为什么风险暴露管理正在取代漏洞管理？

数世咨询

2026年8月14日 16:00
北京

在小说阅读器读本章

去阅读

本文关键看点：

1、漏洞管理的核心假设已经被现实打穿：找出漏洞→排序→打补丁→风险下降。这套逻辑在静态、慢节奏的环境里曾经合理；今天漏洞几乎从不孤立存在，攻击者按\"路径\"作战。

2、CVSS严重度评分不是风险。一个无法访问的\"严重\"漏洞风险其实很低；一个低严重度漏洞，叠加弱凭据、过度权限、身份关系错配，就能构成直接通向敏感系统的路径。攻击者没人在意CVSS，他们在意\"哪条路径离目标最近\"。

3、攻击者早已完成这种转向，行业才刚开始追。Gartner的CTEM（持续威胁暴露管理）框架正在把\"我们是不是真的越来越难攻陷\"这个问题推上CISO的桌面——从\"找出漏洞\"转向\"理解攻击者能做什么\"。

*▍*以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

能见度不是问题

漏洞管理不是因为安全团队缺乏可见性才失败的。大多数组织发现的问题数量，远远超过他们实际能够处理的能力。然而，尽管有这么多发现，许多CISO仍然在试图回答一个看似简单的问题：我们有没有真的变得更难攻陷？

这个问题正中了一个越来越严重的痛点。安全项目在\"找问题\"这件事上已经做得很好，但\"找问题\"和\"降低风险\"并不是一回事。在许多组织里，这两个概念已经被混为一谈，这正是传统漏洞管理开始瓦解的根源。

漏洞管理的底层假设其实很简单：如果你能识别漏洞、给它们排序、然后打补丁，风险就应该下降。这套逻辑在环境规模较小、基础设施变化较慢、漏洞被视为风险主要指标的时代，还能走通。

今天的环境已经不一样了。漏洞几乎从不是孤立存在的——它们往往只是一个更广义安全问题的其中一环。挑战不再是\"找漏洞\"，而是\"理解暴露\"。

这也是Gartner的持续威胁暴露管理（CTEM）框架越来越被接受的原因之一。这个框架的核心，正是承认要理解风险，必须跳出单个漏洞，去评估攻击者真正能够利用的更大范围的暴露。

排序为什么总是不到位

当组织试图对风险排序时，这种落差就会暴露出来。传统的漏洞管理是逐个评估发现的，通常用严重度评分作为风险的代理。攻击者则完全不按这个思路走——他们评估的是\"哪些弱点能连成线\"、\"能拿到什么访问权限\"、\"组合起来能达成什么有意义的目标\"。

这个区别之所以重要，是因为\"严重度\"和\"风险\"根本不是一回事。一个无法访问、无法被利用的\"严重\"漏洞，实际上可能代表几乎为零的实战风险。反过来，一个低严重度问题，一旦叠加弱凭据、过度权限或配置错配的身份关系，就可能打造出一条直达敏感系统和数据的路径。

攻击者天生就明白这一点。他们从不一个一个地去攻击漏洞。他们把弱点串起来、在环境里横向移动、提权，然后奔向离目标最近的那条路径。

严重度不是风险

漏洞管理努力之所以今天越来越吃力，最重要的原因之一是\"严重度\"被当成了\"风险\"的代名词。理解起来也容易——严重度评分提供了一种标准化的方式去比较不同的发现，让团队能够从海量漏洞里挑出先后次序。

一个漏洞只有在它能帮助攻击者达成目标时才有意义——目标可能是访问敏感数据、提权，或在环境里横向移动。任何场景下，该问的问题都不是\"这个漏洞有多严重？\"，而是\"这个弱点能不能成为通向某个值钱东西的一块拼图？\"

这是两个根本不同的问题。一个衡量的是发现的特性，另一个评估的是它给攻击者制造的\"机会\"。随着环境越来越互联，这两个视角之间的差距还在持续拉大。

暴露比漏洞更大

可见性告诉你\"有哪些漏洞存在\"。暴露告诉你\"攻击者能怎么用它们\"。

这个区分现在越来越重要，因为暴露比漏洞更宽——它包括弱点、身份、权限、资产、信任关系、业务系统之间那些给攻击者创造机会的\"连接关系\"。

一个漏洞可能只是暴露的一部分，故事远不止漏洞本身。想象一个低严重度漏洞，运行在一个权限过度的系统上。单独看，两者都不紧急；但加在一起，就能直接通向敏感数据或关键基础设施。

再换个视角：一个攻击者已经搞下了某个低价值系统。在传统漏洞管理模型里，关注点还停留在那个让他进来的漏洞上；但在暴露管理模型里，关注点会跳到\"接下来会怎样\"：

• 攻击者能打通到哪里？
• 哪些身份可以被滥用？
• 哪些权限可以利用？
• 哪些系统会暴露出来？

漏洞可能是入侵的入口，但\"暴露\"才决定了影响有多大。这也是为什么理解暴露必须跳出单个发现，去评估弱点之间在环境里到底怎么互动。

同样的逻辑适用于云环境、身份系统、Active Directory、第三方访问和混合环境。攻击者不是因为组织存在某个漏洞就攻陷它——他们是因为多重条件凑在一起、形成了一条通向值钱东西的路径，才得手的。

这就是暴露的定义。

为什么暴露管理正在取代漏洞管理

攻击者其实已经完成了这种转变。行业这才刚刚追上来。

漏洞管理帮我们理解\"哪里坏了\"。暴露管理帮我们理解\"攻击者到底能做什么\"。

随着环境越来越互联，目标不再是\"识别每一个漏洞\"，而是\"理解哪些弱点的组合会制造有意义的风险\"，以及\"在哪里下手能最高效地降低那种风险\"。

对CISO来说，这会改变对话。

以前问：

• 我们有多少漏洞？
• 我们打补丁多快？

现在更要问：

• 攻击者到底能打通到哪里？
• 哪些暴露制造了真正的业务风险？
• 我们应该先修什么？
• 我们是不是真的越来越难攻陷？

这些就是暴露管理的问题。当攻击者正以机器速度发现和利用机会时，这些问题只会越来越成为真正重要的问题。

\* 注：图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。

— 【 THE END 】—