如何减少应用安全警报疲劳

什么是应用安全警报疲劳（以及为什么情况越来越糟）？

应用安全警报疲劳是指安全和开发团队被海量的安全警报信息淹没，导致其有效应对能力下降的状态。当所有警报都被标记为“严重”时，任何警报都显得不紧急。真正的威胁被淹没在各种噪音之中。

问题的规模相当大。根据…… Cypress Data Defense 发布的《2025 年应用安全状况报告》62%的安全负责人为了赶上截止日期，明知应用程序存在漏洞却仍然将其发布，并非因为他们不知道漏洞的存在，而是因为他们无法及时进行优先级排序并采取行动。 2025年人工智能系统芯片市场格局报告 中型企业的平均警报量为每天 960 条，而大型企业则高达每天 3,000 条以上。 enterprise拥有超过 20,000 名员工。

应用安全尤其加剧了这个问题，原因有三：

工具泛滥。 使用多种独立工具的安全团队之间缺乏共享上下文。您的“关键”问题 SCA 工具，也是你生活中的“关键”因素 IaC 扫描仪都落入同一个积压队列中，彼此之间没有任何关联。根据 Devo 发布的 2025 年“向无警报 SOC 演进”报告83% 的 SOC 专业人员表示，他们被警报数量、误报和缺乏警报上下文所困扰；84% 的组织报告称，分析师在不知不觉中每月多次调查同一事件。

优先考虑 CVSS。 CVSS评分衡量的是漏洞的严重程度，而非被利用的可能性。一个评级为9.8（严重）的CVE漏洞在未来30天内被攻击的可能性几乎为零。如果先于一个已被恶意利用的评级为6.5的CVE漏洞进行修复，会浪费工程时间，并造成一种虚假的进展感。

没有运行时上下文。 如果依赖项是面向互联网的，而不是在内部开发工具中运行的；如果存在漏洞的函数被实际调用，而不是被导入但未使用；或者如果环境中已经存在补偿控制措施，那么依赖项中的漏洞风险就会截然不同。不考虑这些上下文信息的工具会发出相同的“严重”警报。

结果： 高达53%的安全警报是误报根据 2024 年 Devo SOC 性能报告，工程团队学会了忽略噪音，而真正的威胁却悄然溜过。

警觉疲劳的真实代价

警报疲劳并非小麻烦，而是直接导致安全漏洞的途径。

当分析师工作量过大时，他们会发展出一些应对机制：例如，根据工具的严重程度而非实际风险进行优先级排序，将调查结果无限期地推迟到下一个迭代周期，将警报标记为“不予修复”以清理待办事项，或者干脆停止查看队列。同一份 Devo 报告证实，84% 的企业分析师在不知不觉中重复了调查工作，这是工具分散且缺乏关联层的直接后果。

后续影响：

• 证券债务不断累积。 每一个被延迟发现的漏洞都意味着一个始终存在的安全隐患，攻击者会持续对其进行扫描。
• 开发者不信任该工具当安全工具持续发出误报时，开发人员就会停止将检测结果视为可执行的操作。“狼来了”式的安全警报会演变成一种难以逆转的文化问题。
• 平均修复时间增加。 IBM的 2025年数据泄露报告成本 全球数据泄露的平均成本为4.4万美元，较上年下降9%，这主要归功于人工智能推动的更快识别和遏制速度。而那些因警报疲劳而行动迟缓的团队则恰恰错失了这一优势。
• 团队倦怠。 此 2025 年 ISC2 网络安全劳动力研究一项基于全球 16,029 名网络安全专业人员的调查发现，48% 的人因努力跟上威胁和新兴技术的最新发展而感到筋疲力尽，47% 的人表示感到工作量过大。

添加上下文后会发生哪些变化

大多数应用安全程序都失败在同一个环节：检测和优先级排序之间。扫描器会检测到所有问题，但却没有告诉你应该优先修复哪个问题。

这正是 Xygeni 的设计重点所在，也是团队被警报淹没和团队在队列中工作，每个发现都值得采取行动之间的区别。