上周和做电商技术负责人的老陈吃夜宵，他攥着冰可乐的手还在抖。三天前离年中大促满打满算剩72小时，安全组扫出个能直接拿生产服务器权限的log4j变种漏洞，整个组关了办公区的灯熬了两个通宵，换配置、测兼容性、逐台服务器打补丁，差一点就把预热了半个月的活动给搞黄。
他说这已经是今年第三次了。每次都是出了紧急漏洞，全公司跟着鸡飞狗跳，平时的漏洞管理？哦，就是每年两次的渗透测试，扫出来的洞列个Excel发进部门群，然后就再也没人提了。
那些把漏洞管理做成年度KPI的团队都栽在哪了
说实话，我见过太多这样的团队。上次去长三角一家做工业设备的企业交流，安全部的同事抱出来半人高的漏洞台账打印件，每一页都有签字，看起来流程做的比谁都规范。结果我随手点了下他们对外的设备管理平台，Struts2的远程代码执行漏洞从2021年留到了现在。
为啥不修？
太简单了。业务部门说，这个平台连着生产线的设备数据，改任何配置都可能导致生产线停机，一次停线损失就是几十万，谁担这个责任？安全部说我只负责把漏洞找出来，修不修是业务的事。两边就这么僵着，洞就一直留在那，台账上的签字签了一轮又一轮，洞还是那个洞。
你想啊，漏洞从来不是安全部门一个人的事。要是你把所有的修洞压力都甩给业务部门，人家当然有一万个理由拖着。毕竟对业务来说，跑通流程、完成营收目标才是第一优先级，你一个看不见摸不着的漏洞，在他们那根本排不上号。
别拿扫描器的输出当漏洞管理的全部
还有个更普遍的误区，很多团队觉得，我买了最贵的漏扫工具，每天定时全量扫一遍，出了报告就算把漏洞管理做完了。
真不是。
上次帮个朋友的团队做流程梳理，他们的漏扫报告上列了120多个高危漏洞，结果挨个核对下来，快一半是误报。要么是中间件版本虽然在漏洞影响范围里，但是人家早就通过配置把漏洞利用的路径给堵死了；要么是扫描器扫到的测试环境IP，根本没对外开端口。要是按报告上的要求全修一遍，开发和运维能连续加一个月的班，最后啥实际风险都没降。
更关键的是，漏扫工具从出生那天起，就决定了它扫不到业务逻辑层面的洞。你个电商的退款接口，随便改个用户ID就能把别人的订单申请退款；你个在线文档的分享链接，改个参数就能看到所有人的私密内容——这种洞，工具扫不出来。老陈上次差点搞砸大促的那个洞，其实就是漏扫没报出来，做渗透测试的小哥随便点了几下新人的账号，发现不用实名认证就能申请最高额度的售后补贴，真等黑产发现了刷一波，损失的数字根本不敢想。毕竟工具是死的，业务是活的对吧。
落地的小事根本不需要什么复杂的流程
我见过真正把漏洞管理做顺的团队，没有一个是靠几十万的平台、几十页的管理制度撑起来的。
人家做的事特别简单。
把漏洞分个级，别什么洞都按最高优先级要求。那种公网能直接被利用、打进来就能拿核心数据的，别等什么季度整改，24小时内先给个临时处置方案——哪怕先把端口封了，后面再慢慢补正式补丁。那种影响范围只在内部测试环境、根本碰不到核心数据的，排个期半个月内修完就行，别天天追着开发屁股后面催。
别让业务部门背锅。你安全部门天天要求人家改代码、打补丁，总得给个兜底的说法吧？修之前把回滚方案写好，出问题10分钟内能切回原来的配置，谁还会拦着你修？老陈他们后来改了规则，所有涉及生产环境的漏洞修复，安全组的人全程在场陪着测，出问题第一时间回滚，业务部门再也没找过借口拖进度。
别攒着一堆漏洞到月底再一起清。每天站会花5分钟，说下昨天新扫出来的高危洞，谁跟进，预计多久能弄完，就这点时间，比你开两个小时的跨部门协调会有用多了。哦对，还有个容易被忽略的细节，每周抽10%已经修完的漏洞重新验证一遍——我之前遇见过个运维做系统升级，直接把打了补丁的服务器还原成初始镜像，那个留了三个月的高危洞直接又露了出来，要是没人回头查，指不定哪天就被人打进来了。
真的，没那么复杂。