超越补丁滚动跑步机：暴露管理

1. 问题领域：漏洞疲劳

现代企业正被安全警报淹没。传统的漏洞管理（VM）依赖于扁平列表和电子表格，常导致“CVSS 疲劳”——所有漏洞都被标记为“关键”，但可用于修复的资源有限。

缺乏上下文：在孤立的、空气隔离的服务器上的 CRITICAL 漏洞，被视为与面向互联网的网关上的漏洞同等紧急。
静态评分：CVSS 分数只能告诉你在真空中漏洞有多“糟糕”，但不能说明它对贵公司特定业务有多“危险”。
数据孤岛：基础设施团队、应用安全团队和云架构师使用不同工具，导致无法看清单个库缺陷如何导致“皇冠珠宝”级数据泄露。

2. 解决方案：漏洞优先级排序与暴露管理 (VPEM)

Neo4j 将被动补丁变为主动暴露管理。通过构建安全知识图谱，组织能够将分散的数据源统一为单一可导航的数字资产地图。

The VPEM 方法整合：1. 基础设施数据：计算实例、S3 桶和网络接口。2. 软件供应链：应用程序、库（SBOM）和构建产物。3. 威胁情报：实时信息源，如 CISA KEV（已知被利用的漏洞）。4. 身份与访问（IAM）：决定攻击者进入后实际能做什么的“连接组织”。

3. 图形优势：看到路径，而不仅仅是节点

关系型数据库在深度路径分析上捉襟见肘，Neo4j 则擅长此道。将安全数据建模为图后，安全架构师和 CTO 可获得三大独特优势

3.1. 1. 可达性分析

该易受攻击的库是真正可达的吗？如果一台服务器存在关键 CVE，但没有 PUBLIC_IP，也没有来自外部端点的 RESOLVES_TO 关系，则其即时风险降低。

3.2. 2. 爆炸半径与影响分析

如果攻击者利用了一个 Application，他们能访问什么？通过遍历关系 (:Identity)-[:ASSUMES]→(:IAMPolicy)-[:HAS_ACCESS_TO]→(:CloudService)，Neo4j 能立即识别出漏洞是否为访问敏感个人身份信息或金融数据库提供路径。

3.3. 3. 战略性修复

与其修复 1,000 个孤立的漏洞，图会识别出瓶颈。升级单个 Library 可能会降低整个生产环境中累计最高的风险。

3.4. VPEM 架构

该方案的威力在于其可扩展的架构，将代码与云端相连。

关系业务价值

关系	业务价值
`[:AFFECTS]`	直接将 CVE 与特定产品和供应商关联。
`[:AUTHENTICATES_VIA]`	将应用层与身份连接，暴露横向移动风险。
`[:LISTED_IN]`	将内部缺陷与 CISA KEV 进行交叉引用，以优先处理“已在野外被利用”的威胁。

[:AFFECTS]

直接将 CVE 与特定产品和供应商关联。

[:AUTHENTICATES_VIA]

将应用层与身份连接，暴露横向移动风险。

[:LISTED_IN]

将内部缺陷与 CISA KEV 进行交叉引用，以优先处理“已在野外被利用”的威胁。

4. 下一步：迈向成熟

转向基于图的安全姿态，使组织能够从“补丁全部”转变为“修复关键”。

评估你的 SBOM：首先将软件清单导入 Neo4j。
绘制攻击路径：使用我们的攻击路径分析 (APA) 框架来模拟对手的移动。
自动化修复：将 Neo4j 与 Jira 或 GitHub Actions 集成，仅为拥有经验证的 CAN_REACH 路径指向关键资产的漏洞创建工单。

欲深入了解实现细节，请查看 Cyber-VPEM 仓库中的 loader.ipynb 和 vpem.ipynb notebook。