漏洞管理审计是什么
漏洞管理审计检查漏洞治理是否形成闭环：资产覆盖是否完整（有无漏扫资产）、扫描频率是否达标、评级与修复时限是否被遵守、例外是否审批、修复是否经过复测验证。重点关注超期未修复清单与长期未重评的例外项。
怎么查得动真格
先把资产台账与扫描结果对齐，找出从未出现在扫描范围内的主机与应用，尤其是内网、云上与测试环境；再按严重度核对修复时限的执行情况，对超期项看是否升级到管理层。例外必须写明理由、补偿措施与到期时间，到期后重新评估，避免“审批一次、永久豁免”。
基本信息
| 检查项 | 资产台账、扫描覆盖、修复时限、例外审批、复测 |
|---|---|
| 时限设定 | 按严重级分层（如严重 7 天、高危 30 天） |
| 例外管理 | 书面理由、补偿措施、到期重评 |
| 验证 | 修复后复测并保留报告，未通过则重新计数 |
典型使用场景
- 季度安全巡检：核对高危漏洞的修复率与超期项
- 年度审计准备：整理扫描记录、修复证据与例外审批
- 新系统上线：确认完成扫描且无高危遗留
- 云环境治理：把新增云主机纳入扫描范围
- 应急响应后：检查同类漏洞是否在其他资产复现
- 供应商交付：要求提供交付物扫描报告与修复记录
审计抽样示例
审计抽样示例
抽取 20 个高危漏洞：
- 15 个按期修复，附复测通过记录
- 3 个超期，检查是否升级与原因说明
- 2 个例外，核对审批理由、补偿措施与到期时间
覆盖检查：把资产台账与扫描目标比对，列出从未被扫描的资产严重度与时限
| 严重度 | 常见修复时限 | 说明 |
|---|---|---|
| 严重 | 7 天内 | 可被直接利用，需临时缓解措施 |
| 高危 | 30 天内 | 按业务窗口排期修复 |
| 中危 | 90 天内 | 可合并到版本发布 |
| 低危 | 按季度或例行维护 | 结合实际暴露面判断 |
扫描覆盖率比漏洞数量更重要：只扫互联网资产的团队，往往在攻防演练中才发现内网与云上资产完全没有基线。