漏洞扫描器报告一个已部署到生产环境的应用程序存在严重漏洞。安全团队启动紧急程序，中断开发工作，并匆忙尝试修复代码。这一过于熟悉的场景，说明了网络安全中占主导地位的被动范式——即在发现威胁后才采取行动。然而，面对日益复杂和自动化的攻击，这种方法的局限性日益凸显。真正的转变不在于改进修复工具，而在于根本性的理念转变：在初始设计阶段就考虑安全性，而不是事后附加。
本文探讨了为什么主动的安全设计本质上比被动的漏洞管理更有效。我们将分析以打补丁为中心的传统方法的不足、安全左移（安全内建于设计）的原则，以及这种转变对组织的影响。对于安全和开发专业人员而言，这是一个超越单纯技术优化的战略性问题。
被动方法的固有局限性
传统的漏洞管理依赖于一个检测-优先级排序-修复的循环。工具识别漏洞，像EPSS（漏洞利用预测评分系统）这样的评分有助于确定补丁的优先级，然后团队应用补丁。根据Seemplicity的说法，EPSS旨在帮助团队更好地确定漏洞修复和补救工作的优先级，以便将有限的资源集中在最需要的地方。然而，这种方法存在几个结构性缺陷。
首先，它在本质上总是滞后于威胁。一个漏洞必须先被发现、被分类（通常作为CVE），然后被确定优先级，之后才会采取行动。这种延迟创造了一个可被攻击者利用的暴露窗口。其次，它治标不治本。修复代码中的特定漏洞，并不会质疑允许该漏洞存在的开发流程。正如Apiiro所指出的，真正的变革需要从被动修复转向主动预防，使团队能够在满足业务所需速度的同时，保持软件安全。
最后，这种方法在安全性和敏捷性之间造成了持续的紧张关系。紧急修复会打乱开发周期，引入回归风险，并消耗本可用于结构性改进的资源。Threatintelligence的一项研究强调，大多数公司都拥有防火墙、防病毒软件等安全控制措施，但这通常属于被动而非主动的安全态势。
从打补丁到预防：重新定义安全策略
真正主动的安全并非始于漏洞的发现，而是始于设计具有韧性的系统。这涉及几个根本性的转变。
在设计和架构阶段就集成安全：与其将安全视为事后添加的一层，不如在应用架构设计、技术选择和定义数据流时，将其作为指导原则。这可以减少潜在的攻击面，并最小化设计漏洞。
采用基于风险和暴露的方法：正如XM Cyber所解释的，一种整体性的方法将安全从被动的修复工作转变为针对不断演变的威胁的主动、持续的防御。这意味着不仅要评估技术漏洞，还要评估其潜在的利用环境、它们威胁的关键资产以及可能的攻击向量。Seemplicity还区分了漏洞管理（VM）和暴露管理，后者使组织能够从被动修复转向主动的、基于风险的安全策略。
在开发流水线中推广安全控制的自动化：将静态应用安全测试（SAST）、动态应用安全测试（DAST）和软件成分分析（SCA）直接集成到CI/CD工具中，可以在开发生命周期的早期识别和修复问题，此时修复成本最低。
下表总结了两者之间的关键差异：
| 方面 | 被动方法（打补丁） | 主动方法（安全设计） |
| :--- | :--- | :--- |
| 介入点 | 漏洞发现之后 | 从设计阶段开始，并贯穿整个生命周期 |
| 与开发的关系 | 常常对立，干扰交付 | 集成，促进DevSecOps协作 |
| 主要目标 | 修复已识别的特定漏洞 | 防止引入漏洞并减少攻击面 |
| 对风险的影响 | 降低已知风险，但留下暴露窗口 | 降低系统整体和固有风险 |
| 资源分配 | 集中于事件响应和紧急修复 | 投资于流程改进、培训和预防性控制 |
领导力和文化的关键作用
向主动安全的过渡不仅仅是工具问题；它首先是一个文化和组织挑战。技术领导者，如CTO和CISO，扮演着决定性角色。正如Startleftsecurity所解释的，有效的安全不仅仅是扫描和修复。它要求领导者推动主动的文化和流程改进，而不是被动地应用补丁或政策。
这包括：
- 赋能开发团队：开发人员需要接受安全编码最佳实践的培训，并拥有实时识别问题的工具。安全成为共同责任，而不仅仅是专门团队的负担。
- 与业务目标对齐：从一开始就设计的安全可以成为竞争优势，增强客户信任和服务韧性，而不是被视为创新的障碍。
- 衡量重要指标：除了已修复的漏洞数量，还需要跟踪平均修复时间（MTTR）、自动分析代码的百分比或攻击面的减少等指标。
迈向战略性和持续性的防御
实践的发展正朝着更全面的框架迈进，例如持续威胁暴露管理（CTEM）或基于风险的漏洞管理。INE强调，这可以将漏洞管理从被动的修复工作转变为战略性的安全能力，从而构建有效的分层安全。
最终目标是创建一个组织的数字免疫系统，不仅能够抵御已知攻击，还能适应和学习以应对新威胁。正如Seemplicity提到的，暴露评估平台（EAP）可以通过提供统一的风险视图来支持这一愿景。
结论
主要依赖被动的漏洞打补丁，就像是在与越来越快、越来越有创造力的对手进行一场注定失败的比赛。网络安全的真正进步在于转向主动设计，将安全编织到应用程序和基础设施的结构本身中。
这种转变需要思维模式的改变：从修复漏洞到防止其引入，从安全作为控制功能到安全作为固有属性，从与开发的冲突关系到紧密协作。正如Hive Pro所强调的，工具对于将安全态势从被动转向主动至关重要，但它们必须支持更广泛的战略和文化。
对于组织而言，挑战不再仅仅是保护自己，而是构建能够释放而非限制创新的根本韧性。问题不在于你是否能修复所有漏洞，而在于你能否设计出漏洞根本无处容身的系统。
延伸阅读
- Threatintelligence - 关于主动网络安全及其重要性的文章。
- Startleftsecurity - 分析领导者在超越工具的应用安全评估中的作用。
- Apiiro - 关于检测和预防应用安全漏洞的指南。
- Hivepro - 漏洞管理工具比较。
- Ine - 关于超越打补丁的CVE防御的见解。
- Seemplicity - 关于暴露评估平台（EAP）的指南。
- Xmcyber - CTEM与基于风险的漏洞管理比较。
- Seemplicity - 用于补丁优先级排序的EPSS系统解释。