| 加固项 | 漏洞运营度量 |
|---|---|
| 适用平台 | 企业级 |
| 风险等级 | 低 |
| 基线 | 月度指标与复盘 |
指标口径示例
指标口径示例
# 发现：扫描/通告/外部报告
# 修复率 = 已修复/应修复（按严重级分层）
# MTTP = 平均修复时长（从发现到验证通过）
# 超期项：按 SLA 分层列清单
# 数据源：扫描器报告 + 变更记录 + CVE 评估表复盘重点是“为什么没在 SLA 内”：多数超期是窗口排不进或测试资源不足——改进流程而非追责个人。
本包目录（363 条）
主机加固基线90 条防火墙与访问控制50 条口令与认证策略55 条服务与端口收敛50 条
补丁与漏洞管理50 条
- Log4Shell（log4j-core）排查与处置
- RHEL 系安全更新（yum security）
- CVE 应急评估四步法
- Debian/Ubuntu 待升级与安全源核查
- 发行版生命周期（EOL）核查
- 待装更新与重启需求盘点
- polkit pkexec 提权自查（PwnKit）
- 紧急漏洞（0day/在野利用）处置流程
- 自动安全更新（unattended-upgrades）
- 内核更新与重启生效验证
- 内核漏洞自查（版本与公告对照）
- glibc 版本自查（Looney Tunables 类）
- 软件仓库来源与 GPG 校验
- 系统文件完整性核验（rpm -V / debsums）
- 组件版本清点与 CVE 对照方法
- sudo 版本自查（Baron Samedit 类）
- Windows 补丁清单核查（Get-HotFix）
- 数据库/中间件补丁的专项流程
- dnf updateinfo 安全公告过滤
- 补丁窗口与灰度发布纪律
- Apache Struts2 组件排查（OGNL 类漏洞）
- Windows 更新源与 WSUS 核查
- 容器镜像更新与基线复核
- bash Shellshock 类漏洞自查
- OpenSSH 版本自查与缓解
- Java 应用依赖清点（jar 清单）
- 漏洞修复验证（版本+功能+复测）
- 月度补丁评估（补丁星期二节奏）
- 补丁后验证清单（服务/业务/日志）
- 内网镜像源与断网环境更新
- 第三方应用与自带组件补丁
- OpenSSL 版本与 Heartbleed 类自查
- CVE 评估表模板（资产×版本×暴露×结论）
- 漏洞扫描工具选型与使用边界
- 补丁前快照与备份准备
- 回滚方案与已知问题清单
- 更新历史审计（yum history / dpkg.log）
- Apache HTTPD 版本与模块核查
- Nginx 版本与配置核查
- 组件清单（SBOM）与依赖台账
- Windows 第三方软件补丁管理
- 包版本锁定与排除（versionlock/apt-mark）
- 云安全中心/主机防护 agent 落地
- Windows 更新故障排查（缓存与组件）
- 固件/BIOS/BMC 补丁管理
- 带凭据扫描与基线合规扫描
- 漏洞报告处置 SLA 与复盘
- 补丁合规报表与敞口统计
- 扫描误报的复核与豁免流程
- 补丁管理指标（MTTP 与合规率）
漏洞报告处置 SLA 与复盘
漏洞生命周期要有量化：发现数、修复率、平均修复时长（MTTP）、超期项——数字驱动才能可持续。
易错点
- 口径不统一（按扫描器还是按下发时间算）：跨期对比失真，先定口径再统计
- 只报“修复率”不报“超期清单”：管理层看不到风险敞口
数据来源与参考
- CIS Controls 7：漏洞管理度量
- NIST SP 800-40：度量指标