漏洞管控平台是长亭科技自主研发的自动化、平台化的资产及漏洞管理产品。帮助用户建设以资产安全为核心，数据为驱动的资产和漏洞安全管理平台。平台将用户的检测能力、管理流程、内部数据、外部情报、各环节人员、事务（方法）等资产和漏洞相关的资源整合和管理。体系化解决由于数据分散、能力分散、流程松散、缺少决策、缺少协同而造成的各种碎片化的痛点和问题。构建网络安全核心竞争力，以组织整体的力量去应对实战化、体系化、常态化的网络攻击和监管。

平台共分为八个功能模块：资产管理、漏洞管理、情报中心、检测管理、报告管理、工单管理、配置中心和系统管理。

平台具备从人工录入、文件导入、CMDB同步、终端安全系统同步、漏洞扫描结果、调度资产测绘工具主动探测等六种途径采集资产数据的能力。

从多个来源采集的资产数据，其字段会碰到重复、冲突的情况，为获得完整的资产视图，需要对多源资产数据进行自动化的治理。包括冲突解决、数据字段去重合并等。主要能力包括：资产数据标准化、支持字段来源优先级设置、支持字段锁定、支持查看字段来源历史信息、支持人工选择资产字段值。

在互联网暴露面管理工作中，或者在其它的资产安全管理场景中，需要对不合规的资产进行监测、识别、告警和处理。 平台使用资产白名单功能，对资产的合规性进行管理。对于IP地址来说，不在白名单中的资产地址、端口和应用软件，就视为不合规项目，可自动对两次资产数据进行对比，识别出其中的不合规项，并自动进行报警。

平台可管理漏洞类型覆盖传统IT网络设备、工业互联网、物联网、APP、代码、容器漏洞。漏洞库覆盖CVE、CNNVD、CNVD漏洞条目。

通过平台知识库提供丰富的漏洞知识链条，用户可查看全面的漏洞属性。 平台提供的标准漏洞属性中包含以下六个部分内容：基本属性、生命周期属性、原始检测信息、利用情报信息、网关防御信息、影响产品信息 平台允许用户为漏洞添加自定义属性，满足不同用户管理、分析漏洞的个性化需求。如添加漏洞批次、漏洞单位等。

平台支持人工录入、漏洞模版文件导入、漏洞扫描报告导入、驱动漏洞扫描工具主动扫描进行采集、驱动渗透测试工具主动渗透进行采集等方式采集漏洞数据。

漏洞基础风险值通常采用CVSS分值，CVSS是由FIRST组织维护的全球通用的漏洞评分准则，旨在为IT漏洞评级提供一个开放和标准化的方法。

Gartner在2018年威胁情报报告和2019年RBVM分析报告中指出，有2%-9%的漏洞是利用热度较高的，漏洞管控工作应该围绕这些展开。Tenable在2018年威胁情报报告中通过7个维度分析指出，应该关注3%最有风险的漏洞。因此利用威胁情报关联漏洞进行优先级排序成为当前漏洞优先排序的流行和有效技术。

支持漏洞时间线管理，从漏洞公布时间、不同来源POC公布时间、Snort IPS规则公布时间、资产发现时间、漏洞发现时间、漏洞生命周期状态的跟踪。用户可根据不同漏洞，从不同时间点中提炼考核指标。

平台知识库覆盖融合CVE、CNNVD、CNVD漏洞库，以及与异构漏洞数据的关联规则库，同时接入多源漏洞利用威胁情报源，及网络边界防御、产品厂家等漏洞修复信息源，进行安全数据治理，利用广泛的外部数据和情报为安全运营决策提供支撑。

漏洞库覆盖CVE、CNNVD、CNVD条目。平台漏洞库在此基础上进行漏洞库质量优化和提升，使之符合企业用户的要求。平台具有中国国家漏洞库CNNVD兼容性认证，可每天从CNNVD获取最新最全的漏洞信息。当前漏洞库条目数量超过15万条。 漏洞库同时包含了CVE、CNNVD、CNVD漏洞库条目与当前平台所对接十几个开源、商业漏洞扫描工具漏洞库条目的关联映射关系规则库。使用训练模型不断积累丰富该规则库，平台具备强大的标准化和归一化能力。

情报库验证信息来自互联网常用的漏洞攻击代码共享平台，具备：Metaspoit、Core Impact、Exploit-DB、CXSecurity、Packetstorm五个不同漏洞验证平台的漏洞验证数据和说明信息。为用户提供发现漏洞后快速验证、快速响应的技术能力，用户可根据所发现的漏洞快速检索对应的漏洞攻击和验证方法。

中大型用户网络规模庞大，计算环境和资产类型复杂，管理人员众多。尤其是在新基建融合基础设施的形势下，覆盖所有资产类型的的大规模、自动化全程全网资产和漏洞扫描能力是非常关键的能力之一。 从传统的一年若干次对重要目标的扫描，到解决扫描孤岛后，对全网的周期性扫描，再到采取异构扫描技术的全场景深度扫描，再到场景化、指标化、体系化的扫描，能够使用户掌握真实的、全景的、最新的资产和漏洞态势。

扫描工具和任务调度管理框架帮助用户解决扫描工具、场景管理的诸多问题，满足企业级各种复杂的组合检测需求和场景，使得脱离工具使用，关注业务需求和管理目标，从繁杂的重复性的事务工作中解放出来，消除大规模检测中的对于大量不同品牌工具的学习、配置、响应、运维成本和效率问题。

平台内置与主流的16个开源、商业资产和漏洞扫描工具API接口，只需要在网络可达的情况，用户扫描工具配置地址、用户名和口令，平台即可进行工具的调度和管理。目前支持的工具列表如下，对于不在列表中的工具，可通过定制的方式加入到列表中。

平台具备工单管理功能，高效协同漏洞管理各环节人员，完成漏洞验证、修复、复测闭环管理，实现联防联控。

多源异构资产数据治理，获取全景资产视图；多源异构漏洞数据标准化、归一化处理，全面掌握真实漏洞情况。

清洗原始漏洞数据，快速定位最有风险的10%漏洞。在10%漏洞数据中进行优先级排序，快速控制关键风险，合理有序安排管控工作。

与资产和漏洞数据源广泛的集成性，工具和任务自动调度管理框架，工具和检测能力评价指标集。与用户安全基础设施集成，开展漏洞联防联控。

现状与问题： 某银行信用卡中心应用风险管理贯穿应用的整个生命周期，包括系统的立项、开发、上线、运维、消亡等阶段。其中包括了安全需求评审、项目代码、基础设施、应用等方面漏洞的持续发现和跟踪。以及整个生命周期涉及到的人员的协同。

2.1.2 根据用户实际的状况和需求，基于既有平台，进行部分定制化开发，交付用户一套应用风险日常安全运营平台。实现IT资产数据扩展和同步、业务系统全周期漏洞管理、漏洞工单流转、漏洞状态消息通告、安全指标分析等能力。

2.1.3 通过近2个月的系统建设，成功交付平台并上线。成为用户日常工作的运营支撑平台。