多年来，不仅漏洞管理发生了巨大变化，企业安全团队发现并不断修补的系统也发生了巨大变化。如今，存在本地系统、物联网设备、公共云和私有云，以及更多自定义应用程序。漏洞管理系统不再只是网络和私人托管的应用程序。现在，他们必须评估所有这些系统、识别漏洞并帮助企业安全团队做出更好的补救决策。我们必须利用这些危险的漏洞。无法利用的系统漏洞并不太危险。了解真正的危险才是最重要的，这样公司才能计划修复哪些漏洞需要立即修复，哪些需要稍后修复。如果有人想利用它们，根据它们的潜在影响对漏洞进行分类也很重要。这包括漏洞利用的潜在严重性，例如擦除整个数据库还是锁定单个用户，以及受影响资源的价值。虽然让面向公众的网站遭到破坏令人尴尬，但您可能更担心机密数据被盗，这可能会导致强制披露违规行为和监管机构罚款。最好的漏洞管理程序应该在扫描的方式中加入参数。一些公司甚至利用AI就适用于发起扫描的组织的合规性标准、法律要求和最佳实践提供自动补救、培训或预防性帮助。由于企业网络中可能潜伏着数以千计的漏洞，因此这是可靠地确定修复优先级和降低风险的唯一方法。以下六款产品至少在漏洞管理的一个方面突破了极限。QualysVMDRQualys是1999年推出的第一个SaaS漏洞管理平台。当时，公司设备连接到公司内部网络，漏洞扫描器评估这些内部网络和少数托管的、面向Internet的应用程序。但它不再那么简单了。我们有本地系统、更多定制软件、云系统、更多开源软件和虚拟化系统。QualysVMDR（漏洞管理检测和响应）作为云服务进行访问。它的小型语音代理、虚拟扫描仪和被动网络扫描功能可以帮助组织查看其资产并识别之前添加到网络中的未知资产。QualysVMDR可以评估本地资产、所有云和端点。收集漏洞数据后，QualysVMDR允许用户搜索特定资产的结果，以深入了解配置、服务操作、网络信息和其他数据，这将有助于降低威胁参与者利用漏洞的风险。其AssetView功能使安全和合规团队能够使用对业务重要的信息不断更新其信息资产。仪表板也可以定制。这往往会扫描许多漏洞，因此必须关注最关键系统上最危险的漏洞，以便安全团队能够以最有效的顺序修复它们。在QualysVMDR识别资产和漏洞并确定其风险优先级后，用户可以在平台内部署补丁。OrcaSecurityOrcaSecurity是一种云安全态势管理(CSPM)工具，用于管理云基础设施服务（例如AWS、Azure和GoogleCloudPlatform）中的漏洞。因为Orca是为云构建的，所以它可以直接在这些环境中运行，这与一些曾经在本地部署并改进为云漏洞管理系统的扫描器不同。Orca的SideScanning技术使用户能够通过提供其凭据来创建其云环境的清单。它收集有关操作系统包、应用程序、库等的数据。对于发现的每个漏洞，系统都会向用户详细说明其与其他资产的关系，以便团队可以确定修复工作的优先顺序。正如人们对高级漏洞管理器的期望一样，Orca将漏洞映射到企业云系统中的漏洞严重性。Orca通过发现云系统和工作负载及其配置和安全设置来做到这一点。但是，Orca可以了解工作负载执行的角色，例如配置它们执行的工作以及启用的权限。除了配置和权限之外，Orca还可以确定连接性并查看哪些网络是公开可用的，哪些不是。利用这些数据，Orca创建了一个可视化视图，试图评估云系统中漏洞的实际风险。Orca漏洞数据库包括来自NIST国家漏洞数据库和20多个其他来源的数据，例如OVAL、漏洞数据库和Debian错误跟踪器。DetectifyDetectify不是像Qualys这样的漏洞管理服务提供商。它类似于所谓的攻击面管理(ASM)。ASM侧重于从攻击者的角度发现漏洞，包括持续发现企业IT资产、面向互联网的系统（如云基础设施）、第三方系统和Web应用程序。它发现系统中的漏洞，然后确定优先级并帮助管理这些漏洞的修复。Detectify成立于2013年，提供外部攻击面管理。虽然Detectify能够发现、评估企业攻击面并确定其优先级，但它还与道德黑客合作，并在短短15分钟内将他们的发现交付给扫描仪。因为Detectify是基于云的，所以不需要安装。只需添加要评估的域，所有关联的子域和应用程序将被持续评估。Detectify将其扫描分为两个服务，SurfaceMonitoring和ApplicationMonitoring。SurfaceMonitoring评估企业面向Internet的资产，并评估其发现的主机是否存在漏洞、配置错误等。Detectify提供补救信息，修复它发现的漏洞，并减少攻击面。另一方面，应用程序扫描持续评估组织的Web应用程序是否存在漏洞，并提供有关如何修复这些漏洞的建议。Detectify评估生产、开发管道和应用程序暂存中的应用程序。Detectify让我感兴趣的是它结合了自动化和众包。通过这种组合，自动扫描检查系统是否存在漏洞，而经验丰富的安全研究专业人员可以自行搜索未发现的漏洞。KennaSecurityVulnerabilityManagement用过漏洞管理工具的人都知道，不同的扫描器往往会识别出不同的漏洞。有些软件在不同的任务上比其他软件稍好一些，例如评估内部网络或云应用程序——了解与所有暴露的漏洞相关的风险可能令人望而生畏。这就是Kenna和Kenna.VM发挥作用的地方。Kenna自己不进行扫描。但它提供连接器程序，允许它从任何漏洞扫描器中提取数据，包括Tripwire、Qualys、McAfee和CheckMarx制作的扫描器。该平台本身被部署为一项服务，客户登录云门户以检查他们的信息并让Kenna了解它所保护的网络。Kenna背后的想法是从扫描器收集许多漏洞警报，并将它们与实时威胁数据进行比较。它可以将发现的漏洞与利用它的活跃威胁活动相关联，并优先考虑快速修复。任何在全球范围内被利用的漏洞都会自动提高优先级，因此防御者可以在攻击者发现并利用它们之前修复最危险的问题。Kenna.VM是最早将实时威胁数据纳入漏洞管理的平台之一。从那时起，该平台已经扩展到包括其他威胁源，包括公司根据其客户网络管理的威胁源。它还增加了对更多漏洞扫描器的支持，现在几乎可以与市场上的每个人一起使用。该平台很好地解释了受保护网络中存在漏洞的原因，并提供了修复漏洞的技巧。它可以根据可能影响的资产和问题的严重性对发现的缺陷进行优先级排序。这是一个出色的功能，但根据活跃的威胁活动确定漏洞的优先级是Kenna平台突出必须首先解决的关键问题的王牌之一。最近，KennaSecurity向Kenna.VM添加了所谓的基于风险的服务级别协议(SLA)。基于风险的SLA提供了基于企业风险承受能力的补救时间框架。企业接受的风险越小，修复漏洞的速度就越快。Kenna基于风险的SLA基于三个因素：风险承受能力、资产优先级和漏洞风险评分（例如高、中或低）。该公司还为CrowdstrikeFalconSpotlight和Twistlock添加了一个连接器。FlexeraSoftwareVulnerabilityManagement许多漏洞管理器专注于公司自行开发的应用程序和代码，而FlexeraSoftwareVulnerabilityManagementPlatform则更多地关注几乎每个企业都用来开展业务的第三方软件程序。在大多数情况下，修复购买或许可软件中的漏洞是通过应用补丁来完成的。对于企业来说，这可能是一件大事，尤其是当他们必须让数千个系统或关键服务离线以应用补丁时。由于当今软件的集成度如此之高，解决一个问题甚至可能会产生其他问题。Flexera软件通过在企业中创建安全的补丁管理流程来帮助解决这个问题。它可以发现第三方软件中的漏洞，并向管理员告知潜在威胁的严重性。向数以千计的用户发布大量补丁来修复小漏洞或修补受保护组织未安装或使用的功能可能没有什么好处。Flexera可以通过提供参数然后在必要时部署补丁来帮助做出决策。您还可以使用Flexera平台，通过在需要时以不影响操作的方式修复漏洞来锚定自动化补丁管理系统。最后，它可以生成关于漏洞和补丁管理以及企业如何遵守相关框架、法律和最佳实践的定制报告。最近，Flexera实现了VulnerabilityManager和VMwareWorkspaceONEUEM（统一端点管理）之间的互操作性。这使客户能够识别、确定优先级并满足第三方补丁部署以关闭软件漏洞。一旦确定漏洞并确定优先级，客户现在可以使用WorkspaceONEUEM将此类补丁部署到他们的托管设备，从而减少漏洞窗口。Tenable.ioTenable以创建安全仪表板而闻名。他们为漏洞管理程序Tenable.io带来了相同的诊断技术。该平台在云端进行管理，因此在受保护企业中的占用空间很小。它结合使用主动扫描代理、被动监控和云连接器来搜索漏洞。Tenable.io然后应用机器学习、数据科学和人工智能来预测在攻击者可以利用它们之前需要进行哪些修复。Tenable.io的最大优势之一是它使用仪表板及其自定义报告以任何人都能理解的方式显示漏洞。无论是开发人员、运营团队成员，还是IT安全人员，他们都可以轻松理解Tenable.io生成的警告。在某种程度上，Tenable.io为不需要专门培训或专业知识的每个人提供漏洞管理。为了扩展其外部攻击面管理能力，Tenable最近收购了ASM提供商BitDiscovery。这使客户可以全面了解内部和外部攻击。
