关键漏洞应在多长时间内完成修补？

为什么仅有"关键"二字不足以确定优先级

CVSS 评分告诉您一个漏洞在理论上有多严重，但它不会告诉您这个漏洞对您的环境有多危险。一个运行在隔离实验室机器上的库中的 9.8 分漏洞，其紧迫性远不如一个位于每位远程员工都要使用的 VPN 网关上的 7.5 分漏洞。

有效的优先级排序，需要把厂商给出的严重级别与您已经掌握的上下文结合起来：

• 暴露面。受影响系统是否面向互联网，还是只能从受限的内部网段访问？
• 利用情况。是否已有公开的概念验证（PoC）代码，或已确认在野存在活跃利用？
• 资产关键性。该系统是否保存客户数据、承载生产工作负载，或为其他一切系统提供身份认证？
• 补偿性控制。在您测试补丁期间，受影响功能是否已被禁用、置于 WAF 规则之后，或以其他方式得到缓解？

现实的 SLA 分级

大多数成熟的补丁计划最终都会收敛到一种分级模式。具体数字各不相同，但整体形态是一致的：一小类以小时计的紧急情况、一个以天计的关键层级，以及其余所有以周或维护窗口计的项目。

下表展示了一个站得住脚的起步框架。请根据您的人员配置和变更控制的实际情况调整这些数字——一个无人能达到的期限，比一个较慢但大家确实能达成的期限更糟糕。

应急通道：先缓解，后修补

当一个漏洞正被活跃利用、且受影响系统处于暴露状态时，等待完整的回归测试算不上一个计划；同样，凌晨两点把一个未经测试的补丁盲目推到生产环境也不是。应急通道有两个步骤，第一步为您争取完成第二步的时间。

第一步：缓解

• 如果受影响的功能或组件并非必需，将其禁用
• 限制对受影响系统或端口的网络访问
• 应用厂商提供的临时规避方案、WAF 规则或配置变更
• 加强对受影响资产的日志记录与监控

第二步：修补并验证

应用厂商修复，验证其确实生效（版本检查加一次重新扫描，而不是只看部署工具打出的绿色对勾），并确认缓解措施可以安全移除。然后记录完整时间线——它既是您的合规证据，也是下一次事后复盘的输入。

如果您目前的应急流程取决于"恰好是谁读到了那封安全公告邮件"，这就是一个值得弥补的缺口。您的 IT 环境未被全面管理的五个迹象一文中的警示信号，往往最先恰恰出现在这条通道上。

究竟是什么拖慢了补丁速度

组织之所以无法达成补丁 SLA，很少是因为不在乎；他们错过期限，是因为一些可预见的、结构性的原因：

• 没有资产清单。您无法修补尚未发现的资产。未知的影子系统正是老旧漏洞存活最久的地方。
• 害怕破坏生产环境。没有测试环和回滚计划，每个补丁都像一场赌博，于是一再被推迟。
• 手工流程。靠手工应对"补丁星期二"，规模一旦超过几十台机器就难以为继。
• 责任归属缺失。当"所有人"都负责打补丁时，就没有人真正负责。SLA 需要为每一类资产指定具名的负责人。
• 第三方应用。操作系统补丁通常已经解决；浏览器、PDF 阅读器和业务应用才是覆盖范围悄然止步的地方。

上述每一项都有对应的运营层面解法：持续资产发现、基于环的部署、通过端点管理平台实现自动化、明确的责任归属，以及第三方补丁目录。这正是托管式补丁管理服务旨在为您消除的核心问题。

在速度与稳定性之间取得平衡

"立即打补丁"与"不要弄坏任何东西"之间的矛盾是真实存在的，假装它不存在只会损害您在一线执行团队中的信誉。解决办法靠的是结构，而不是意志力：

• 部署环。先试点组，再大范围环，最后其余所有设备。问题会在小范围人群中暴露，而不是在发工资的那天。
• 回滚计划。在部署之前就要知道如何卸载或回退。没有回滚路径的补丁，需要更高的测试门槛。
• 附带到期日的例外。有些系统确实无法按计划打补丁。记录下例外情况、补偿性控制和复审日期——绝不要让它无限期悬置。
• 不同层级不同门槛。紧急层级的补丁接受简化测试并加强监控；标准层级的补丁走完整周期。

如何衡量补丁计划是否奏效

一个从不衡量的补丁 SLA 只是一种愿望，而不是一项控制措施。跟踪一小撮指标并每月复盘：各层级处于 SLA 之内的资产百分比、关键漏洞的平均修补时间、例外数量及其存续时长，以及资产清单的覆盖率。

我们在如何衡量补丁合规性一文中介绍了指标定义、仪表盘设计和汇报节奏。如果您想快速从外部视角了解当前计划的水平，安全态势评分计算器是一个不错的起点。

加快补丁速度的商业论证

补丁速度不是 IT 部门的虚荣指标——它直接缩短了已知弱点可能被用来对付您的时间窗口。攻击者会在漏洞披露后迅速将公开利用代码武器化；一个关键漏洞在暴露系统上每多悬置一天，您就多一天在靠运气而不是靠流程过日子。

当论证以管理层熟悉的语言表述时，它才更能打动他们：

• 保险与合同。网络保险问卷越来越多地询问补丁节奏和修复用时。糟糕的回答会抬高保费或直接失去承保资格——请参阅如何准备网络保险问卷。
• 事件成本的不对称性。一次受控补丁周期的成本是可预测的、有限的；而应对一个针对未修补已知漏洞的入侵事件，其成本两者皆非——而且事后最难解释。
• 审计与合规。有成文 SLA 和实测合规数据，补丁工作就从一句口头承诺变成了证据。
• 员工时间。自动化和托管服务能把不可预测的紧急救火，转化为稳定、可预算的运营成本。

将补丁 SLA 与持续扫描和修复跟踪相结合——即一套正式的漏洞管理计划——就能闭合从"我们已经知晓"到"已修复并验证"之间的环路。