闭环的五个环节
漏洞管理常被简化成「扫描加打补丁」，在工控环境里这个简化很危险。完整闭环包含五步：一是清点，掌握资产型号、操作系统、软件与固件版本；二是发现，从厂商公告、公开漏洞库、行业通报与自身观测中获取漏洞信息；三是判定，结合本地可达性、利用难度与后果严重度确定优先级；四是处置，在补丁、临时缓解、补偿控制与风险接受之间选一；五是验证与记录，确认处置生效并留下可追溯的记录。其中判定环节最容易被跳过，也正是资源错配的主要来源。
基本信息
| 前置条件 | 资产清单必须含固件与软件版本，否则无法判断是否受影响 |
|---|---|
| 发现渠道 | 厂商安全公告、公开漏洞库与工控专题通报、行业组织通告、自身流量与日志观测 |
| 判定维度 | 漏洞可利用性、在本网络中的可达性、被利用后的后果、是否有公开利用方法 |
| 处置选项 | 打补丁、临时缓解（关闭服务、限制访问）、补偿控制（隔离与白名单）、登记风险接受 |
| 禁止事项 | 在运行中的生产网络做全量主动漏洞扫描 |
| 记录要求 | 每个漏洞的判定依据、处置选择、责任人与完成时间 |
闭环流程
- 资产与版本清点：以实际读取的版本为准，而不是采购记录
- 漏洞获取：订阅厂商与行业通报渠道，并做定期主动查询
- 本地化判定：先判断该漏洞在本网络的设备上是否可达、利用条件是否具备
- 处置决策：评估补丁兼容性后选择补丁、缓解、补偿或接受，四选一并写清理由
- 窗口实施：按检修窗口或冗余条件执行，准备回滚
- 验证与关闭：确认漏洞不再可利用或补偿措施生效，更新记录
- 周期复盘：统计未关闭项与超期例外，推动收敛
处置选项对照
| 处置选项 | 适用情形 | 注意点 |
|---|---|---|
| 打补丁 | 有可用补丁且兼容性已确认 | 需窗口与回滚准备，实施后回归验证 |
| 临时缓解 | 短期降低可利用性 | 关闭服务可能影响业务，需评估 |
| 补偿控制 | 无法打补丁或补丁未发布 | 降低可达性与影响，但不消除漏洞 |
| 风险接受 | 处置成本远高于风险且已有其他控制 | 须由有权限者签署、设有效期 |
| 替换或改造 | 设备已停止支持且承担关键功能 | 周期长，需要提前规划与预算 |
主动漏洞扫描在工控网络上风险很高：老旧控制器与嵌入式设备在异常报文下可能出现通信中断、响应异常甚至重启。漏洞识别应优先依赖厂商公告、版本比对与配置核查，确需扫描时应在测试环境或经验证的非关键设备上进行，并事先取得工艺方同意。