小型安全团队如何改进漏洞管理

小型安全团队经常忙于"救火"，结果导致快速倦怠。2024年的一项研究显示，50%的网络安全专业人员预计在一年内会面临职业倦怠。

为了保持正常运作并避免倦怠，他们需要尽可能优化现有流程。本文探讨小型安全团队如何改进漏洞管理流程，使其既有效又不会让人发疯。

1. 定义并限制资产清单范围

你无法保护你不知道的东西。因此，漏洞管理的第一步实际上经常被忽视，它与漏洞本身无关 - 而是关于资产发现。

使用资产发现工具获取资产清单，并确保其持续自动更新。不要依赖电子表格 - 未能及时更新电子表格的代价可能太高。此外，你减少的手动工作越多，你能覆盖的范围就越广，我们都知道小型安全团队总是多么紧张。

2. 按风险确定优先级

CVSS评分不够。它是一个好的起点，但"这是一个关键问题"、“该关键问题被勒索软件团伙积极利用"和"这个已知被利用的关键问题出现在我们的主要公共网站上"之间的差异是巨大的。

因此，CVSS评分只是一个起点，而不是全部。你需要确保还考虑利用可能性（可以使用EPSS）、已知的主动威胁（使用CISA KEV目录）、资产暴露和业务背景。

一个断开连接的打印机上的CVSS 10分问题，不如公共登录门户上的CVSS 6分问题重要。

3. 坚持执行节奏

你知道你不能持续扫描和打补丁。但你也不应该拖延。那么，你该怎么做？建立一个节奏并坚持下去。

我们不应该告诉你应该多久做一次，这取决于许多只有你知道的变量。但应该有一个时间表：比如，你每周运行外部扫描，每月运行内部扫描。当发生某些变更时，还会有临时扫描。自动化和安排这些扫描，让它们无论你是否可用都能运行 - 目标是确保节奏有效（并且如果扫描发现严重问题，你会收到通知）。

一致性是许多事情的关键，这也是其中之一。定期扫描有助于在为时已晚之前发现回归问题并揭示影子IT。

4. 自动化

我们之前提到过这个吗？小团队没有时间做繁忙的工作。因此，最好自动化所有可以自动化的内容：定期扫描、不会破坏东西的常见软件的补丁部署、支持工单创建、警报，甚至对资产所有者的基本通知。

你不应该花几个小时将扫描结果复制到电子邮件中。平台应该做到这一点。让平台完成这些工作，把你的时间节省下来解决基本自动化无法解决的问题。

即使是基本的自动化也可以缩短数天的修复时间。

5. 使用标签和分组加快分类速度

许多漏洞管理和暴露管理平台提供标签功能。它们有助于添加上下文。使用它们。按功能、所有者、环境（生产/开发/测试）和关键性标记资产。这有助于更快地过滤扫描结果并加速修复，因为你立即知道该与谁交谈。

如果你不是向他们倾倒数百个发现的列表，而是找到合适的人并说"生产环境上的这三台服务器需要紧急关注”，IT部门也会高兴得多。

6. 跟踪修复，而非发现

发现漏洞很容易。修复它们才是真正工作的开始 - 也是事情经常被遗忘的地方。因此，不要仅仅跟踪你发现了什么，确保跟踪什么被修复了、由谁修复、何时修复。

理想情况下，你的VM工具应该与你的工单系统或ITSM平台集成。一旦发现漏洞，应将其记录为任务并分配截止日期。一旦标记为"完成"，就需要进行验证。不要假设。

一个在Jira中开放数月的关键漏洞对任何人都没有帮助。

7. 始终重新扫描并验证修复

你部署了补丁 - 但它起作用了吗？不要假设修复问题等同于关闭问题。有些补丁静默失败。有些系统没有重新启动。有些团队忘记部署到所有服务器。

在应用补丁后设置重新扫描，确认修复按预期工作。如果没有，升级处理。修复失败很常见。因此，确认修复应该是你默认工作流程的一部分，而不是偶尔做的事情（偶尔忘记做的事情）。

8. 衡量重要指标

你不需要花哨的仪表板或数十个指标。好吧，我们希望这完全由你决定 - 我们知道说服管理层可能不容易，但至少尝试尽可能影响它。

跟踪太多指标需要时间。你真正需要的是几个实际帮助你跟踪重要事项的指标。以下是一些建议：

• 修复中位时间
• 按严重程度划分的未修复漏洞数量
• 在SLA内修复的漏洞百分比

关键不是过度复杂化。衡量足够的内容以捕捉趋势，跟踪改进，并在需要更多支持或工具时提出理由。这些指标应该对你和管理层都有效。

9. 与系统所有者合作

安全部门并不拥有所有系统 - 但你确实依赖于拥有这些系统的人。因此，最好与他们建立关系。

怎么做？嗯，这是个人问题，但也值得注意的是，将另一个上下文最少的任务清单倾倒给工程师和IT团队可能没有帮助。清晰度通常有帮助。

因此，给他们提供上下文。向他们展示为什么这很重要。在可能的情况下，使用标签或集成将发现直接路由给负责的所有者，提供有用的建议，而不是"最全面的修复措施列表"。这样，你是在帮助他们采取行动 - 而不仅仅是传递问题。

你的协作程度越高，问题修复得越快。

最后思考

小团队很快就会被拉得很紧 - 所以关键不是做更多，而是更好地做正确的事情。漏洞管理是不可协商的，你无法避免它。因此，为了确保你从中获得最大收益，请专注于自动化、上下文和协作。

你不需要修补所有东西 - 你需要快速修补正确的东西。你还需要管理层理解这一点 - 所以如果需要，把这篇文章展示给他们看。