这一类问题在说什么
漏洞与补丁管理缺失指系统存在可利用的高危漏洞长期未修，且没有成文的补丁管理流程与验证记录。它在测评问题清单里出现的频率很高，因为扫描工具一跑就能看到：操作系统补丁落后多个版本、中间件带已知反序列化或文件上传漏洞、开源组件版本过旧。对应条款在安全运维管理的漏洞和风险管理，考的不只是「修没修」，还有「有没有闭环流程」。
闭环流程
闭环流程
# 四步闭环，每步都要留痕
1 发现：定期漏洞扫描（建议每月）+ 跟踪厂商安全通告
2 评估：按严重性、可利用性与业务影响分级，确定修复时限
3 修复：测试环境验证 → 在变更窗口实施 → 保留变更单
4 复测：修复后重新扫描确认关闭，把结果写回台账基本信息
| 对应条款 | 安全运维管理（漏洞和风险管理） |
|---|---|
| 对象范围 | 操作系统、中间件、数据库、开源组件、网络与安全设备固件 |
| 扫描频度 | 建议每月一次，重要时期加密频次 |
| 产出 | 漏洞台账、修复记录、复测报告、风险评估说明 |
| 验证方式 | 现场抽扫一台主机并与台账比对 |
分级与时限建议
| 级别 | 典型情形 | 修复时限参考 |
|---|---|---|
| 紧急 | 可远程利用且能直接获取权限 | 立即处置或当天缓解 |
| 高危 | 存在公开验证代码、影响大 | 一周内修复或加临时缓解 |
| 中危 | 需内网条件或利用难度较高 | 一个月内修复 |
| 低危 | 信息泄露、配置类问题 | 结合版本更新窗口处理 |
无法及时修复怎么办
- 做风险评估：写清漏洞、受影响资产、被利用的前提与后果
- 上补偿措施：临时加访问控制、关闭暴露面、增加监控告警
- 纳入计划：给出明确的修复排期与责任人
- 留痕归档：风险评估与补偿说明作为证据，避免被直接判不符合
典型使用场景
- 测评前自查：先扫一遍高危漏洞，用最小成本减少不符合项
- 上线前检查：把组件版本与漏洞扫描纳入发布流程
- 应急响应：重大漏洞通告后按资产清单快速定位受影响系统
- 供应链排查：开源组件清单与版本管理，便于一次定位全量影响面
漏洞台账建议固定六列：漏洞编号、等级、影响资产、修复期限、当前状态、验证人。月度复盘只盯超期项，能把流程从文档变成习惯。
补丁要从厂商或官方渠道获取并在测试环境验证后再上生产：直接从公网下载升级包打生产，既可能引入后门，也可能因兼容性引发更大故障。
台账与汇报口径
- 漏洞台账字段：编号、等级、影响资产、修复期限、状态、验证人、关闭时间
- 月度复盘：统计新增数量、按期修复率、超期最久的条目与原因
- 向上汇报：用修复率与平均修复时长两个指标说明管理工作在持续运行
- 对外说明：无法修复的条目要能给出风险等级与补偿措施，而不是一句「业务不允许」
扫描范围别漏
| 对象 | 常见遗漏 | 补充方式 |
|---|---|---|
| 互联网暴露面 | 只扫域名不扫 IP C 段 | 按备案资产全量扫描 |
| 内网主机 | 只扫服务器不扫终端 | 纳入终端管理平台统一扫描 |
| 数据库与中间件 | 依赖主机扫描，未做专项检测 | 使用针对性组件漏洞检测 |
| 网络与安全设备 | 固件版本长期不核查 | 定期比对厂商公告与固件版本 |