漏洞管理流程生命周期

代码审计

每个月或者每个季度进行一次漏洞检查

黑盒测试

有漏洞

研发人员提供相应的账号密码以及测试环境，测试是否存在漏洞

网络安全部：渗透测试人员通过漏洞扫描、安全测试、日志分析等手段，采集到系统中存在的潜在漏洞

系统运营部：对本次上线的功能点、网站提出安全准入测试工单

研发人员提供完整的程序代码，通过自动化工具或者人工审查的方式，对程序源代码逐条进行检查和分析，发现这些源代码缺陷引发的安全漏洞

提交工单

网络安全部：渗透测试人员在xx系统下载工单，与研发人员确认工单中需要测试的内容无误

漏洞追踪

在线漏洞管理流程

确认工单

对互联网暴露面存在资产进行无差别测试（在渗透测试标准范围内，保证业务正常运行）

系统运营部：标注好测试环境访问方式和连接，明确本次上线的功能点内容，明确测试范围，相关负责人联系方式

提交工单-备注存在xx漏洞，标注危害等级，需进行漏洞修复或者选择测试未通过

网络安全部：对修复后的漏洞进行验证，确保漏洞已经被成功修复，修复效果已达到预期效果。

代码编写

漏洞采集

漏洞修复

漏洞验证

漏洞通报

研发部门：编写代码，构造程序，保证程序可正常运行

网络安全部：渗透测试人员将已经发现的漏洞向相应的负责人或团队进行通报，包括漏洞的详细描述、评估结果、修复建议等

白盒测试

网络安全部：对修复的漏洞进行追踪，确保修复效果持续稳定。

对测试步骤进行截图证明，提交工单备注存在xx漏洞，标注危害等级，需对该漏洞进行整改修复，对涉及危害较大漏洞的业务进行紧急下线

研发部：根据漏洞的评估结果和通报情况，对未通过安全准入的代码进行漏洞修复，制定漏洞修复计划，安排相应的技术人员进行修复，修复后再次提交工单进行复测。

无漏洞

提交工单-备注未发现漏洞或者选择测试通过

安全准入