由于第一代漏洞管理工具越来越让用户难以忍受长到看不到头的脆弱资产列表，如何解决漏洞规模庞大的问题就日渐受到了业界关注。

这种警报疲劳促使安全供应商仔细审视基于风险的方法可如何优化漏洞优先级排序和响应。RBVM供应商没有试图搞清怎样更加快速地修复一切，而是通过分清哪些该修复、哪些该忽略来应对漏洞规模问题。

不过，RBVM解决的可不仅仅是规模问题。例如，尽管老旧内部扫描器依然是相当重要的工具，但今天的很多数字资产已经在这些工具的扫描范围之外运行了。同样的，通用漏洞评分系统（CVSS）价值仍具，但如今已仅仅是评估风险和排序优先级时要考虑的诸多数据点之一了。现代RBVM解决方案既利用传统有效工具，也按需引入新的功能来提升成效，比如高级数据分析功能。

RBVM的核心

RVBM解决方案的核心在于更好地了解和评估风险。毫不令人意外，这些产品以提供漏洞风险优先级排位为主要卖点，目标是确定每个漏洞的风险和下一步最佳操作。

这种基于风险的方法还可以带来相关的收益，比如确认哪些操作可以推迟或者完全无视掉。举个例子，可以按照对企业造成的风险来分类软件漏洞：定为低风险的漏洞延迟到时间允许的时候再处理，让安全和IT运营团队能够集中精力解决高风险漏洞。如此，RBVM解决方案既能提升有效性，也能提高效率。

RBVM解决方案旨在利用现有IT基础设施。例如，IT服务管理（ITSM）部署在过去十年间已经变得更为普及，常常支持补丁管理功能。对于RBVM解决方案而言，这意味着与现有解决方案集成通常比提供端到端漏洞管理解决方案更为重要。

因此，市场调研机构Omdia认为，最具影响力的RBVM解决方案不仅会促进风险管理和漏洞管理融合，还可轻松补充和增强新兴及现有企业漏洞管理计划。

RBVM是网络安全新思维的一部分，强调更加主动地应对安全人员面对的问题。RBVM的目标是通过清除高风险漏洞和持续减小企业攻击面来避免安全事件发生。

诚然，旧有漏洞管理的目标也是要主动应对，但RBVM试图提高有效性和效率。RBVM是未来几个月里企业会更多听闻的一个话题。

来源：数世咨询