合同与流程要点
合同与流程要点
1. 责任条款：补丁响应时限（按严重级别）、报告义务与验证方式
2. 沟通机制：定期安全例会、漏洞通报联系人
3. 远程维护：供应商接入走堡垒机+审批+录屏，账号按次开通
4. 退出保障：源代码/配置/文档托管，避免绑定后无法自主修复| 证据 | 要求供应商提供修复版本号与验证结论，抽样复核 |
|---|---|
| SaaS | 确认厂商安全公告订阅渠道与 SLA 条款 |
| 遗留代码 | 无维护合同的历史系统按 EOL 流程处置 |
供应商说『已经安全了』不等于修好了：留好可复核的证据链。
本包目录（294 条）
漏洞基础与评分46 条Web 漏洞原理与防护55 条主机与服务风险面53 条扫描与验证方法50 条
补丁与修复管理45 条
- 紧急漏洞（在野利用）应急修复流程
- 补丁管理流程全景
- RHEL 系安全更新与预演
- 从公告到复测：修复有效性的完整验证链
- 漏洞情报接收入口与影响初筛
- 修复验证的三种方式
- Kubernetes 版本升级路径与节点操作
- 补丁管理的前置：资产与组件盘点
- 回滚预案与备份策略
- 内核类补丁的生效与重启核查
- 数据库小版本升级与滚动策略
- 补丁测试环境的验证要点
- Debian/Ubuntu 安全更新与自动更新权衡
- Windows 补丁核查常用命令
- Web 中间件与 JDK 的升级路径
- 容器镜像重建代替就地打补丁
- 复扫与基线比对确认修复
- 无法修复项的例外管理与复审
- 补丁分类与优先级口径
- 灰度发布与分批推进
- 离线环境的补丁导入与同步
- 虚拟补丁与补偿控制的使用边界
- 语言运行时升级（JRE/Node/Python）
- CI/CD 中的补丁与制品策略
- 配置类修复的核查方法
- 批量补丁编排工具与执行注意事项
- 变更窗口与冻结期协调
- WSUS 与组策略驱动的更新管理
- EOL 组件的识别与处置决策
- 应用依赖升级与锁文件管理
- 云上补丁责任的划分
- 补丁发布的审批与沟通
- OT/工控环境补丁的特殊约束
- 补丁台账字段与审计留痕
- 固件与带外管理更新（BMC/BIOS/网络设备）
- 第三方与外包系统的补丁责任约定
- 自动更新的适用边界与配置要点
- 补丁管理指标与趋势复盘
- 补丁来源与签名校验
- 维护窗口的排期与执行编排
- 补丁执行手册（Runbook）的编写
- 补丁合规审计的证据准备
- 补丁工作量的预估与排期容量
- 补丁完成后台账与文档的同步
- 变更通知与用户沟通要点
第三方与外包系统的补丁责任约定
外包开发、SaaS 与供应商维护的系统，补丁责任必须写进合同与运维协议：谁负责修、多久内修、如何证明修了、远程维护通道如何管控。
易错点
- 外包系统漏洞报告发给个人邮箱，对接人离职后修复线索中断
数据来源与参考
- ISO/IEC 27001 附录 A（供应商关系，条款参考）
- NIST SP 800-161（供应链风险管理）