用途
该技能用于构建结构化的漏洞扫描工作流，使用 Nessus、Qualys、OpenVAS 等工具发现、优先级排序并跟踪安全漏洞的修复。
适用场景：
- SOC 团队需要建立或改进周期性漏洞扫描计划
- 扫描结果需要基于资产上下文和威胁情报进行优先级排序，而非仅依赖原始 CVSS 分数
- 漏洞数据必须集成到 SIEM 中，以便与利用尝试进行关联
- 修复跟踪需要通过基于 SLA 的仪表板和报告进行规范化
不适用场景：渗透测试或主动利用——漏洞扫描识别弱点，渗透测试验证可利用性。
主要能力
工作流包含六个步骤：
-
定义扫描范围与调度：创建覆盖所有资产类型的扫描策略。提供 Nessus API 和 Qualys VMDR API 的配置示例，包括凭证设置和调度规则。
-
处理与优先级排序扫描结果：下载结果并应用基于风险的优先级排序。示例代码展示如何导出 Nessus 结果、解析 CSV、结合资产关键性计算风险分数，并检查 CISA KEV（已知被利用漏洞）目录以提升活跃利用漏洞的分数。
-
定义修复 SLA：按优先级、CVSS 范围、资产类型设定修复时限。例如 P1 关键（CVSS 9.0-10.0 + KEV）所有资产 24 小时；P2 高危（7.0-8.9 或 9.0+ 非 KEV）业务关键资产 7 天；P3 中危 30 天；P4 低危 90 天；P5 信息性下一周期。
-
与 SIEM 集成以检测利用：将漏洞扫描数据与 SIEM 告警关联，检测活跃利用。提供 Splunk 查询示例，用于关联漏洞与 IDS/IPS 事件，并在关键资产上检测到 KEV 漏洞时告警。
-
构建修复跟踪仪表板：提供 Splunk 仪表板查询示例，包括按严重性统计未修复漏洞、SLA 合规跟踪、90 天修复趋势。
-
自动化修复工单：为高优先级发现自动创建工单。提供 ServiceNow API 示例，根据风险分数、KEV 状态和资产关键性设置紧急度和影响。
使用方式
该技能以工作流指南形式提供，包含各步骤的代码示例和配置片段。使用时需具备以下前提条件：
- 漏洞扫描器（Tenable Nessus Professional、Qualys VMDR 或 OpenVAS/Greenbone）
- 带关键性分类的资产清单（业务关键、标准、开发）
- 扫描器到所有目标网段的网络访问（基于代理或网络扫描）
- 用于扫描结果摄取和关联的 SIEM 集成
- 用于修复跟踪的补丁管理系统（WSUS、SCCM、Intune）
关键概念
- CVSS：通用漏洞评分系统，标准化的漏洞严重性评级（0-10）
- CISA KEV：已知被利用漏洞目录，CISA 维护的确认活跃利用的漏洞列表
- 凭证扫描：使用认证访问进行漏洞扫描，比仅网络扫描检测更深
- 资产关键性：决定修复优先级的业务影响分类
- 修复 SLA：定义按严重性允许的最长修补时间的服务级别协议
- EPSS：利用预测评分系统，基于机器学习的利用可能性概率分数
工具与系统
- Tenable Nessus / Tenable.io：企业漏洞扫描器，具有 200,000+ 插件检查和合规审计
- Qualys VMDR：基于云的漏洞管理，具有资产发现、优先级排序和补丁集成
- OpenVAS (Greenbone)：开源漏洞扫描器，具有社区维护的漏洞源
- CISA KEV 目录：美国政府维护的活跃利用漏洞列表，要求强制修复
- Rapid7 InsightVM：漏洞管理平台，具有实时仪表板和修复项目跟踪
常见场景
- 零日响应：新 CVE 发布——对受影响软件运行针对性扫描，与 KEV 和漏洞利用数据库交叉引用
- 合规审计准备：生成 PCI DSS 或 HIPAA 漏洞报告，展示扫描覆盖率和修复状态
- 补丁后验证：重新扫描已修补系统以确认漏洞关闭并更新跟踪仪表板
- 网络扩展：新增子网——以适当策略纳入扫描范围
- 第三方风险：扫描面向外部的资产，在集成前验证供应商补丁合规性
输出格式
提供漏洞扫描报告示例，包含扫描日期、范围、持续时间、覆盖率、按严重性分类的发现数量、最高优先级项目、SLA 合规情况和创建的工单数量。
限制
该技能不适用于渗透测试或主动利用。具体工具版本、价格、平台支持等细节暂未提供。