扫描器标记出新CVE时才发现需要修补——更糟的是，在事件响应人员发现攻击者利用了缺失的补丁时才发现。事实上，威胁行为者利用新缺陷的速度越来越快——一旦漏洞被披露，通常只需要大约15天，漏洞利用程序就会出现在野外。这意味着纯粹被动的补丁周期会留下一个危险的暴露窗口。关键挑战在于摆脱反应模式，转向更主动的、由情报驱动的战略，在威胁发生前解决可能的攻击，最终帮助缩小那些漏洞差距。
威胁情报如何加强漏洞管理
威胁情报增加了一个传统漏洞管理工具无法提供的关键维度：对攻击者行为的实时视图。这种上下文将原始的漏洞数据转化为可操作的内容，使团队能够将注意力集中在真正重要的问题上。通过将威胁情报编织进漏洞管理的生命周期，组织可以切实提升其防御能力。
通过纳入威胁情报，漏洞管理团队可以即时了解哪些漏洞正被攻击者积极利用或讨论。知道某个CVE正在被用来攻击你所在的行业、被勒索软件攻击利用或被对手扫描，会极大地提升其优先级。这种上下文让你能够将修复工作集中在最可能影响组织系统的漏洞上。
同时，情报使得从纯粹的基于严重性的方法转向基于风险的漏洞管理策略成为可能。团队不再将所有“严重”的CVE视为等同，而是将内部资产关键性与外部威胁可能性相结合来计算风险。通过融合威胁情报（漏洞利用可用性、攻击者兴趣、流行恶意软件）与漏洞数据，组织可以优先修复那些带来最大现实世界风险的漏洞，从而显著降低被入侵的几率。
通过更好的优先级排序和上下文，安全团队可以更快地响应对其特定组织最危险的漏洞。威胁情报充当预警系统。它可以在官方来源强调之前数天或数周，就警告你一个正在野外被武器化的新的关键CVE。这个提前量意味着补丁或缓解措施可以更早应用，从而缩小暴露窗口。
最后，威胁情报有助于将漏洞的技术细节转化为业务影响术语，从而改善与领导层和其他利益相关者的沟通。通过了解哪些漏洞可能实际干扰业务，安全团队可以更好地向管理层传达紧迫性，并获得紧急补丁或停机的支持。整合威胁情报还促进了威胁情报分析师与漏洞管理/IT团队之间的协调。最终，由情报驱动的漏洞管理确保漏洞优先级排序与组织的最高风险和威胁情景保持一致，而不是基于抽象的严重性评级。
集成式网络安全方法的好处
将威胁情报和漏洞管理结合在一起，不仅能简化工作流程——还能重塑组织降低风险的方式。集成后的程序以更清晰的优先级、更快的响应时间和更好的跨团队协调运作。了解这些好处有助于说明为什么越来越多的企业正在转向统一的战略。
集中资源分配（专注于关键之处）
集成方法确保团队有限的时间和精力用在真正重要的地方。与其任意或按数字顺序修补漏洞，不如将精力集中在情报认为最危险的那部分上。这种更好的资源分配意味着重要的补丁打得更快，员工不会在低风险项目上浪费周期。
主动风险缓解
将威胁情报与漏洞管理相结合，将整个程序从被动反应转变为主动防御。你不仅仅是响应扫描报告或等待入侵来突显遗漏的补丁。而是主动监控威胁趋势，并预先加固系统以应对可能的攻击。这种主动的风险缓解可以在事件发生前将其阻止。
改进的报告和合规性
由情报驱动的漏洞管理过程为向上级或审计员报告提供了更丰富的数据。安全领导者不仅可以展示修补了多少漏洞，还能证明所实施的修复如何战略性地降低了对关键资产的风险，并使组织领先于活跃威胁。此外，整合威胁情报可以通过确保高风险漏洞（通常与监管红标相关）得到及时处理来加强合规态势，从而满足ISO 27001、NIST CSF或行业特定指南中的关键要求。
跨团队协作
当威胁情报和漏洞管理集成时，它打破了发现威胁的团队与修复威胁的团队之间的孤岛。情报分析师、事件响应人员、漏洞管理者和IT运营人员开始基于共享数据制定的共同行动计划进行协作。威胁情报可能会标记一个关键的新漏洞利用；漏洞管理团队随后快速评估暴露情况并部署补丁；IT运营协调任何系统影响——所有步骤都在一个协调的工作流程中完成。
集成的实用步骤
将威胁情报集成到你的漏洞管理程序中，并不需要彻底改革。这是一系列经过深思熟虑、可实现的小改进。关键在于了解情报可以在哪些地方增强现有工作流程，以及如何在不干扰核心流程的情况下引入自动化。这些可操作的步骤为顺利实现这一过渡提供了路线图。
- 梳理现有工作流程：首先，记录你当前的漏洞管理流程以及信息在漏洞管理团队和威胁情报团队之间如何流动（或不流动）。了解你的扫描计划、补丁管理周期以及决策是如何做出的。同样，梳理你的组织中威胁情报是如何收集和分发的。
- 集成威胁情报源和平台：将外部威胁情报源连接到你的漏洞管理工具中。这可以通过直接集成到你的漏洞管理软件中的威胁情报源来实现。
- 使用风险评分自动化优先级排序：利用将漏洞数据与威胁情报相结合以对漏洞进行排名的自动化风险评分系统。动态风险评分（如 Recorded Future 的风险评分、微软的 MSRC 评级或社区指标如 CISA 的 KEV 和 EPSS）可以根据新情报持续更新。设置你的工作流程，使新发现的漏洞能自动获得风险评分，并使用这些评分自动重新排序你的补丁队列。
- 创建用于实时监控的仪表板：开发仪表板或报告，提供组织漏洞风险态势的整合、实时视图。这些仪表板应将漏洞扫描结果与威胁情报指标相结合。安全运营中心（SOC）的分析师可以监控此类仪表板以获取关键情报更新。如果在你的网络中发现某个已存在CVE的新漏洞利用，可以立即标记出来。仪表板提供持续的可见性，并帮助技术团队和管理层一目了然地了解漏洞风险的状态。
- 基于威胁趋势持续优化：集成不是一劳永逸的项目，它需要持续改进。建立一个反馈循环，在每个补丁周期或重大威胁事件之后，团队回顾学到了什么。威胁情报是否正确预测了哪些漏洞最重要？是否有事件表明尽管有可用情报但仍遗漏了漏洞？利用这些见解来调整你的流程。威胁趋势在不断演变，因此你的集成程序也应随之适应。
Recorded Future：采取全面的网络安全方法
Recorded Future 的情报平台旨在弥合威胁情报与漏洞管理之间的差距，实现对网络风险降低的真正全面方法。借助 Recorded Future 的漏洞情报模块，组织可以获得直接集成到其工作流程中的、有关漏洞的实时、上下文情报：
- 实时风险评分与警报：Recorded Future 为每个新出现的漏洞提供动态风险评分，并根据活跃漏洞利用可用性、威胁行为者提及、与恶意软件（例如勒索软件）的关联以及地下论坛讨论等因素实时更新。安全团队无需仅仅依赖CVSS，就能看到一个基于威胁情报的风险评级，从而了解哪些漏洞需要立即采取行动。
- 可操作的上下文和情报：平台中的每个漏洞条目都附有丰富的上下文信息。分析师可以快速了解一个漏洞是否已知与对手或恶意软件有关联、是否在暗网来源中被提及，或者是否有概念验证漏洞利用在流传。Recorded Future 的**情报图Ⓡ**关联来自开放网络、暗网、技术来源及其自身研究的数据，描绘出完整的图景。
- 与漏洞管理工具和工作流程集成：Recorded Future 提供与流行解决方案的开箱即用集成。这包括与 Tenable 和 Qualys 等漏洞管理系统、ServiceNow 等IT服务管理平台、Splunk 等SIEM等的集成。这些集成使威胁情报能够无缝增强你当前的工作流程，分析师无需在不同的工具之间来回切换。此外，Recorded Future 灵活的 API 和浏览器扩展支持自定义集成，确保你可以将其情报引入你使用的任何独特系统或流程中。
凭借这些能力，Recorded Future 帮助组织利用可操作的情报确定修复优先级，节省大量手动研究时间，并显著缩短高风险漏洞的暴露窗口。Recorded Future 助你从被动的漏洞管理转向一个由威胁情报驱动的、高效且最终更有效的程序。
现代计划的最佳实践
即使拥有合适的工具，成功仍依赖于遵循能最大化情报驱动漏洞管理计划影响的最佳实践。以下是一些适用于现代集成漏洞管理计划的最佳实践：
- 采用持续监控而非定期扫描：与其每月或每季度扫描一次漏洞，不如转向持续或更频繁的发现。威胁演变迅速，新的关键漏洞等不到下一次计划的扫描。使用持续扫描、基于代理的监控和第三方情报的组合，实现对环境中新漏洞的近实时可见性。
- 将补丁与关键业务资产对齐：并非所有资产都同等重要，这些资产上的漏洞也是如此。清点对你业务最关键的应用、系统和数据，并将这些知识纳入你的优先级排序中。优先修复保护最关键业务的漏洞。
- 促进团队间协作：鼓励漏洞管理团队、威胁情报分析师、事件响应人员甚至应用程序开发人员之间的定期沟通和联合流程。打破孤岛确保每个人都了解风险的全局并协同工作。它还有助于获得IT和开发团队对紧急补丁的支持：当他们直接从威胁情报那里听到不修补可能带来的潜在后果时，这就比典型的IT工单增添了紧迫性。
- 用指标衡量成功：为了持续改进并展示价值，跟踪能衡量漏洞管理计划效率和效果的指标。关键指标可能包括：
- 关键漏洞的平均修复时间（MTTR）（随着集成的成熟，你的修补速度是否变快了？）
- 未修补的可利用漏洞数量（该数字是否呈下降趋势？）
- 整体攻击面的减少（或许可以通过重复扫描发现减少或你情报评分的风险暴露降低来衡量）
- 合规性指标，如满足补丁SLA
- 威胁情报输入导致预防性行动的频率
利用威胁情报实现更智能的漏洞管理
将威胁情报与漏洞管理相结合，是组织如何管理网络风险的根本现代化进程。通过将真实世界的上下文和自动化融入漏洞管理流程，安全团队可以做出更明智的决策：他们修复最可能被用于攻击的漏洞，并且比以前更快、更有效地修复它们。其结果是一个不仅更准确，而且在当今快速发展的威胁形势下更具敏捷性和弹性的漏洞管理计划。
准备好将你的漏洞管理提升到新的水平了吗？Recorded Future 的漏洞情报解决方案可以帮助你实现目标。凭借实时威胁洞察、自动化风险评分以及与现有工具的无缝集成，它提供了积极降低风险所需的一切。