而且，漏洞管理是一个听起来有些宽泛的词语，其内含包括了发现和管理漏洞的整个过程。属于这个范畴的一个词或一类方案就是“漏洞评估”。当然，漏洞评估是全面的漏洞管理项目的一个关键组件，但漏洞评估方案并不能解决一切问题。这类方案一般处理的是监视、发现、报告与漏洞管理有关的过程。但是，为了正确地响应和修复安全问题，你仍需要一个更全面的项目。
虽然多数企业认识到虚拟机项目的重要性，但是这些企业并没有通过解决漏洞而构建起能够减轻风险的强健项目。其中的一些限制条件与企业缺乏基本的要素有关，如资产管理、工作流管理、修复跟踪系统等。
优秀的漏洞管理方案是怎样炼成的
在选择漏洞管理或漏洞评估方案时，你应重视的基本特性包括能够查找缺失补丁、错误、系统配置缺陷、总体上偏离策略的大程度等方面的能力。一款好的漏洞管理产品还包括报告功能，对于企业来说，这尤其重要。发现漏洞此时未必是最大的痛点，而是应对企业正在发现的漏洞的数量。报告功能以及与求助系统和补丁管理系统的集成能力是企业应关注的问题。
如果贵公司在一个高度合规的行业中运营，你还要确保漏洞管理平台支持有关必要的规范。事实上，很多政府和行业规范都要求强健的漏洞管理实践，这意味着企业别无选择，而只能部署一套强健的系统，这不仅仅是为了防止网络攻击，更是为了保证合规。
如果你的漏洞管理过程和方案与SIEM(信息安全和事件管理)能够集成也是很有益的，其中后者往往充当公司全面安全方法的基础。在检测到漏洞或配置问题后，理想情况下就应将这些信息提供给SIEM工具，与来自其它源头(如防火墙和入侵防御系统)的信息实现关联。换句话说，你要保证漏洞管理方案与尽可能多的不同安全工具共享信息，以便于从每一个可能的角度保护网络。
以此观念为基础，适当的漏洞管理方案的另一个基本要求就是它要与CVE(常见漏洞及披露)的数据库相集成，后者可以给企业提供一些常见的软件漏洞的一个清单。这可以确保你的监视和扫描方案能够查找最新的潜在威胁。为使集成更强健，将威胁情报方案添加到总体防御中是很关键的，这可以使企业更容易获得实时的零日漏洞利用信息，在补丁可用之前这是很可行的。
小编推荐阅读
