performing-endpoint-vulnerability-remediation

执行端点漏洞修复

使用场景

在以下情况下使用本技能：

• 修复扫描器（Nessus、Qualys、Rapid7）发现的漏洞
• 响应需要立即修补的零日 CVE 公告
• 维护补丁管理 SLA 合规性（严重漏洞 14 天内，高危漏洞 30 天内）
• 根据漏洞扫描结果构建优先修复计划

不适用于漏洞扫描本身（使用扫描工具）或应用层漏洞修复（使用 DevSecOps 流程）。

前置条件

• 漏洞扫描结果（CSV/XML 格式的 Nessus、Qualys 或 Rapid7 导出）
• 补丁管理平台（WSUS、SCCM、Intune 或第三方如 Automox）
• 目标端点或部署基础设施的管理员访问权限
• 生产端点补丁的变更管理流程
• 生产推广前补丁验证的测试环境

操作流程

步骤 1：导入并优先处理漏洞发现

优先级评分综合考虑：
1. CVSS 基础分（0-10）
2. EPSS（漏洞利用预测评分系统）- 被利用的概率
3. CISA KEV（已知被利用漏洞）目录成员资格
4. 资产重要性（受影响端点的业务影响）
5. 网络暴露程度（互联网可访问 vs. 内部）

优先级矩阵：
  P1（严重 - 14 天 SLA）：
    - CVSS >= 9.0 或
    - 列入 CISA KEV 或
    - 在野外主动被利用 + CVSS >= 7.0

  P2（高危 - 30 天 SLA）：
    - CVSS 7.0-8.9 且
    - EPSS > 0.5（50% 被利用概率）

  P3（中危 - 60 天 SLA）：
    - CVSS 4.0-6.9 或
    - CVSS 7.0-8.9 且 EPSS < 0.1

  P4（低危 - 90 天 SLA）：
    - CVSS < 4.0 且
    - 无已知利用

步骤 2：确定修复操作

对于每个漏洞，确定适当的修复措施：

修复类型：
1. 补丁：应用供应商安全更新（最常见）
2. 配置变更：修改设置进行缓解（注册表、GPO）
3. 升级：更新到更新版本的软件
4. 变通方案：在补丁不可用时应用临时缓解
5. 补偿控制：网络分段、WAF 规则、EDR 规则
6. 接受风险：记录经 CISO 批准的已接受风险

步骤 3：通过 WSUS/SCCM 部署补丁

# WSUS：批准补丁进行部署
# 1. 打开 WSUS 控制台
# 2. 导航到 更新 → 安全更新
# 3. 为目标计算机组批准所选 KB

# SCCM：创建软件更新组
# 1. 软件库 → 软件更新 → 所有软件更新
# 2. 选择所需 KB → 创建软件更新组
# 3. 在维护窗口内部署到目标集合

# Intune：创建 Windows 更新圈
# 设备 → Windows → 更新圈
# 配置：质量更新延迟 = 0 天（用于严重更新）
# 功能更新延迟 = 按策略

# PowerShell：强制 Windows 更新检查
Install-Module PSWindowsUpdate -Force
Get-WindowsUpdate -KBArticleID "KB5034441" -Install -AcceptAll -AutoReboot

# 验证补丁安装
Get-HotFix -Id "KB5034441"
systeminfo | findstr "KB5034441"

步骤 4：应用基于配置的修复

# 示例：禁用 SMBv1（CVE-2017-0144 - EternalBlue）
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

# 示例：在非打印服务器上禁用打印后台处理程序（CVE-2021-34527 - PrintNightmare）
Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled

# 示例：禁用 LLMNR（凭据窃取缓解）
# 通过 GPO：计算机配置 → 管理模板 → 网络 → DNS 客户端
# 关闭多播名称解析：已启用
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient" `
  -Name EnableMulticast -Value 0 -PropertyType DWORD -Force

# 示例：限制 NTLM 身份验证
# 通过 GPO：安全设置 → 本地策略 → 安全选项
# 网络安全：限制 NTLM：审计/拒绝

步骤 5：处理零日漏洞（无补丁可用）

当供应商补丁尚未发布时：

1. 查看供应商公告中的变通方案
   - Microsoft: https://msrc.microsoft.com/update-guide
   - Adobe: https://helpx.adobe.com/security.html
   - Linux：发行版安全跟踪器

2. 应用临时缓解措施：
   - 禁用有漏洞的功能/服务
   - 为利用尝试部署 EDR 检测规则
   - 应用网络级阻断（WAF/防火墙规则）
   - 限制对有漏洞应用程序的访问

3. 监控补丁发布：
   - 订阅供应商安全邮件列表
   - 监控 CISA KEV 新增条目
   - 为下一个补丁星期二设置日历提醒

4. 记录有到期日期的变通方案

步骤 6：验证修复

# 重新扫描已修复端点以确认漏洞关闭
# 选项 1：有针对性的漏洞扫描
nessuscli scan --target 192.168.1.0/24 --plugin-id 12345

# 选项 2：PowerShell 验证
# 检查特定 KB 是否已安装
$kb = Get-HotFix -Id "KB5034441" -ErrorAction SilentlyContinue
if ($kb) {
    Write-Host "通过：KB5034441 已安装在 $(hostname)" -ForegroundColor Green
} else {
    Write-Host "失败：$(hostname) 上缺少 KB5034441" -ForegroundColor Red
}

# 检查服务是否已禁用
$svc = Get-Service -Name Spooler
if ($svc.StartType -eq 'Disabled') {
    Write-Host "通过：打印后台处理程序已禁用" -ForegroundColor Green
}

# 检查注册表配置
$val = Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" `
  -Name SMB1 -ErrorAction SilentlyContinue
if ($val.SMB1 -eq 0) {
    Write-Host "通过：SMBv1 已禁用" -ForegroundColor Green
}

步骤 7：报告和跟踪

生成修复状态报告：

修复指标：
  - 漏洞总数：X
  - 已修复：Y（Z%）
  - 待处理（SLA 内）：A
  - 逾期（超过 SLA）：B
  - 已接受风险：C
  - 平均修复时间（MTTR）：D 天
  - SLA 合规率：E%

关键概念

术语	定义
CVSS	通用漏洞评分系统；0-10 的漏洞严重性评分
EPSS	漏洞利用预测评分系统；CVE 在 30 天内在野外被利用的概率（0-1）
CISA KEV	CISA 已知被利用漏洞目录；联邦法规要求在规定时间内修补这些 CVE
SLA	基于漏洞严重性的修复时间线服务级别协议
MTTR	平均修复时间；从漏洞发现到确认修复的平均天数
补偿控制	直接修复不可行时的替代安全措施

工具与系统

• Nessus/Tenable.io：漏洞扫描和修复跟踪
• Qualys VMDR：漏洞管理、检测和响应平台
• Rapid7 InsightVM：带实时仪表盘的漏洞评估
• WSUS/SCCM/Intune：Microsoft 补丁部署基础设施
• Automox：面向 Windows、macOS、Linux 的云原生补丁管理
• CISA KEV 目录: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

常见误区

• 未测试直接打补丁：先对测试组应用补丁。某些补丁会导致应用程序兼容性问题或蓝屏。
• 忽略 EPSS 评分：EPSS 0.01 的 CVSS 9.8 漏洞可能比 EPSS 0.95（正在被主动利用）的 CVSS 7.5 漏洞更不紧迫。
• 未验证修复：部署补丁不能保证安装成功。始终重新扫描以确认关闭。
• 将关键服务器排除在补丁之外："无法重启"的服务器会积累严重漏洞。安排维护窗口。
• 平等对待所有 CVE：基于风险的优先级排序（CVSS + EPSS + 资产重要性 + 暴露度）比先修补所有严重漏洞更有效。