高危漏洞持续增长！天融信新一代漏扫系统7大升级聚焦实战化场景

据天融信《2022年网络空间安全漏洞分析研究报告》显示，国家信息安全漏洞共享平台（CNVD）披露的高危漏洞数量仍持续增长。

当前，高危漏洞依旧是网络安全防护的最大威胁之一。信息化的快速发展促使IT环境日益复杂，在传统的漏洞扫描和管理方法基础上，还需综合运用资产梳理、多维度漏洞检测能力、漏洞风险优先级评估、漏洞自动化管理各项能力，才能更全面、更及时、更高效地完成漏洞检测发现及响应处置工作。

1

资产梳理全面性：数字化转型浪潮下，云计算、移动互联网、物联网、工业互联网等技术的发展使各类资产暴露面不断扩大，高效、全面、准确完成资产发现、识别和梳理工作，是进一步完成漏洞检测发现的基础和必要条件。

2

漏洞检测能力多维度：随着数字技术的变更，云计算、物联网等多种新兴业务场景让漏洞检测方式更为复杂，需要将漏洞的概念扩展，纳入包括系统漏洞、Web漏洞、弱口令、不安全配置、敏感信息泄露、容器镜像漏洞、API漏洞等多方面。

3

漏洞风险优先级评估：单一采用CVSS评分标准（通用漏洞评分系统），使超过半数的漏洞识别为中、高危险，无法根据业务情况判断漏洞真实影响，导致漏洞修复工作负荷大，需要建立漏洞修复优先级机制，及时确定关键威胁漏洞，提高修复效率。

4

漏洞检测与响应自动化程度：通常情况下，漏洞处置工作需要人工导出报告，再进行针对性修补，耗费不少人力、物力进行沟通和报告整理，导致漏洞修复周期长，已无法满足实际漏洞管理需要。

  //  

天融信紧跟安全技术发展，深入研究客户脆弱性检测需求，结合各行业漏洞管理的成功实践，全面优化天融信脆弱性扫描与管理系统。新一代漏扫升级动态资产检测、多引擎融合扫描、动态漏洞评分、漏洞情报关联、PoC脚本验证、IAST灰盒扫描、漏洞生命周期管理七大能力，构建静态扫描、动态评估、修复验证的漏洞闭环管理体系。

动态资产管理

资产梳理是漏洞管理的基础。产品支持服务器、网络设备、安全设备和终端电脑等传统的资产识别，同时支持虚拟化资产、云资产、物联网资产等新类型资产的识别，通过资产标签自动归集，为客户提供全面资产识别和动态梳理分析能力。

全面扫描能力

在原有的系统扫描、Web扫描、数据库扫描、基线检查、弱口令等扫描能力基础上，升级镜像扫描、配置审计、API扫描等能力，可以高效、全方位地检测网络中的各类脆弱性风险以及配置合规性状况，同时生成风险分析报告和修补建议，满足不同客户的多样化需求。

聚焦关键风险

结合威胁情报、漏洞信息、资产重要性等上下文信息，产品聚焦业务关键风险，并能随着威胁环境的变化实时更新漏洞风险修复优先级，有助于第一时间识别出最需修复的漏洞。

漏洞风险预警

通过漏洞威胁情报联动，在当新漏洞暴发后，产品可通过静态扫描能力，发现受新漏洞影响的资产，进行资产漏洞预警，协助客户第一时间对受影响资产进行防护，降低被攻击利用的可能性。

专项漏洞检测

内置大量漏洞PoC验证脚本。产品通过构造真实可控的请求报文，对目标进行无害化漏洞验证，具备误报率低、发包量少、检测速度快等特点。同时客户可依据业务场景编写符合自身需求的PoC验证脚本，有效提升漏洞检测水平。

IAST赋能安全左移

提供IAST灰盒扫描功能。产品将漏洞检测无感融入软件开发阶段，从软件内部实时检测应用漏洞，更快更准地暴露漏洞，减少应用发布时的漏洞，提高应用安全性，降低客户安全性风险。

漏洞生命周期管理

从资产梳理、漏洞检测、风险评估、漏洞修复、漏洞验证、处置归档等方面出发，产品建立一整套体系化、流程化、持续化的漏洞管理机制，实现漏洞闭环的集中处置，提高工作效率与漏洞响应处置速度。

作为国内首家成立的网络安全企业，天融信始终以捍卫国家网络空间安全为己任，积极投身网络安全建设，在漏洞挖掘、分析、排查、修复等方面有丰富的实战经验与积累。至今，天融信已连续九年获得国家信息安全漏洞库（CNNVD）技术支撑单位（一级），连续四届获得国家信息安全漏洞共享平台（CNVD）原创漏洞发现突出贡献单位，首批获得信创政务产品安全漏洞专业库（CITIVD）技术支撑单位、工业和信息化部移动互联网APP安全漏洞库（CAPPVD），连续多年荣获CNVD技术组成员单位以及CICSVD、CAPPVD、CITIVD等多个权威国家平台技术支撑单位等荣誉。

2023·TOPSEC

未来，天融信将持续深入开展漏洞生态体系技术研究，依托丰富的实践经验与雄厚技术研发实力，为各行业客户提供全方位的网络安全解决方案，快速提升客户整体网络安全性，为建设网络强国保驾护航。

相关阅读