漏洞管理的定義
漏洞管理是一項網路安全(Cybersecurity)實務，涉及主動識別、評估、分類、優先排序、修補以及回報硬體、軟體與網路基礎結構中的安全漏洞。這是一個持續進行的流程，使組織能在網路攻擊者利用漏洞之前，偵測並處理潛在威脅，進而保護其 IT 基礎結構與資料。
漏洞管理如何運作
漏洞管理是一個系統化且持續進行的流程，可協助組織在其 IT 環境中識別、評估並修補安全漏洞。它包含若干關鍵步驟，確保漏洞管理從偵測到緩解的完整性。以下是漏洞管理所涉及的主要組成要素。
目標
高效率的漏洞管理計畫的基礎在於設定明確的目標、界定範疇（即需納入的系統、網路與資產），並分配資源。此外，制定相關政策亦至關重要，包括漏洞應如何處理、流程各階段的責任人，以及漏洞資訊在組織內部的溝通方式。
資產探索與盤點
當計畫準備工作完成後，漏洞管理的下一步是識別並編目組織網路中的所有資產。這些資產包括伺服器、工作站、行動裝置、網路設備以及任何其他連線裝置。此資產清單必須持續維護，以確保納入新增或更新的資產，並停止追蹤已停用的資產。此清單需同時包含硬體與軟體應用程式。
漏洞識別
在清楚掌握資產狀況後，下一步是使用自動化工具進行定期漏洞掃描。這些掃描會評估資產是否有已知漏洞，例如未修補的軟體、設定錯誤以及安全缺陷。應定期執行掃描，以便在新漏洞被揭露或新資產加入網路時能夠偵測到。漏洞識別亦需包含 IT 安全專家的人工檢視與評估，以偵測自動化工具可能忽略的較不明顯或新出現的漏洞。
漏洞分類
一旦識別出漏洞，就需要根據其性質與潛在影響對其進行分類。這涉及瞭解漏洞的類型（例如軟體缺陷與設定錯誤）、其嚴重性、可被利用的難易程度、相關風險，以及受影響資產所處的環境。國家漏洞資料庫 (National Vulnerability Database, NVD) 與通用漏洞評分系統 (Common Vulnerability Scoring System, CVSS) 等工具與架構，可以協助標準化此評估流程。
補救的優先順序
由於並非所有漏洞都具有相同的風險等級，因此必須根據漏洞的嚴重性、可被利用的容易程度，以及受影響資產對組織的重要性等因素，來確定其補救工作的優先排序。漏洞管理中的此步驟可確保有效分配資源，優先解決最關鍵的漏洞。
補救與緩解
根據優先排序，採取行動以處理漏洞。
漏洞管理中的補救措施可能包括套用修補程式、更新軟體、更改
當無法立即採取補救措施時，可以採取臨時緩解措施來降低風險，直到可以實施永久性修復，例如實施補償性控制措施或將易受攻擊的系統與網路隔離。在某些情況下，如果無法立即採取補救措施，組織可以選擇接受風險。
驗證
在完成補救或緩解措施後，必須驗證這些措施是否已有效處理漏洞。這包括重新評估受影響的系統，或執行額外的掃描，以確保所有漏洞都已解決，並確認在修補過程中未引入新的漏洞。
法規遵循
執行法遵檢查，以確保修補措施符合內部安全政策與外部監管要求。法遵檢查能確保組織在資訊安全方面符合產業標準與監管要求。
報告和紀錄
報告應記錄已發現的漏洞、為解決問題而採取的措施，以及尚未解決的風險。這些紀錄對於稽核用途、評估漏洞管理計畫的有效性，以及確保漏洞管理流程的透明度與持續改進，都至關重要。
持續評估與改進
漏洞管理是一個循環性的流程，需要持續監控與改進。這可確保新的漏洞和攻擊向量(Attack Vector)能夠隨著系統、網路及作業需求的新增與變更得到解決。
教育和意識
定期為 IT 人員與使用者舉辦訓練課程，內容涵蓋漏洞管理的最佳實務與最新的安全威脅，同時協助非技術人員理解其在維護網路安全中的角色。
漏洞管理生命週期
有效的漏洞管理遵循結構化且持續的生命週期，以有效識別、評估、修補並監控 IT 環境中的安全漏洞。此生命週期對於維護組織系統與資料的安全性與完整性至關重要。它由以下相互關聯的步驟組成，協助組織將網路風險暴露降至最低。
準備
- 分配資源以支援漏洞管理計畫。
- 定義漏洞管理的範圍、目標與方法。
- 確定並指派角色與職責。
- 建立政策與程序，以規範漏洞的處理與修補方式。
- 識別並編目整個組織的所有 IT 資產，包括硬體、軟體與網路元件。
- 選擇用於漏洞管理的工具和技術。
漏洞掃描
- 使用自動化工具定期掃描 IT 資產，以偵測已知漏洞。
- 以人工測試與評估（例如滲透測試）補充自動化掃描。
- 建立定期掃描排程，以確保能及時偵測新出現的漏洞。
漏洞分析
- 分析掃描階段偵測到的漏洞。
- 評估漏洞的嚴重性、可利用性，以及對組織的潛在影響。
- 依據漏洞的嚴重性、受影響資產的價值，以及目前威脅情勢來進行優先排序。
補救與緩解
- 使用修補程式和軟體更新管理系統，及時部署修補程式和更新來修復漏洞。
- 實施臨時緩解措施以降低風險，例如防火牆規則、存取控制，或將易受攻擊的系統與網路隔離。
Validation
- 在補救後重新掃描並測試系統，以驗證漏洞是否已成功緩解或消除。
報告
- 建立詳細報告，記錄已發現的漏洞、採取的行動、產生的結果，以及任何未解決的問題。
- 與利害關係人分享報告。
檢討與改進
- 識別先前補救作業中的經驗教訓。
- 評估現行漏洞管理措施的有效性。
- 分析漏洞管理流程如何與組織的整體風險管理策略保持一致。
- 尋找現行漏洞管理流程中的缺口或弱點，並視需要對政策、程序與工具進行必要的調整。
- 持續監控，以確保漏洞管理計畫能適應不斷演變的威脅與變動的運作需求。
漏洞管理的好處
對不斷演變的威脅環境的適應能力
完善執行的漏洞管理計畫能使組織在新威脅與新漏洞出現時快速適應。
更好的 IT 資產管理
漏洞管理流程包含對所有 IT 資產進行詳細盤點，這有助於提升整體資產管理。瞭解網路中存在的資產及其安全態勢，有助於 IT 團隊更有效地管理這些資產。
業務連續性與韌性
透過緩解可能中斷業務運作的漏洞，漏洞管理有助於維持業務連續性與韌性。它可確保系統具備適當的安全防護，並有助於維持正常運作時間與服務可用性，以支援關鍵作業。
加強安全態勢
透過持續識別、評估、排序、緩解與修補漏洞，組織能防止攻擊者利用這些漏洞。這種主動的漏洞管理方法有助於縮小攻擊面(Attack Surface)，並提升整體 IT 環境的安全性。
培養安全意識文化
漏洞管理所涉及的流程，從識別到補救，都需要不同部門的參與，這有助於培養與強化安全意識文化。
增強信心
該計畫透過展現組織對主動漏洞管理的承諾，提升利害關係人（包括客戶、投資者與合作夥伴）的信心。
提高 IT 環境的可視性
漏洞管理計畫能夠全面展現組織的資產狀況，並對持續存在的問題、安全威脅趨勢，以及現有安全措施的有效性提供可視性。這種可視性有助於在 IT 與安全投資上做出更佳決策，並支持基礎結構升級與強化的策略規劃。
營運效率
自動化漏洞掃描與評估工具能簡化漏洞識別和優先排序流程，使 IT 和安全團隊能夠將精力集中在最需要的地方。透過自動化部分漏洞管理流程，組織可以提高營運效率，並更快速地修補關鍵漏洞。
防止資料外洩
漏洞管理透過弭平安全缺口並強化系統防禦，直接有助於防止資料外洩。
降低成本
透過協助組織在漏洞遭到利用之前先行處理問題，漏洞管理計畫能顯著降低與安全事件相關的成本。資料外洩所帶來的財務影響，例如停機、補救成本、罰款以及聲譽損害，可能遠高於維持持續漏洞管理計畫的成本。
監管法遵
大多數行業都受到監管標準的約束，這些標準要求組織必須管理並回報其 IT 系統中的漏洞。實施健全的漏洞管理計畫可確保符合法規要求，有助於避免潛在的罰款、法律糾紛和聲譽損害。
風險管理與優先順序
透過提供關於漏洞及其潛在影響的詳細洞察，漏洞管理計畫能支援與風險接受、迴避、緩解或轉移相關的決策。這有助於更廣泛的風險管理和業務連續性規劃工作。此外，也能讓資源更有效地分配，並將精力集中在最關鍵的問題。
企業如何管理漏洞
能有效管理漏洞的企業，通常透過系統化且結構化的方法，整合各種流程、工具與最佳實務。企業在漏洞管理中所採用的要素包括以下幾點。
資產盤點
- 維護所有硬體、軟體和網路資產的最新清單，其中包括實體和虛擬伺服器、工作站、行動裝置與雲端服務。
- 根據資產的重要性和其所包含的資料進行分類和歸類。
持續溝通
- 與利害關係人持續溝通，報告漏洞管理工作的進度，以及任何重大漏洞或事件。
- 收集有關漏洞管理流程的意見回饋，以完善和改進政策、程序和控管措施。
補救與緩解
- 部署修補程式和軟體更新。
- 當無法立即採取補救措施時，可實施臨時緩解控制措施，例如防火牆規則、軟體設定或存取限制，以降低風險。
漏洞評估
- 評估每個已識別的漏洞，並根據可利用性、影響和目前威脅環境等因素判定其嚴重性。
- 根據漏洞對組織所造成的風險程度，對漏洞進行優先排序。
- 建立漏洞存在的背景情境，例如資產的重要性。
漏洞管理政策與架構
- 概述漏洞管理所涉及的目標、範疇、角色、職責與流程。
- 為整個組織提供標準化方法。
- 使主要利害關係人參與其中（例如 IT、人員安全團隊與團隊主管）。
- 確保該計畫與組織的整體目標及風險管理策略保持一致。
在選擇漏洞管理解決方案時應注意的要點
在選擇合適的漏洞管理解決方案時，應注意的關鍵能力包括以下幾項。
資產探索功能
- 自動識別所有連接至組織網路的裝置，包括伺服器、工作站、行動裝置以及物聯網 (Internet of Things , IoT) 裝置
- 強大的資產探索能力
- 能夠查看各種環境（例如本地端、雲端、混合式環境）中已授權和未授權的裝置。
法規遵循支援
成本與授權條款
- 可接受的總擁有成本，包括初始購買、實作、培訓與持續維護
- 透過有效降低風險並改善安全態勢，獲得良好的投資報酬率，而不會產生過高的成本
- 授權彈性
- 透明定價
整合選項
- 與修補程式管理工具的整合
- 強大的 API（應用程式介面）支援，用於與自訂工具整合並自動化各種安全流程
- 安全基礎結構整合，例如 SIEM（安全資訊和事件管理）、ITSM（IT 服務管理）以及端點防護平台
補救與緩解
- 自動化補救，例如套用修補程式與進行設定變更
- 當無法立即採取補救措施時，提供降低風險的緩解指引
報告
- 可自訂的報告與分析，以滿足不同利害關係人的特定需求
- 報告應提供對漏洞趨勢、修補進度以及法遵狀態的洞察
擴展能力與效能
- 隨著 IT 資產數量增加而具備擴展能力
- 可適應不同網路拓撲
- 在不顯著影響網路或系統效能的情況下高效運作
掃描功能
- 允許自訂風險規則與評分，以符合組織的特定風險承受度與安全政策
- 結合情境與威脅情報，以判斷處理漏洞的優先順序
- 將誤報降至最低
- 執行深入掃描，可偵測各種漏洞，包括設定錯誤與缺少修補程式
使用者介面與可用性
- 清晰的儀表板
- 輕鬆設定掃描
- 直覺式導覽
- 員工僅需最少的訓練
- 風險與影響的可視化
供應商支援與社群
- 積極開發
- 出色的客戶服務
- 可靠且即時回應的技術支援
- 活躍的使用者社群
漏洞涵蓋範圍
- 各種漏洞，包括與軟體缺陷、設定錯誤以及不同作業系統、應用程式和網路設備中缺少修補程式相關的漏洞
- 廣泛的資產涵蓋範圍，包括本地端硬體、虛擬機器、行動裝置、雲端環境和 IoT 裝置
- 定期更新以偵測最新漏洞，並利用可信的漏洞資料庫
- 支援各種作業系統與應用程式
漏洞管理常見問答集
以下是關於漏洞管理的一些常見問題解答。
在網路安全中有哪些類型的漏洞？
在網路安全領域中，漏洞是指可被攻擊者利用的弱點。漏洞的例子包括不良的安全實務、人為因素、開放的連接埠、弱加密，以及設定錯誤。
企業為什麼需要漏洞管理？
企業需要將漏洞管理做為其網路安全與風險管理策略的基本組成部分，原因有很多，包括：
- 因應技術變革
- 成本管理
- 加強安全態勢
- 營運連續性
- 維護聲譽與信任
- 防範網路威脅
- 監管法遵
- 安全的數位轉型
- 敏感資料保護
- 利害關係人信心
- 策略風險管理
漏洞管理與漏洞評估之間有何差異？
漏洞評估是識別並量化系統中漏洞的過程。漏洞管理則是一個更廣泛且持續性的計畫，包含漏洞的評估、修補與緩解，以及監控與法遵檢查，以確保長期保護和安全性改進，並在特定時間點進行掃描或評估。
漏洞管理與企業安全
有效的漏洞管理不僅能防範潛在威脅，還能透過系統化的漏洞偵測、分析與回應，提升組織的安全防護能力。這種系統化且主動的網路安全風險管理方式，能顯著降低組織暴露於網路威脅的風險，並保護其關鍵資產與資料。
