本文版权为《邮电设计技术》所有，如需转载请联系《邮电设计技术》编辑部
摘要：随着信息技术的不断发展和网络威胁的日益增加，对企业资产的漏洞评估变得至关重要。然而，传统的漏洞评估方法忽视了资产的动态特性和环境上下文，无法准确评估漏洞的优先级和风险。为了解决这一问题，提出了一种基于漏洞优先级技术的综合动态风险评估方案。该框架将资产的静态和动态信息进行综合分析，并结合环境因素和威胁情报，全面评估漏洞的优先级，以帮助企业有效地管理漏洞风险。
关键词：资产动态画像；漏洞优先级；威胁情报；风险管理
doi：10.12045/j.issn.1007-3043.2023.08.013
概述
漏洞风险评估是网络安全领域的一项关键任务，旨在识别和评估系统中存在的漏洞，并确定其威胁程度和修复优先级。随着安全技术的不断发展，出现了多种漏洞评估方法和技术，不过这些技术在实际应用场景存在着不足和缺陷。已有漏洞评估技术虽然可以对系统的漏洞进行挖掘并基于 CVSS等指标对漏洞进行评分和定级，但是对漏洞的潜在威胁和影响程度的评估不够全面和准确，存在误报、漏报以及优先级定级不准确的问题，有时会产生大量的虚警，需要人工二次验证和分析。而安全团队通常需要在有限的时间、人力和财力资源的条件下，将有限资源集中用于修复最紧急的高危漏洞，从而最大程度地降低系统遭受攻击的风险。
基于以上问题，本文利用漏洞优先级技术（VPT），结合已有安全评估技术模型，提出一种适用于实际工作场景的综合动态风险优先级评估方案。
