本文目录导读：
CISP-VM（注册信息安全专业人员-漏洞管理）是中国信息安全测评中心针对漏洞管理方向推出的专业资质认证，其核心围绕一个系统化的漏洞管理框架展开，旨在帮助组织建立全生命周期的漏洞发现、评估、处置与持续改进机制。
基于CISP-VM的知识体系，该漏洞管理框架通常包含以下四大核心阶段和两大支撑体系，形成一个闭环：
框架核心阶段（PDCA循环）
策略与定义阶段（Plan）
- 目标设定：明确漏洞管理的范围（内外网、云、工控等）、风险容忍度及合规要求（如等保2.0）。
- 角色定义：划分安全管理员、系统管理员、开发人员、应急响应团队等权责。
- 流程制定：定义漏洞发现→上报→评估→修复→验证→关闭的标准化流程。
识别与评估阶段（Do - 发现）
- 资产测绘：建立高精度的CMDB（配置管理数据库），识别所有IT资产（IP、应用、中间件、容器等）。
- 漏洞扫描与渗透：使用自动化工具（Nessus、绿盟、AWVS等）结合人工渗透测试，进行周期性及事件驱动型检测。
- 风险评级：基于CVSS（通用漏洞评分系统） 评分、资产重要性（高/中/低）、业务影响（机密性、完整性、可用性）及威胁情报（在野利用情况）进行综合定级。
处置与修复阶段（Do - 响应）
- 优先级排序：
- 关键级别（Critical）：立即修复（如24小时内），由应急响应团队介入。
- 高危级别（High）：计划内紧急修复（如72小时内）。
- 中低级别（Medium/Low）：纳入常规维护周期。
- 修复策略：
- 打补丁：厂商官方补丁（首选）。
- 配置加固：修改默认配置、禁用不必要服务。
- 虚拟补丁：通过WAF、IDS/IPS、RASP等技术实现临时阻断。
- 缓解措施：网络隔离、关闭端口、改变访问权限。
- 工单与追踪：通过工单系统（如Jira、ServiceNow）联动修复责任人和验证人。
验证与度量阶段（Check & Act）
- 复测验证：修复后必须重新扫描或测试，确认漏洞已消除且未引入新风险。
- 指标度量（KPI）：
- MTTR（平均修复时间）：关键漏洞从发现到修复的平均时长。
- 修复率：月度/季度内已修复漏洞与应修复总数的比例。
- 漏报率：扫描后仍被攻击利用或内部渗透发现的新漏洞比例。
- 持续改进：分析漏洞根源（Root Cause）：
- 是系统版本问题？是配置缺失？还是开发流程缺陷？
- 更新漏洞管理策略、资产清单、扫描规则及安全基线。
两大支撑体系
-
威胁情报融合：
- 漏洞管理框架需对接外部威胁情报平台（如CNNVD、CNVD、厂商安全公告、行业ISAC）。
- 主动获取关于0-Day、在野利用、PoC（概念验证代码）的信息，动态调整修复优先级（CVSS 7.0但无在野利用的漏洞，优先级可能低于CVSS 6.0但已被活跃攻击的漏洞）。
-
自动化与平台工具：
- 漏洞管理平台（VMS）：例如Tenable、Qualys、绿盟RSAS、奇安信天眼等，实现资产-扫描-工单-报表的全流程自动化。
- CI/CD集成（DevSecOps）：在开发阶段（IDE、代码仓库、CI管道）嵌入静态/动态安全测试，将左移理念融入框架。
关键区别（CISP-VM vs. 传统扫描）
| 维度 | 传统漏洞扫描 | CISP-VM框架 |
|---|---|---|
| 关注点 | 找到漏洞，出报告 | 管理漏洞，直到消除风险 |
| 决策依据 | CVSS分数 | 资产价值 + 业务影响 + 威胁情报 |
| 修复责任 | 安全部门推动 | 业务/运维主导修复，安全监督验证 |
| 时间维度 | 月度/季度扫描 | 持续监控 + 应急响应 + 回溯分析 |
| 最终目标 | 减少漏洞数量 | 降低组织整体安全风险 |
CISP-VM的核心价值）
CISP-VM的漏洞管理框架并非单纯的技术扫描，而是一个组织级的安全治理流程，它要求学习者掌握：
- 如何根据业务风险而非技术分数给出修复建议。
- 如何在高噪环境中识别最危险的漏洞（一个低危漏洞出现在核心数据库服务器上的风险，可能高于一个高危漏洞出现在临时测试机）。
- 如何与IT运维、开发、测试团队建立协作机制。
如果你正在备考或需要落地这个框架,建议重点理解风险驱动的优先级算法以及漏洞闭环的跨部门沟通流程。
