在當(dāng)今的威脅形勢下，漏洞數(shù)量成倍增長，給網(wǎng)絡(luò)和安全團隊在確定修復(fù)工作的優(yōu)先級和實現(xiàn)業(yè)務(wù)價值最大化方面帶來了巨大挑戰(zhàn)。公開數(shù)據(jù)顯示，僅2023年就有近2.9萬個常見漏洞(CVE)被披露，較前一年的CVE數(shù)量增長了15%。

在部署工業(yè)和醫(yī)療設(shè)備的關(guān)鍵基礎(chǔ)設(shè)施環(huán)境中，維持關(guān)鍵任務(wù)系統(tǒng)的正常運行以及確保患者護理和安全對于運營技術(shù)(OT)、生物醫(yī)學(xué)和網(wǎng)絡(luò)安全團隊至關(guān)重要。影響物聯(lián)網(wǎng)(IoT)、OT和醫(yī)療物聯(lián)網(wǎng)(MIoT)資產(chǎn)的CVE數(shù)量在不斷增加，不僅給這些團隊帶來了巨大的壓力，還妨礙了他們修復(fù)嚴重影響業(yè)務(wù)持續(xù)運營的風(fēng)險。

基于風(fēng)險的漏洞管理

許多企業(yè)一直在使用通用漏洞評分系統(tǒng)(CVSS)，通過這一評估網(wǎng)絡(luò)安全漏洞特征和嚴重性的行業(yè)標準來確定漏洞修復(fù)的優(yōu)先級。

自2005年發(fā)布以來，CVSS已經(jīng)過三次重大修訂，加入了更加準確反映漏洞嚴重性的指標和評分標準。通過這三次修訂，該標準使得考慮具體漏洞的上下文關(guān)系在評估其風(fēng)險方面起到重要作用。雖然使用了 “時間 ”和 “環(huán)境 ”指標組解決這一問題，但它們反映的特征隨時間變化并且是個別企業(yè)所特有的，因此屬于“可選”指標。另外，這些指標需要進行人工評估，增加了企業(yè)的開銷并消耗了大量的時間和資源。由此可見，CVSS并未真正超出基礎(chǔ)指標的范圍。

如果企業(yè)僅依靠CVSS基礎(chǔ)分數(shù)確定優(yōu)先級，可能導(dǎo)致他們未能將重點放在真正關(guān)鍵的事項上。一個CVSS基礎(chǔ)分數(shù)很高的CVE被攻擊者利用的可能性或許很低，或者只影響企業(yè)中不太重要的資產(chǎn)，例如：運行關(guān)鍵工業(yè)控制系統(tǒng)的PLC中的漏洞對企業(yè)造成的業(yè)務(wù)影響可能高于一個微不足道的測試實驗室中的漏洞。

尤其是對于關(guān)鍵的OT和醫(yī)療健康環(huán)境，系統(tǒng)正常運行時間和患者安全是決定性的指標，因此采用更好的漏洞優(yōu)先級排序方法更為重要。在安裝補丁時，需要不同團隊提供資源和進行協(xié)調(diào)，有時還需要外部承包商/原設(shè)備制造商配合確定補丁的優(yōu)先級、測試補丁和規(guī)劃維護窗口。在許多情況下，維護窗口由于會影響關(guān)鍵運營并且可能需要設(shè)備長時間停機，因此很難確保安全。在進行全部這些工作的同時，先處理優(yōu)先級較低的漏洞不僅會導(dǎo)致資源分配不合理，還可能暴露企業(yè)最關(guān)鍵的基礎(chǔ)設(shè)施，造成運營、財務(wù)與合規(guī)方面的重大損失。

派拓網(wǎng)絡(luò)認為更有效的漏洞優(yōu)先級排序方法應(yīng)評估漏洞帶來的風(fēng)險，不僅要考慮其嚴重程度，還要考慮當(dāng)前的威脅形勢和脆弱資產(chǎn)的上下文關(guān)系。這種考慮上下文關(guān)系的方法應(yīng)能夠靈活適應(yīng)與企業(yè)環(huán)境相關(guān)的獨特因素(類似于在“時間/威脅”和“環(huán)境”指標組中定義的因素)，并自動提供優(yōu)先級排序的相關(guān)洞察，以便更快采取有力的漏洞響應(yīng)措施。這便是派拓網(wǎng)絡(luò)基于風(fēng)險的漏洞管理方法所起到的作用。

推出基于風(fēng)險的漏洞管理方法

派拓網(wǎng)絡(luò)很高興宣布，在我們的企業(yè)IoT/工業(yè)OT/ MIoT安全解決方案中加入基于風(fēng)險的漏洞管理功能，這項最新功能將解決許多企業(yè)因漏洞數(shù)量成倍增長而面臨的漏洞優(yōu)先級排序難題。

派拓網(wǎng)絡(luò)的解決方案結(jié)合漏洞指標與威脅和資產(chǎn)的深入上下文關(guān)系，在對每個漏洞進行風(fēng)險評估的同時自動進行計算，不僅減少運營開銷，還加快了大規(guī)模的漏洞響應(yīng)。漏洞按照風(fēng)險程度分級，根據(jù)優(yōu)先級可識別和篩選客戶環(huán)境中存在實際風(fēng)險的CVE。

事實上，派拓網(wǎng)絡(luò)的美國客戶群已經(jīng)采用了這種基于風(fēng)險的漏洞優(yōu)先級排序方法，結(jié)果顯示該方法能夠?qū)⒙┒丛肼暯档?0%。平均只有10%的關(guān)鍵嚴重性CVE(CVSS分數(shù))被列為最高優(yōu)先級，這有助于區(qū)分真正有風(fēng)險的CVE與其他不太會構(gòu)成重大風(fēng)險的CVE。

派拓網(wǎng)絡(luò)的優(yōu)先級排序方法不僅有助于減少CVE負載，還能指出那些雖然CVSS基礎(chǔ)分數(shù)較低，但潛在風(fēng)險比高分CVE更大的CVE。若僅采用CVSS基礎(chǔ)分數(shù)作為優(yōu)先級排序的依據(jù)，這些CVE可能會被忽略。

總結(jié)

基于風(fēng)險的漏洞優(yōu)先級排序方法是派拓網(wǎng)絡(luò)IoT/OT/ MIoT安全解決方案中的眾多創(chuàng)新之一。該方法在幫助企業(yè)保護各種設(shè)備安全的同時，大大優(yōu)化了運營。這些解決方案提供的零信任架構(gòu)功能全面，使企業(yè)能夠快速發(fā)現(xiàn)每臺設(shè)備、了解它們的攻擊面、確定風(fēng)險緩解工作的優(yōu)先級，并通過上下文豐富的安全策略建議和漏洞威脅簽名，保護難以安裝補丁的脆弱IoT、OT和MIoT設(shè)備，阻止利用漏洞的企圖。