现实世界攻击威胁正进化，攻击者关注系统和应用程序漏洞，恶意软件利用Active Directory配置缺陷，云配置不当导致数据泄露。企业过去一年至少遭受一次网络攻击导致业务损失，新恶意软件多攻击Active Directory，59%数据泄漏与公有云配置不当有关，高风险漏洞存在时间超过1年。
理解安全风险是基本价值命题，分为风险可视（事前）、防御（事中）和检测与响应（事后）。企业需借助有效评估机制发现所有缺陷，重点关注公有云基础架构、微软AD域和Web应用。
存在问题：企业过度依赖CVSS漏洞修复标准，修复99个漏洞但黑客利用未修复的1个；缺少漏洞修复闭环，传统流程平均修复时间为40天。RBVM（基于风险的漏洞管理）通过度量发现、缓解、评估和优先识别，实现资产可视性和漏洞管理。
漏洞生命周期管理最佳实践：区分资产优先级，分批次周期性扫描，排序漏洞结果，自动提交高优先级漏洞工单，分配责任人修复，UAT环境补丁修复，生产环境补丁修复，修复结果复检。
Web应用安全：63%黑客攻击针对Web应用，43%Web应用存在高危或严重漏洞，开发人员技能短缺。需在开发和生产环境应用DAST（动态应用安全测试），集成CI/CD流水线，结合外部攻击面管理（EASM）实现无死角扫描。
AD安全：需关注实时攻击检测、前期预防加固、攻击路径发现和解决。立即发现并修补CVE漏洞，关注AD配置错误，保护AD环境不受破坏。
云基础架构：云数据泄露事件频发，配置缺陷问题突出，如存储桶双重身份验证、安全组端口开放、数据库加密等。开发速度快导致安全缺陷难发现，需将信息安全从生产前移到开发（shift-left）。
解决方案：通过IaC Security & ConSec、KSPM、ConSec、CSPM、FA和Drift Monitoring，实现代码仓库及CI/CD集成、公有云环境资产可视和实时安全分析、K8s及容器环境安全分析。确保Active Directory安全，解决DevOps开发生命周期安全问题，提供DAST扫描和外部攻击面管理方案。
