什麼是風險導向弱點管理 (RBVM)?

儘管認知有所提升，網路威脅仍持續增加，因為網路犯罪分子採用複雜的方法入侵組織。2024 年因網路犯罪、勒索軟體和資料外洩造成的全球損失達到 9.2 兆美元，明顯高於前幾年。隨著威脅增加而資源減少，企業不可能對所有資產套用相同程度的防護，因此需要轉向以風險為基礎的方法。另一方面，以風險為基礎的弱點管理可確保用於處理弱點的資源與工作量，與潛在的業務風險及真實威脅環境相稱，這表示每一項修補程式或控制措施都能發揮最大價值。

在本文中，我們將更深入探討什麼是風險導向弱點管理，以及為何它被視為一種現代的安全方法。從概述風險導向弱點管理方法的原則，到與傳統方法進行比較，我們將說明您如何強化防禦。接著，我們也將討論實作風險導向方法的基本要素、實務問題以及一些重要提示。網路安全中的風險管理方法可協助組織處理其最大的風險，並保護其最有價值的資源。

什麼是風險導向弱點管理 (RBVM)?

以風險為基礎的弱點管理是一種根據每個弱點所帶來的特定風險來管理修補作業與安全控制的方法，而不是依賴嚴重性評級與到期日。它需要以情境為基礎的資料，並考量資產的風險敏感度、遭利用機率以及營運影響。不同於以掃描為基礎、會產生大量修復清單的策略，RBVM 整合了以弱點為基礎的風險評估與即時威脅情報，以識別可能造成災難性後果的缺陷。此方法擺脫了勾選核取方塊式的做法，讓安全與 IT 團隊能專注於會影響業務營運的風險。從長遠來看，這有助於培養安全思維，因為人們理解到並非所有修補程式都同樣關鍵，也不需要投入相同程度的工作量。

為什麼風險導向弱點管理很重要？

根據研究，2019 年至 2023 年間，金融機構中的資料外洩事件增加了超過 330%。這項趨勢顯示，新一代的對手正試圖利用最具價值且脆弱的領域，無論是消費者的個人資訊還是關鍵服務。以風險為基礎的弱點管理可透過引導團隊優先關注最關鍵的問題來因應這些策略。以下是風險導向方法能帶來更佳資安成效的五個原因：

1. 資源配置優先排序: 在當今這個時代，威脅演變迅速，且難以一次解決所有弱點。以風險為基礎的弱點管理方法會根據弱點遭利用的可能性及其業務影響來排定優先順序，這表示資源會投入在真正的威脅上。透過這種方式，組織可以專注於重要且相關的事項，並將時間與資金分配給最需要處理的問題，而不是被瑣碎事項拖累。這種高效率的分級處理方式，對於希望以具體方法管理風險的管理階層而言，具有吸引力。
2. 提升營運持續性: 在未適當考量後果的情況下，針對每個已識別的弱點以臨時修補方式處理，可能會導致系統故障或營運中斷，尤其是在維護時程有限的情況下。基於風險的弱點管理有助於以適當方式安排修補作業，讓只有關鍵弱點會立即進行修補，而其他較不關鍵的弱點則於停機時段處理。這可將因修補而導致故障、進而中斷正常業務營運的可能性降至最低。這也讓團隊能更有效掌控修補週期對使用者與客戶的影響。
3. 更貼近真實威脅: 並非所有這些弱點在現實世界中都以相同程度被利用。攻擊者通常會轉向其他已知弱點，這些弱點可能已有可運作的 exploit，或能帶來高報酬。當組織將以弱點為基礎的風險評估與威脅情報結合時，便能以實際攻擊者行為為依據來處理修補作業。這可確保修補工作依據實際威脅資訊來排定優先順序，同時也會縮短對手可利用的時間。
4. 簡化決策制定: 當弱點掃描回傳數百或數千個潛在問題時，如果團隊沒有明確的優先順序，可能會導致混亂。以風險為基礎的弱點管理可確保建立一致的評分系統，讓所有利害關係人都能以共同的方式判定應優先套用哪些修補程式。這種透明度有助於避免內部對修補程式優先順序設定的爭議，並強化 IT、DevOps 與安全部門之間的協作。明確的目標與風險等級可提供快速且即時的回應。
5. 安全投資報酬: 最終，基於風險的弱點管理流程可協助組織以現有的安全預算達成最佳可能的防護。透過處理可能影響關鍵資源或具有已知弱點的風險，他們能更有效地防止代價高昂的安全性事件。領導者可獲得可衡量的成果，例如高風險缺陷減少或事件發生頻率下降，以證明該計畫的有效性。最終結果是系統更加安全，且成本也更低，這對 IT 部門和董事會而言都是好消息。

風險導向與傳統弱點管理

過去，大多數組織會依固定排程執行弱點掃描，並產出大量修補清單，讓 IT 團隊不堪負荷。這種方法雖然相當直接，但未考量特定弱點是否實際可被利用，或其影響的系統是否屬於關鍵系統。以風險為基礎的弱點管理則透過納入有關資產、威脅與業務優先順序的額外資訊，擴展了此模型。下表呈現這兩種典範之間的一些關鍵差異。

雖然傳統框架可以識別出大量威脅，但也可能讓團隊被大量活動淹沒。以風險為基礎的弱點管理透過將風險資料與掃描資料整合，來合理化弱點管理流程，以識別實際構成威脅的弱點。藉由鎖定最可能被利用的特定風險或可能遭受攻擊的關鍵資產，組織可縮短暴露時間並減輕修補疲勞。從長遠來看，以風險為核心的方法可提升信心並帶來穩定的安全成果。

風險導向弱點管理的關鍵組成要素

有效的風險導向弱點管理需要能夠蒐集資料、進行優先排序，並確保符合修補政策的組成要素。這些要素結合後，形成從偵測到修復驗證的一致且自動化流程。以下介紹五項基本組成要素，應作為任何有效風險導向弱點管理方法的基礎：

1. 資產分類: 並非所有系統或應用程式都具有相同的重要性或相同的影響。根據資產的重要性進行分類——例如客戶資料伺服器、金融交易閘道或開發測試環境——可作為以弱點為基礎的風險評估基礎。關鍵系統會獲得更多關注，且對於系統中發現的弱點會設定嚴格的修復期限。動態資產清冊可讓分類資料即時保持最新狀態。
2. 威脅情報整合: 將威脅情報附加到每個弱點，可指出是否有漏洞利用程式正在野外流傳，或是否有特定駭客組織鎖定該弱點。這些資料對於基於風險的修補程式管理非常有用，因為它可讓團隊優先修補風險最高的問題。即時情報來源也有助於在新的新興弱點或概念驗證漏洞利用程式公開後立即做出回應。若缺乏此類資訊，組織很可能會將資源投入在未遭攻擊者鎖定的領域。
3. 風險評分與指標: 風險導向弱點管理的另一個重要組成要素，是將技術細節轉換為可供決策使用的風險分數之流程。這些可能包括 CVSS 基礎分數、利用成熟度、資產關鍵性，以及業務或聲譽影響。有些安全計畫會建立自己的加權參數，將全域參數微調為符合在地情境。這種評分方式有助於在大型弱點清單中維持一致的優先排序。
4. 協調式修補工作流程: 一旦系統識別出高風險問題，協調流程便會推動其經過修補程式建立、測試與部署。所選用的風險導向弱點管理平台也可能整合排程與提醒相關人員的功能。雖然部分或全面自動化有助於減少人工工作量，但將這些任務與變更控制連結，可在不造成太多干擾的情況下處理緊急問題。
5. 持續監控與回饋: 在修補程式發布後，進一步的掃描或記錄可顯示問題是否已修復，或是否出現新問題。這種持續量測的循環代表風險導向弱點管理循環，可確保識別新的或殘留的風險。在每個循環中，知識都會改善評分與修補方式，並隨時間累積經驗成果。持續回饋可確保整體計畫在準確性與效率方面維持正軌。

風險導向弱點管理如何運作？

有效的弱點管理方法，是持續整合自動化掃描、分析與目標式修補，以維持環境的防護狀態。儘管存在差異，大多數框架都遵循一個將資產資訊、威脅資訊與修復確認串聯起來的循環。以下五項關鍵流程描繪了風險導向流程的一般結構，從弱點識別到結果評估。

1. 自動化探索與評估: 進階掃描器或平台代理程式會持續蒐集軟體版本、連接埠與錯誤組態的資訊。新的弱點會被輸入資料庫，與其相關的威脅細節也會一併記錄。此步驟有助於在地端、雲端與容器化環境中提供端到端涵蓋範圍。自動化掃描也可確保風險態勢持續更新，而無需等待排定的審查。
2. 情境式風險分析: 掃描工具會提供原始資料，這非常重要，但如果未將這些資料置於正確的脈絡中，這些資料就沒有意義。在這裡，該程式會將每個弱點與可用的 exploit、可能暴露的資料，以及系統的重要性等因素連結起來。這使得能夠產出一份已排序優先順序的清單，以回應對弱點的真實風險評估。它也會將合規義務或過往事故資訊納入考量，以進行更準確的評等。
3. 優先順序與行動規劃： 在取得風險分數後，安全團隊現在能夠判斷哪些問題必須盡快處理。高風險弱點通常需要較短的修補週期，尤其是在公開可取得利用程式的情況下。同時，較不重要的任務會被放入佇列，並安排在較晚的時間執行。這種聚焦於重要問題的做法，最能說明為何基於風險的修補程式管理能有效避免將時間花在較不關鍵的缺陷上。
4. 修復執行： 緩解措施可能包括對程式或軟體套用修補程式、修改程式碼，或調整系統的存取權限。基於風險的弱點管理平台經常會與工單系統互動，協調 IT、DevOps 與 QA 之間的修補流程。由於關鍵弱點會優先處理，因此資源能立即聚焦於最嚴重的威脅。此步驟可部分或完全自動化，並可大幅加速流程。
5. 驗證與持續改進： 套用修補程式後，可以再次執行掃描或檢查日誌，以證明風險已被消除。團隊會記錄這些結果，以因應合規稽核，並透過其他因素（例如平均修補時間）監控進度。若任何修補未成功，或安全性問題再次出現，系統會將其標記為需要進一步處理。接著，這些經驗教訓會納入以風險為基礎的弱點管理流程中，並視需要調整風險評分或修補間隔。

基於弱點的風險評估優勢

轉向基於弱點的風險評估，無論在安全成效或組織實務面都帶來許多優勢。當每個缺陷都能追溯到其實際的業務影響時，組織便能更清楚了解應將安全工作與預算聚焦於何處。以下我們將討論五項主要優勢，說明為何基於風險的模型正變得越來越受歡迎：

1. 降低修補負荷： 安全團隊經常因必須處理的大量弱點而不堪負荷。將最重大的風險排定優先順序，有助於避免人員過勞，並確保重要風險不會只是被埋沒在其他風險之下。隨著時間推移，由於最危險的缺陷能更早被發現並移除，整體環境會變得更加安全。這也能減少臆測——團隊不再採取「把所有東西都往牆上丟，看看哪些會黏住」的方法，從而形成更具目標導向的作法。
2. 將入侵影響降至最低： 當組織未能修補嚴重的關鍵弱點時，資料外洩或系統遭入侵的情況經常發生。透過系統性地處理這些最重要的問題，基於風險的方法可降低高風險入侵發生的可能性。這表示即使攻擊者取得較不重要網路的存取權，影響也相對較小。因此，基於風險的弱點管理有助於將事件影響降至最低，並減少財務損失。
3. 與業務一致的安全性： 純技術觀點可能會忽略某些未必具策略性的系統中，可能包含客戶敏感資訊。基於弱點的風險評估可確保各業務單位提供其對資料價值與組織依賴性的看法。此方法可確保所有部門都支持安全決策，因為管理層將安全視為一項業務職能。安全、IT 與高階主管之間的互動也會變得更加自然。
4. 更可預測的修復時程： 當每個問題都被視為關鍵時，結果只有一個——混亂。基於風險的分類讓團隊能更主動地管理修補週期，盡快處理高優先順序問題，同時保留時間處理低優先順序問題。這有助於避免為了趕上任意期限而在最後一刻倉促應對，也為修補程式發布週期帶來一定程度的穩定性。隨著時間推移，這些排程將逐步形成更有組織且更主動的基於風險弱點管理流程。
5. 更清晰的安全指標： 管理者和稽核人員希望看到明確的結果，例如已減少的重大等級弱點數量，而不是修補程式的數量。以風險為基礎的計畫會提供統計資料，說明處理重大弱點所需的時間，或是在特定時間範圍內已修復的高風險項目比例。這不僅有助於監督目的，也能提升內部問責。每個人都了解管理風險而非專注於已交付修補程式數量的成本效益。

基於風險的弱點管理挑戰

需要注意的是，實作基於風險的弱點管理計畫時總會伴隨挑戰。這些挑戰涵蓋從取得即時威脅情報資料，到獲得部分自動化的核准。然而，如果安全團隊了解這些常見陷阱，就能制定計畫並掌握主導權。以下是組織在轉向基於風險方法時可能出現的五個常見問題。

1. 資料過載與雜訊： 蒐集威脅情報、分析日誌檔案，以及累積資產資訊，可能會產生大量原始資料。要從中篩選並識別真正的風險，需要精密的分析。如果系統無法排除誤判，團隊就會被迫把時間花在追逐不重要的弱點上。此外，不完整或過時的資料也可能因其對風險評分的影響，而損害計畫的準確性。
2. 整合至既有工作流程： 某些深植於傳統弱點管理典範的組織，可能會發現難以順利轉換為以風險為基礎的方法。一直採用基於嚴重性的分類處理的組織，需要接受培訓，才能了解新因素如何影響修補程式的優先順序。將工單或專案管理系統整合到以風險為基礎的工作流程中，可能涉及修改、新功能或附加元件。如果變更管理未妥善執行，研究顯示組織很可能只會部分採用變更，或以零散的方式採用。
3. 工具複雜性： 強大的風險導向弱點管理解決方案可能提供精密的分析工具，但可能需要時間來熟悉。如果儀表板或工作流程過於複雜，人們將會避免在日常中使用它，進而降低投資報酬率。因此，員工充分理解已部署的進階評分演算法或政策設定非常重要。簡潔的介面與撰寫良好的文件有助於減輕這些問題，而進階使用者則可運用其他附加功能。
4. 動態環境： 由於敏捷開發、雲端遷移與短暫性容器，環境持續變動。風險管理中的一項主要挑戰，是維持可提供風險分數的準確資產清冊。如果掃描無法跟上這些變化，就會遺漏新的風險。安排與雲端協調器或程式碼管線進行定期整合，對即時追蹤至關重要，但可能涉及大量設定。
5. 利害關係人支持不足： 基於風險的方法必須在整個組織中採用，從 C-level 到 DevOps 工程師皆然。如果領導階層不支持這項變革，那麼新工具或人員發展所需的資金可能無法到位。同樣地，如果開發人員沒有達成共識，修補程式發布可能會放慢。要就基於風險的弱點管理方法取得共識，必須提出一套有說服力的論點，讓所有利害關係人都能接受。

基於風險的弱點管理策略最佳實務

建立有效的基於風險計畫，需要周全規劃的流程與持續強化。因此，雖然每個組織的流程可能不同，但仍有一些可遵循的原則。實作這些最佳實務後，可協助團隊從基於風險的修補程式管理流程中獲得最大效益，並確保穩固的安全態勢。以下是五項已被證實可有效強化基於風險策略的方法：

1. 建立資產管理框架： 為了依影響程度為弱點評分，您需要識別現有資產及其處理的資料。實作自動化探索工具、追蹤資產清冊，並在所有環境中系統性地執行交叉檢查。這項基礎有助於確保基於風險的弱點管理流程具備完整性，也就是不會遺漏任何伺服器或裝置。為確保資訊保持最新，應定期進行資產清冊核對。
2. 納入即時威脅情報來源： 為了判斷被利用的可能性，請連結至涵蓋新興威脅、新發現的零時差利用程式或進行中攻擊活動的最新情報來源。這些工具在將表中的資料與各個弱點進行關聯時，可大幅提升風險評分的準確性。高嚴重性弱點若沒有被利用的證據，可能不會受到太多關注；而中度弱點若經常遭利用，則可能非常關鍵。持續更新可確保敏捷決策。
3. 根據風險等級設定 SLA： 使用風險導向模型的主要優勢在於，修補弱點的時程有明確定義，且能一致地執行。例如，具有 exploit 的重大弱點可能需要在 72 小時內解決，而中度項目則可能需要兩週。這些內部 SLA 為風險導向弱點管理平台提供了一定的結構，並讓團隊能夠視需要追蹤與衡量修補合規性。從長遠來看，嚴格遵循 SLA 可顯示流程在哪些環節出現延遲。
4. 將安全性整合至開發管線： 將掃描與風險評估整合至 DevOps 或持續整合與持續開發流程中。此方法旨在確保程式碼層級的弱點能在開發階段被偵測，並在產品發布到市場之前完成修正。這有助於在生命週期早期建立以風險為基礎的弱點管理方法，從而降低產品已在市場上時還必須回頭重新設計的可能性。這也促進開發人員與安全分析師整合進開發流程中，建立 DevSecOps 文化。
5. 提供高階主管易於理解的報告： 管理者，尤其是位於組織階層頂端的管理者，會定期將預算與資源支出和已衡量的風險進行比較。他們能夠透過著重於降低高風險弱點或加快修補時間的摘要，了解計畫的成效。在呈現資訊時，避免使用技術術語非常重要；使用清楚的圖像和簡單的風險衡量方式會更有效。持續的報告與更新有助於維持對基於風險的弱點管理計畫，以及任何未來新增項目或自動化應用申請的持續支持。

選擇合適的基於風險弱點管理解決方案

對於 弱點管理要成功，重要的是識別一個適合組織規模、複雜性與威脅環境的風險導向弱點管理平台。雖然可以辨識不同工具在支援風險導向方法論方面的差異，但這些差異可能相當細微，並可見於使用者介面與整合可能性等領域。以下是五項考量，可協助您為組織選擇合適的平台：

1. 原生風險評分能力： 不要僅依賴基於 CVSS 的嚴重性等級來識別風險緩解策略。強大的風險模型應考量威脅情報、可用的利用程式，以及資產價值，以得出風險分數。也有一些工具可進行自訂權重設定，甚至與既有資料分析整合。原生風險評分也讓 RBVM 流程較不依賴人工分析，因此證明更有效率。
2. 與既有生態系整合： 您的新平台應可與現有的工單、CI/CD 或組態管理系統無縫整合。開放式 API 或預建連接器可將以風險為基礎的修補程式管理等工作流程中的阻礙降至最低，這表示需要處理的任務會在特定流程中自動產生。如果某個解決方案要求在特定孤島中使用，則其採用可能會受到限制。務必仔細評估整合能力，才能避免未來發生問題。
3. 自動化與協調流程： 最佳的平台是那些提供協調流程能力的平台，能在修補程式任務產生時自動建立，或在新執行個體一經佈建後立即進行掃描。有些平台甚至無需任何人工介入，即可開始部分或完整的修補程式部署。這種自動化可讓人員免於從事低附加價值的活動，並確保高風險弱點能在最短時間內獲得處理。請確保系統具備彈性，可依據風險承受度與處理速度調整自動化程度。
4. 可擴充性與效能： 分布於不同地理位置或擁有數千個端點的組織，需要一套能夠有效處理大量資料且不會延遲的解決方案。評估該工具在壓力情境下的表現，例如有大量文件需要掃描，或有許多使用者正在積極使用該工具時的情況。此外，應選擇可擴充的風險導向弱點管理平台，以便在企業進行合併與收購時，能夠整合新的單位。當基礎具備可擴充性時，即可確保持續一致的涵蓋範圍。
5. 報告與分析： 易於使用的儀表板、臨時查詢與分析元件，可提升以風險為導向方法的成效。這種可視性有助於快速決策，並提供風險趨勢、修補進度或合規狀態的洞察。能為技術人員、其他員工及高階主管產生動態報告的報告工具會更有效。請評估該平台的功能與能力是否符合您的 KPI 或治理需求。

SentinelOne 如何提供協助？

SentinelOne 可以對抗如 零時差, 惡意軟體, 勒索軟體, 網路釣魚, 社交工程，以及其他內部威脅。它可以為您的基礎架構執行內部與外部稽核，並檢查其安全態勢。您可以使用 SentinelOne 執行代理程式型與無代理程式型弱點評估。

您可以保護雲端工作負載、容器、虛擬機器及其他服務。SentinelOne 的 Offensive Security Engine™ 搭配 Verified Exploit Paths™ 可在攻擊發生前進行預測，並描繪攻擊路徑與時間軸。您也可以使用 SentinelOne 評估並處理以 SaaS 為基礎的安全風險、Kubernetes 與 pod 安全風險，以及外部攻擊面風險。

SentinelOne 可以檢查您的合規狀態，並確保其符合 SOC2、PCI-DSS、NIST、CIS Benchmark 等最佳監管框架。

您可以利用從攻擊模擬中獲得的洞察來指派風險分數並分類威脅。SentinelOne 的 Singularity Threat Intelligence™，以及其 Purple AI，可大幅提升您的整體安全態勢。其專利 Storylines™ 技術可重建構件與歷史事件，並協助您預測未來的安全狀況。

預約免費即時示範 以了解更多資訊。

結論

隨著網路犯罪威脅不斷增加，且越來越多弱點被通報，良好的安全態勢勢必需要時間、資金與專業能力。基於風險的弱點管理是一種有效的方法，可依據可能造成的損失來決定修補程式的優先順序，進而協助降低帶來最高風險的威脅。即時威脅情報結合動態資產分類與自動化，可消除弱點雜訊並提供結構化的行動計畫。最終結果是為關鍵流程提供更完善的保護、減輕 IT 人員負擔，並向高階管理層與稽核人員展現更強的安全價值主張。

企業必須注意，實施風險導向方法在掃描與評分方面，以及員工激勵與培訓方面，都需要額外考量。這可透過維持最新的威脅情報來源、準確的資產清冊，或將掃描整合至 DevOps 流程中來達成，以確保形成閉環循環。在整個公司的支持下，風險導向弱點管理成為當代安全防護的關鍵要素，協助企業為威脅持續變化做好準備。如果您正在尋找風險導向的弱點解決方案，您可以試用 SentinelOne 的Singularity™ Cloud Security 平台。若想進一步了解該平台如何依據風險導向方法整合掃描、修補與進階分析，申請免費示範，立即體驗 SentinelOne Singularity™！