登陆

超越漏洞管理：迈向下一代暴露面管理

来源：FreeBuf

2026-11-05

2133

近期，PHP 高危漏洞与群晖 NAS 安全事件接连引发关注，也让企业再次意识到：漏洞被发现和利用的速度正在不断加快。

随着 AI 技术的发展，攻击者发现和利用漏洞的能力进一步增强，甚至可能早于厂商完成漏洞分析与修复。面对这样的变化，如果企业仍然依赖漏洞披露后再排查、等待补丁发布后再修复的传统方式，往往难以跟上攻击节奏。

数据也反映出这一趋势。根据 Verizon 发布的《2026 数据泄露调查报告》，在已知初始访问途径的数据泄露事件中，31% 涉及漏洞利用，漏洞正成为攻击者入侵企业的重要突破口。与此同时，CISA 已知被利用漏洞（KEV）目录中的关键漏洞，2025 年仅有 26% 得到完全修复，中位修复时间也从 32 天延长至 43 天。

这意味着，漏洞管理并没有失去价值，但仅依靠发现漏洞、等待补丁、逐一修复的方式，已经难以应对当前的安全挑战。企业真正需要关注的是：哪些漏洞和安全弱点最容易被攻击者利用？它们之间是否存在关联？在有限的资源和修复窗口内，应该优先处理哪些风险？

这正是暴露面管理要解决的核心问题：从单纯管理漏洞，转向全面识别风险、分析攻击路径，并优先收敛真正威胁企业关键业务的攻击面。

漏洞清单之外的四类风险

查看漏洞清单时，也值得检查这四类容易遗漏的情况：

漏管的外部资产：
遗忘的子域名、迁移后仍在线的旧服务、暴露在公网的测试环境，可能不在日常维护清单上。
配置问题：
安全设置关闭后没有恢复，旧管理员账号仍可使用，服务开放范围超出所需。这些问题未必有漏洞编号。
身份与权限：
重复使用密码、凭据暴露、高权限账号用于日常办公，可能让一次终端失陷波及更多系统。
合法工具被滥用：
Bitdefender Labs 分析了超过 70 万起网络安全事件，发现 84% 的重大攻击都使用了 LOTL 技术：PowerShell、WMI、远程管理工具以及系统中已存在的其他工具。无需打补丁。这些工具按预期运行，攻击者只是将其用于其他目的。

公网暴露、配置、身份与工具使用，都需要纳入风险管理视野

风险暴露面管理：范围更广，优先级更清楚

暴露面管理是持续发现、优先排序并减少攻击者可能利用的入口和弱点。它是漏洞管理的进阶，而非替代：补丁仍是核心，变化的是检查范围和修复优先级的判断方式。

管理维度	漏洞管理	暴露面管理
范围	已知资产上的操作系统和应用程序漏洞（CVE）	任何可利用的漏洞：CVE漏洞、配置错误、身份信息泄露、面向互联网的资产、高风险工具访问
资产覆盖率	受管库存	受管库存加上攻击者可以从外部发现的信息
优先级	每项发现单独来看的严重程度	可及性和可利用性：哪些弱点结合起来会成为获取宝贵资产的途径
处置方式	修补	修补、重新配置、限制工具的功能，或将资产从暴露状态中移除
衡量进展	调查结果已公布	路由已关闭，攻击面已移除

成熟的漏洞管理同样会考虑可利用性和业务重要性。暴露面管理进一步把漏洞、配置、身份和公网暴露关联起来，看清它们如何组成通向关键资产的路径。

其中最关键的是“持续”：每次修复、服务上线或权限调整，都可能改变攻击路径，也会改变处置顺序。等到安排整改时，上一次评估所依据的环境，可能已经发生变化。

更快的进攻，更精简的团队

漏洞公开后，留给企业的应对时间往往很短。

Bitdefender 的研究发现，自动化扫描可能在漏洞披露后不到 24 小时就开始。在其分析的 Akira 勒索软件攻击中，攻击者入侵后仅过几个小时，就已将攻击推进到域控制器。

企业需要尽早减少攻击入口，但加固也要兼顾业务。Bitdefender 2026 年调查显示，57% 的受访者认为应该限制不必要或高风险工具，却担心影响正常工作；38% 则认为，维护规则、为正常业务设置例外，会增加工作负担。

还有 40% 的受访者表示，现有 EDR/XDR 平台已经需要大量人工操作，或难以完整部署。如果新的预防方案还要依赖反复检查、手动调整，人手有限的团队就更难持续开展这项工作。

因此，预防方案需要让团队看清有哪些风险、知道先处理什么，并让加固措施持续生效。把这些工作放到同一平台中，并自动维护相关规则，可以减少来回核对和重复操作，让团队把精力用在关键风险上。

Bitdefender 暴露面管理的工作原理

Bitdefender 将五项功能整合到同一控制台中，形成看清暴露、确定优先级、减少风险的持续闭环。

持续发现风险、确定处置优先级，并通过加固减少攻击机会

在同一视图中看清攻击者可能使用的所有手段

大多数团队会将暴露数据分散存储在多个地方：外部扫描报告、漏洞列表、身份审查以及试图整合这些数据的电子表格。Bitdefender 将外部和内部数据整合到同一视图中。

由外向内：
外部攻击面管理（EASM）由 Bitdefender 基础设施执行无代理扫描，从域名、邮箱和 IP 范围等信息出发，发现对外开放的服务、端口、潜在漏洞及临期或过期证书。
由内向外：
终端风险管理发现受管设备的应用漏洞与配置问题，并提供漏洞是否已在相关行业被利用等信息；用户风险管理补充密码复用、凭据暴露等身份风险。

优先处理能切断更多攻击路径的环节

对于难以及时修复所有漏洞的团队，关键是明确先处理哪里。攻击路径分析把分散的风险连成路线，找出多条路径共同依赖的关键环节，帮助团队确定处置优先级。

在混合 Exchange 示意场景中，对外暴露的服务器和可能遭钓鱼攻击的工作站，看似是两个独立问题，却都关联到同一个高权限管理员账号。

将管理员迁移到专用的管理帐户（仅供管理主机使用）可以立即关闭该帐户下的所有路由，而下游服务器上的任何补丁都无法实现这一点。

多个攻击入口，可能依赖同一个关键账号继续向内推进

控制无法靠补丁解决的风险

有些风险无法通过补丁消除：业务需要的管理工具、脚本解释器，以及按设计运行的操作系统功能。工具本身可以正常工作，攻击者利用的正是它已有的能力。

PHASR（主动加固与攻击面收敛）学习用户在具体设备上的行为，识别不必要的高风险工具访问与操作，并提供加固建议或按策略应用限制。以 PowerShell 为例，日常所需的使用可以保留，不需要的高风险脚本或远程操作则可受到限制。

结合用户与设备的实际行为，对高风险操作实施有针对性的限制

在自动驾驶模式下，PHASR 自动应用并持续维护这些限制，减轻人工维护规则的负担。加固策略仍需结合业务用途验证，必要的业务例外也需审核。

对于受支持的 Windows 终端 AI Agent，PHASR 还可建立独立于用户的行为画像，分别管理工具访问权限。

在风险方面取得进展

管理层关心的是企业是否更安全。GravityZone 持续跟踪新增、未解决及已解决的攻击路径，帮助团队观察通向关键资产的路线是否减少，以及是否出现新的入口。

既看处置了哪些问题，也看这些处置减少了哪些攻击机会。观察趋势时，还应结合资产覆盖与数据采集情况判断，避免把可见性下降误当作风险减少。

人手有限，先从五件事做起

团队不必一次完成所有工作，可以先从最容易把普通问题连成攻击路径的几个环节入手：

关注什么	怎么做
负责人不明确的公网服务	从域名和公网 IP 查起，确认用途、负责人及业务依赖，再决定维护、限制访问或下线。
尚未修复的漏洞	结合已知利用情况、对外可达性和业务重要性，安排验证与修复顺序。
管理员账号混用	核查高权限账号是否登录普通工作站；从关键路径上的账号开始，落实专用账号与管理设备。
不必要的工具操作	先观察实际用途，审核加固建议并验证业务影响，再逐步应用限制。
暂缓处置的风险	记录负责人、暂缓原因、临时控制措施与复查日期，明确后续修复安排。

暴露面管理止步于何处？

暴露面管理可以减少攻击途径的数量，但它无法检测到正在进行的攻击，也没有任何防御程序能够完全封锁所有攻击路径。攻击路径描述的是基于扫描和库存数据构建的可能发生的情况，而不是正在发生的事情。

因此，暴露面管理与检测和响应并存，而非取而代之。EDR和 XDR监控端点、身份、网络和云工作负载的实际运行情况，而托管检测与响应 (MDR)则为没有自有安全运营中心 (SOC) 的组织提供全天候分析师服务。

两者之间还能相互信息共享：Bitdefender 的调查能够揭示事件背后的风险，最终目标是消除暴露，而不仅仅是遏制威胁。

上一篇：黑客发起LLMJacking攻击，受害企业云账单高达百万美元

用户评论
共0条评论

2000

同类文章推荐