Day 12 漏洞管理與修補大作戰 × SBOM 與供應鏈安全

2025 iThome 鐵人賽

DAY 12

自我挑戰組

17th鐵人賽

25 瀏覽

⚠️ 免責聲明
本文為學習筆記與模擬作業情境，整合公開報導、權威文件與實務經驗供教學與練習使用。非法律或正式調查報告；實際應用時請依組織政策與法規執行。

1) 核心名詞與權威定義

漏洞（Vulnerability）

NIST：系統、產品或服務中可被威脅行為者利用的弱點。
來源：NIST CSRC
漏洞管理（Vulnerability Management）

NIST CSF：涵蓋識別、分析、優先排序、修補與監控之持續流程。
來源：NIST Cybersecurity Framework
CVSS（Common Vulnerability Scoring System）

FIRST：通用漏洞評分框架，現行主流版本 v3.1，v4.0 增加環境與威脅向量。
來源：FIRST
NVD（National Vulnerability Database）

NIST 維護的國家漏洞資料庫，收錄 CVE 與 CVSS 資訊。
來源：NVD
CISA KEV（Known Exploited Vulnerabilities Catalog）

CISA 公布的「已知被利用漏洞」清單，必須優先修補。
來源：CISA KEV
SBOM（Software Bill of Materials）

NIST：軟體成分清單，揭露軟體中的所有開源與第三方元件，利於追蹤漏洞、授權與供應鏈風險。

流程
資產盤點 → 漏掃/偵測 → 去重整合 → 風險評分 → 派工/排程 → 變更治理 → 修補/緩解 → 驗證/監控 → 報表與回饋

角色分工

多因子優先級模型

優先分數 = CVSS Base
         + 3×KEV(是=1)
         + 2×外曝面(是=1)
         + 2×業務關鍵(是=1)
         + 1×已公開 exploit (是=1)
         − 1×已有補償控制

決策表

CVSS（Common Vulnerability Scoring System）
- 國際：由 FIRST 發布的漏洞嚴重度標準，評估漏洞本身的「技術嚴重性」。
- 台灣：資安院、TWCERT/CC、金融業皆以 CVSS 作為漏洞公告與修補優先順序的依據。
- 定位：靜態評分，代表漏洞「有多危險」。
EPSS（Exploit Prediction Scoring System）
- 國際：由 FIRST / EPSS SIG 維護，透過機器學習與威脅情報預測「漏洞在未來 30 天內被利用的機率」。
- 台灣：金融、電信與半導體供應鏈已有業者內部測試導入 EPSS，補強 CVSS 的不足。
- 定位：動態評分，代表漏洞「多快會被打」。

👉 結論：

CVSS：弱掃（Nessus、Qualys、OpenVAS）報表中，標示漏洞嚴重度（Critical/High/Medium/Low）。
EPSS：以「利用機率 %」呈現，用於排序修補優先順序。
協作方式：
- 報表第一層：依 CVSS 分級。
- 報表第二層：在 Critical / High 中，再依 EPSS 機率排序。
- 視覺化：CVSS (Y 軸) × EPSS (X 軸) 四象限圖。

弱掃整合：匯出 CVE 清單 → 呼叫 EPSS API → 建立 CVSS×EPSS 加權表。
優先級矩陣：
- 高 CVSS + 高 EPSS = P0（立即修補）
- 高 CVSS + 低 EPSS = P1（定期修補）
- 低 CVSS + 高 EPSS = P2（監控 + 選擇性修補）
- 低 CVSS + 低 EPSS = P3（季度批次）
儀表板：Grafana/Power BI 以散點圖呈現。
政策建議：將「CVSS ≥ 9.0 或 EPSS > 0.7」列為必修條件。