漏洞安全管理体系
一、漏洞管理监管要求（核心）
- 网络安全法：需建立漏洞管理、风险监测、应急处置机制。
- 数据安全法 / 个人信息保护法：漏洞导致数据泄露需追责，要求事前防控。
- 等保 2.0（GB/T 22239）：必须有漏洞扫描、渗透测试、整改闭环。
- 关基保护条例：高危漏洞48 小时内处置，重大漏洞上报。
- 工信部 / 网信部：严禁已知漏洞长期不修复，漏洞要可追溯、可闭环。
- 移动应用（APP）：必须上架前安全检测、定期漏洞扫描、隐私合规、权限最小化。
二、漏洞生命周期（从产生到消亡）
- 产生：编码缺陷、架构缺陷、第三方组件、配置错误、协议设计问题。
- 引入：开发 / 测试 / 上线部署环节带入。
- 发现：扫描、渗透、众测、攻防演练、情报预警、外部通报。
- 定级：低 / 中 / 高 / 致命（CVSS 或内部标准）。
- 上报 / 录入：进入漏洞管理平台。
- 分派 / 确认：责任部门认领，确认真实有效。
- 修复 / 整改：打补丁、改代码、改配置、临时防护。
- 复测验证：修复后必须再次验证。
- 闭环关闭：漏洞彻底解决。
- 复盘：根因分析、流程优化、避免重复出现。
一句话：漏洞从代码编写 / 组件引入时产生，到复测通过并闭环才算真正结束。
三、漏洞来源
- 自研代码逻辑漏洞、未做输入校验
- 第三方开源组件 / 依赖漏洞（Log4j、Fastjson 等）
- 操作系统、中间件、数据库未更新补丁
- 弱口令、权限过大、越权访问
- 接口未鉴权、未加密、未验签
- 移动端：代码混淆不足、root / 越狱检测弱、本地数据明文
- 安全配置错误、端口过度开放、外网暴露面过大
- 架构设计无安全前置、通信协议不安全
四、集团 & 子公司 渗透测试 & 管理职责
- 集团：制定制度、标准、考核指标；统一工具平台；统一攻防演练；重大漏洞督办。
- 子公司：执行扫描、渗透、整改；按时闭环；上报高危漏洞；配合复测。
- 渗透测试要求：年度必做、重大版本必做、新系统上线必做、关基系统季度 / 半年。
五、漏洞检测工具
- 官方漏洞库：CNNVD、CNVD、NVD
- 代码检测：SonarQube（代码质量 + 漏洞）
- 应用安全：IAST 交互式应用安全测试（运行时检测）
- 移动安全：移动应用安全检测平台（加固、漏洞、隐私）
- 扫描类：漏扫、Web 扫描、端口扫描
- 威胁与运营：安全大脑 / SOC（威胁监测、漏洞情报）
- 渗透测试：人工渗透 + 自动化工具组合
六、漏洞分类
- 按危害：致命、高危、中危、低危
- 按位置：系统层、中间件、Web 应用、接口、移动端、网络设备
- 按类型：注入、XSS、越权、文件上传、弱口令、信息泄露、未授权访问、组件漏洞、配置漏洞、加密缺陷
七、漏洞解决方案 & 考核指标
通用解决方案
- 打补丁 / 更新版本
- 代码修复：输入校验、权限控制、会话安全
- 配置加固：关闭不必要服务、最小权限
- WAF / 安全网关临时防护
- 接口加密、签名、验签
- 开源组件治理、版本管控
考核指标（常用）
- 高危漏洞24 小时响应、7 天内修复
- 中危漏洞30 天内闭环
- 漏洞复测通过率
- 重复漏洞发生率
- 渗透测试问题整改率
- 上线前安全检测通过率
八、如何从根源避免漏洞
- 安全左移：需求阶段就做安全设计
- 安全编码：规范、培训、代码审计
- 接口安全：前后端加密、签名验签、限流鉴权
- 系统间通信：安全网关、加密通道、最小信任
- 权限与授权：最小权限、动态授权、身份统一
- 第三方组件：SBOM 清单、定期扫描、禁止高风险版本
- 密钥与敏感数据：统一密钥管理、加密存储、脱敏
- 减少暴露面：非必要不对外开放、端口最小化
- 持续更新：系统 / 组件及时升级
- 监测与响应：安全网关、日志审计、威胁检测