引言：网络弹性法案下的基于风险的漏洞管理
现代团队已经意识到，修复所有漏洞是不可能的。真正重要的是修复正确的漏洞。因此，基于风险的漏洞管理已成为DevSecOps团队的首选方法。然而，在欧盟，这不再仅仅是最佳实践。《网络弹性法案》引入了具体的法律义务，尤其是在软件包含法案中列出的问题时。 CIS已知被利用漏洞目录。
在这种新形势下，漏洞优先级排序从安全选择转变为合规要求。团队必须证明他们了解哪些漏洞正被积极利用，以及如何决定优先修复哪些漏洞。而且，时间不再是抽象的概念： 自2026年9月11日起，CRA对已被积极利用的漏洞和严重事件的报告义务生效。全部主要义务将于 2027 年 12 月生效。无论一个组织目前采用何种优先级模型，都必须在几周内（而不是几个季度内）满足该报告要求。
基于风险的漏洞管理和已知被利用漏洞
基于风险的漏洞管理关注的是实际的风险敞口，而非漏洞本身的严重程度。团队不会将所有 CVE 一视同仁，而是根据漏洞的利用方式、可访问性和影响程度来确定优先级。
已知漏洞利用在这里发挥着核心作用。当一个 CVE 出现在…… CIS已知已利用漏洞目录证实，攻击者已经在实际环境中利用了这些漏洞。这一信号远比理论评分更有说服力。
如果您想更深入地了解 KEV 是什么以及如何识别它们，可以阅读我们之前的文章。 已知已被利用的漏洞：首先应该修复什么在本文中，我们将重点讨论关键电动汽车如何融入《网络韧性法案》下的合规性和优先级模型。
《网络韧性法案》的真正要求是什么？
《网络弹性法案》是欧盟的一项法规，规定了在欧盟销售的含数字元素产品的强制性网络安全义务。该法案要求供应商在产品生命周期内管理漏洞，并避免发布存在已知漏洞且已被利用的软件。根据该法案， 欧盟官方文件制造商必须：
- 在产品生命周期中识别和处理漏洞
- 防止发布存在已知漏洞的软件
- 必须在发现漏洞后 24 小时内报告已积极利用的漏洞和严重事件，这项报告义务将于 2026 年 9 月 11 日生效。
- 保留漏洞处理的证据cis离子
换句话说，一旦漏洞出现， CIS已知已利用漏洞目录，忽视它会造成安全风险和监管风险，而且从 2026 年 9 月起，这种风险还附带一个报告期限。
什么是《网络韧性法案》(CRA)？
此 网络弹性法案 这是一项欧盟法规，它规定了在欧洲销售的软件和数字产品的强制性网络安全要求。它要求供应商在产品生命周期内管理漏洞，并避免发布存在漏洞的软件。 已知被利用的漏洞.
CRA 准备就绪的基于风险的漏洞管理清单
为什么关键事件报告 (KEV) 对社区再投资法案 (CRA) 合规至关重要
此 CIS已知已利用漏洞目录列出了攻击者已经在实际攻击中利用的 CVE 编号。换句话说，它消除了优先级排序中的歧义。
团队现在不应该再问“这是否会被利用？”，而应该问一个更直接的问题：“这是否已经被利用了，而我们仍然要发布它？”
根据《网络弹性法案》，这种区别具有法律意义。因此，关键漏洞事件 (KEV) 成为触发补救服务级别协议 (SLA) 和版本发布限制的最强因素。在此背景下，基于风险的漏洞管理自然符合监管预期。
我们与 SecureHabits.nl 的网络安全架构师 Nariman Aga-Tagiyev 共同举办了一场会议，更深入地探讨了事件报告方面的问题： 24小时申报期限：如何度过加拿大税务局的通知时限它详细介绍了 CRA 要求各组织跟踪的三阶段事件生命周期，从报告问题到调查，再到确认事件，从而启动 24 小时报告窗口。
CVSS、EPSS 和 KEV 的用途各不相同
为了正确确定优先级，团队必须首先了解每个信号实际代表的含义。
- CVSS 显示出潜在影响
- 每股收益 估计剥削的可能性
- CIS已知被利用漏洞目录 证实了这种利用方式已经存在。
单独来看，每个指标都可能产生误导。然而，当团队将它们结合起来使用时，就能获得更清晰的背景信息。因此，将这些信号结合起来，构成了基于风险的有效漏洞管理的基础。
风险导向型漏洞管理实践
在实践中，风险驱动的优先级排序模型遵循清晰且可重复的流程。
- 检测代码和依赖项中的漏洞
- 检查与比赛的匹配情况 CIS已知被利用漏洞目录
- 使用 EPSS 评估漏洞利用的可能性
- 验证应用程序中的可达性或 pipeline
- 根据暴露情况和产品作用应用补救规则
因此，团队不再将漏洞列表视为静态待办事项，而是开始将其视为具体的安全需求。cis离子。
团队目前使用的不同优先级排序模型
并非所有团队都以相同的方式重视风险。 大体在现实环境中，我们看到了三种常见的模型。
1. 严重性优先模型
团队仅根据 CVSS 修复问题。
这种模式易于采用，但会产生噪音，并且不符合《网络安全韧性法案》的要求。
2. 似然驱动模型
团队依靠 EPSS 来预测攻击者接下来可能会利用的漏洞。
这种方法有助于提高专注力。即便如此，它仍然会忽略攻击者已经利用的漏洞。
3. 具备漏洞利用意识的模型
团队将 EPSS 与 CIS已知被利用漏洞目录及技术背景。
相比之下，该模型最能支持基于风险的漏洞管理，并直接对应于 CRA 义务。
Xygeni 如何实施 CRA 就绪优先级排序
西吉尼 帮助团队将规章制度融入日常工作流程。而不是仅仅依赖于 dashboards，Xygeni 强制执行cis离子会精确地定位到代码变更发生的地方。因此，优先级排序变得自动且一致。
我们可以提供：
- 自动关联 CIS已知被利用漏洞目录
- 基于EPSS的漏洞利用可能性评分
- 可达性分析以确认实际暴露情况
- Guardrails 当关键事件影响可达代码时，会阻止合并或发布。
- 通过安全机制实现自动化修复 pull requests
- 完整的审计日志，以证明符合《网络弹性法案》的要求
简而言之，团队不仅能发现风险，还能以可重复、可审计的方式应对风险。
开发人员之间的示例：KEV 阻止发布
假设某个依赖项更新引入了一个 CVE。
- 该漏洞出现在…… CIS已知被利用漏洞目录
- Xygeni 在以下过程中检测到它： pull request
- 可达性分析证实代码路径可以执行。
- Guardrails 自动阻止合并
- 机器人会提出一个安全的升级方案并运行测试。
开发人员在原有工作流程中解决了问题。版本发布符合规范。无需召开会议。
换句话说，这就是基于风险的漏洞管理，它被应用到开发人员已经工作的地方。
为什么这不仅仅关乎合规性？
虽然《网络韧性法案》引发了这一转变，但其益处远不止于此。优先使用关键事件指标 (KEV)、事件感知策略系统 (EPSS) 和上下文信息的团队：
- 减少警报疲劳
- 缩短补救时间
- 避免使用紧急补丁
- 更有信心地交付更安全的软件
总的来说，合规性是正确实施安全措施的自然结果。
结语：加拿大税务局强制推行基于风险的管理
《网络韧性法案》正式确立了安全团队早已通过惨痛教训认识到的道理：并非所有漏洞都同等重要。
此 CIS已知漏洞利用目录定义了攻击者目前使用的漏洞。EPSS 预测他们接下来会使用的漏洞。上下文信息则显示该漏洞是否会影响到您。
它们共同构成了现代基于风险的漏洞管理，并且从 2026 年 9 月 11 日起，它将不再是可选项。那些已经能够回答“这个漏洞是否已被利用，我们是否仍然要发布？”这个问题的团队，将能够轻松应对 CRA 的报告时限。而那些无法回答这个问题的团队，将会体会到 24 小时究竟有多么短暂。
Xygeni 帮助团队持续、自动地应用此模型，并且以开发人员实际接受的方式应用。
