漏洞无效化治理解决方案 —— 面对漏洞，传统思路只有一条路：发现、然后修复。但当资产台账说不清、老旧系统打不了补丁、业务连续性又容不得停机时，「修复」这条路往往走不通。本方案换个思路：以「平台 + 服务」的方式把漏洞治理做成闭环 —— 先摸清家底，再精准发现风险，最后通过策略下发与旁路阻断让漏洞探测不到、利用不了，实现漏洞无效化治理，达到漏洞不修复也能缓解漏洞风险的效果。

一、方案概述

新技术以及新的威胁总是在不断演进和更迭，漏洞管理需要持续迭代和优化。本方案通过「平台 + 服务」的能力增强业务安全环境的整体可见性，实现漏洞智能化的及时发现与高效治理，把漏洞风险治理从「反复扫、反复催、反复修」升级为「看得清、发现全、治得住」的持续运营能力。

二、合规与安全双重驱动：漏洞治理为什么必须做

漏洞正在同时加剧合规风险与业务风险，治理压力来自四个方向。

三、漏洞风险治理的四大难点

现实中漏洞治不动，往往不是态度问题，而是这四个结构性难题。

四、治理思路：平台 + 服务，闭环持续运营

围绕「解决哪些问题」，把治理拆成三个连续阶段，每个阶段都有明确的产出与收口动作。

五、治理趋势：从漏洞管理走向基于风险的漏洞管理（RBVM）

Gartner 指出：在过去的 10 年里，「0 日（0 Day）」漏洞攻击占比仅为所有漏洞的 0.4%，很少有客户被入侵是因为零日漏洞，99% 的被利用漏洞仍为已知漏洞。

这意味着治理的重点不在于追逐未知漏洞，而在于把已知漏洞真正管住。基于风险的漏洞管理（RBVM）通过基于风险的方法，可以专注于最重要的漏洞和资产，解决组织的真正业务风险，而不是将宝贵的时间浪费在攻击者不太可能利用的漏洞上。

治理取向
把「漏洞数量」的焦虑，换成「风险是否真实可利用」的判断 —— 先看哪些漏洞真的能被打，再决定是修、还是让它无效化。

六、核心能力一：资产发现（摸清家底）

持续帮助用户发现全部资产，动态更新资产持续变化，进行有效的监管和保护，避免潜在的安全隐患。

内部资产

• 主被动资产发现：主动探测与流量特征分析相结合，发现僵尸 / 影子资产
• 基于主动探测和流量特征的指纹分析提取
• 全量发现应用资产，包括 IP、端口、数据库、服务等
• 识别网络中出现的所有未报备资产，提前发现可能存在的安全隐患

外部资产

• 外部暴露面测绘：识别互联网资产，包括域名、IP、Web 网站、应用服务等
• 多维度资产分析：基于端口、组件、服务、归属地等关键要素进行周期变化监控
• 外部测绘结果同步至本地，形成内外一致的资产台账

七、核心能力二：风险检测（全面且精准的漏洞发现）

通过多方式实现更全面、更精准的风险发现。常规性的平台风险发现能力 + 服务性的风险发现能力，对用户业务网络设备及应用服务可用性、安全性与合规性等进行按需的安全扫描、持续性风险预警和漏洞检测，发现用户真正业务安全风险。

八、核心能力三：风险分析中心（风险重定义与策略生成）

结合流量、资产、漏洞等信息，通过平台分析中心持续性地监控且分析，实现全网拓扑风险关联分析；风险的动态变化，所匹配的防御机制也应动态变化。

风险关联分析

结合自研 AI 模型算法，分析网络环境中潜在漏洞的状态和网络中的具体位置（如资产重要性、网络拓扑结构），从而精确计算出全网拓扑风险关联。

风险重定义（DRES 动态评分）

基于漏洞风险数据，结合漏洞情报、资产权重、暴露面、现状防御体系、影响范围等，计算最终的风险分数，并根据实时情报动态调整漏洞的预估等级。

九、核心能力四：风险缓解（南北向阻断 + 东西向收敛）

这是「漏洞无效化」落地的地方：从南北向与东西向两个方向同时收口，让漏洞既探测不到，也利用不了。

9.1 南北向漏洞风险缓解

旁路部署，收集核心交换机镜像流量；对接边界及区域防火墙，平台智能生成漏洞的最优策略。

• 漏洞探测行为无效化 —— 让攻击者扫描不到资产漏洞
• 漏洞利用行为无效化 —— 让攻击者即使知道漏洞也无法利用
• 漏洞暴露端口封堵 —— 收敛非必要开放的端口

9.2 东西向访问关系收敛

东西向访问关系收敛，支持主流操作系统。注：容器环境暂不支持。

十、核心能力五：业务安全网关模块

通过旁路部署代理网关，实现地址映射，联动 F-Sea 实现 80、443 端口下证书过期、弱加密等漏洞风险的闭环。

部署模式

• 直接使用内网 IP：分配内网 IP 并设置映射到外网 IP，确保内网业务可以正常与内网 IP 通信，同时外部网络也能访问映射的外网 IP
• 直接使用外网 IP：在设备上直接配置外网 IP，确保外网 IP 能与内网业务正常通信
• 端口开放：对外只开放 80、443，内网开放 80、443 与 4000（管理端口）

十一、核心能力六：风险视图与持续运营

治理成果必须看得见、跟得住，平台以五个视图支撑日常运营。

十二、治理效果：从 1,614 个高危漏洞到 0

第三方扫描工具治理前后对比：

通过漏洞无效化策略阻断漏洞扫描及攻击行为，使攻击者无法发现资产漏洞，且无法攻击漏洞；阻断功能达到漏洞不修复也能缓解漏洞风险的作用 —— 无补丁、高业务连续性要求的漏洞无需再进行漏洞修复。

十三、典型实践

13.1 某部委单位：统一资产台账 + 漏洞治理

现状问题：缺乏统一资产台账，各部门信息资产割裂，影子资产、僵尸资产不清晰；新增资产无法快速掌握，资产总是统计不全；漏洞发现周期长，新增漏洞总被监管单位先检查到；漏洞风险应对不及时。

13.2 某事业单位：漏洞无效化缓解实战

现状问题：漏洞发现手段不足，无漏洞扫描器；漏洞发现周期长，新增漏洞无法及时发现；老旧业务系统多，部分漏洞无补丁修复；业务系统连续性要求高，无法停止业务进行漏洞修复，且业务、组件依赖复杂，修复漏洞有业务瘫痪风险；监管压力大，监管单位经常来检查；重保活动压力大，漏洞经常被突破。

十四、东方华展交付与服务

本方案由北京东方华展经贸有限公司提供全程交付：包括资产梳理与治理范围界定、平台部署与探针下发、边界与主机防火墙策略对接、漏洞降噪去重与风险定级调优、POC 试点验证，以及后续持续的运营支持与策略迭代。

十五、关于东方华展

北京东方华展经贸有限公司成立于 2007 年，是专业的 IT 综合解决方案服务商，业务覆盖咨询规划、产品集成、项目实施、运维外包与数据安全五大领域，长期服务于金融、政府、交通、能源、航空航天等行业客户，以「您身边的 IT 专家」为定位，为客户提供一站式 IT 服务。