如何识别并应对软件中的漏洞风险？

漏洞风险

类别	详细描述
定义	漏洞风险是指在利用漏洞发出威胁时，可能面临损失或破坏的风险，这些损失可能包括业务中断、失去隐私、声誉损害、法律问题等，甚至可能导致财务损失和生命丧失。
发展趋势	随着物联网、云服务与移动设备等新设备和应用的不断增多，漏洞数量也在迅速增长，2021年公布的新漏洞共有20175个，比2020年增加了近10%，传统中型企业面对的漏洞数量平均达到20万个，而大型企业的IT安全漏洞数量则可达到数百万。
管理方法	传统漏洞管理已经从“问题即解决”的模式进入到基于合规的“定期评估”结构化管理模式，传统漏洞管理将重点放在高CVSS评分的严重漏洞上，但这种方法与企业受威胁的实际情况脱节。
成熟度模型	漏洞管理成熟度模型分为六个层级（L0～L5），从无管理阶段到商业风险管理阶段，大部分国内企业还处于初级阶段（L0-L2），需要通过建立更科学、更成熟的漏洞管理模式来解决当前问题。
RBVM（基于风险的漏洞管理）	RBVM根据漏洞给组织带来的风险进行检测、修复和控制，它通过自动、持续地识别安全弱点，全面了解攻击面，从而根据风险严重性和业务影响确定补救的优先级，Gartner在2020年的安全与风险管理峰会上将RBVM提上了十大安全项目之一。
漏洞扫描风险	尽管漏洞扫描对于网络安全非常重要，但它本身也会带来一定的风险，如误报、服务中断和信息泄露，在进行漏洞扫描时，需要制定有效的风险评估与处理策略。
黑客技术	黑客技术并不总是高深莫测的，很多黑客技术可以通过购买木马程序来实现，黑客们更多地关注新型漏洞，而较久远的漏洞热度相对较低。
术语解释	风险：一个成功的特定攻击中被列为攻击目标的可能性。威胁：特定类型攻击的来源和手段。漏洞利用：可以攻击成功的系统安全缺陷。