核心观点与关键数据
- 暴露差距现状：分析显示，在所有漏洞警报中，仅有7.8%经过可利用性验证后需要关键或高等级关注，超过90%的警报无需同样紧急的修复关注。这凸显了暴露管理的重要性，其价值在于将庞大的警报群体减少为更小、经过验证的可利用问题集合，使安全团队能够自信地优先处理。
- 行业修复速度：公用事业行业率先实现一小时修复率（30.0%），其次是金融服务行业（23.1%），政府行业（14.3%），医疗保健行业（7.7%）。在四个行业中，组织平均对85.9%的建议修复措施采取了行动。
- 风险暴露趋势：到2026年，漏洞在关键暴露中的占比翻了一番多，从18.7%上升到42.6%，而钓鱼网站暴露则从1.0%增长到10.5%。这表明攻击者在更广阔、更复杂的暴露表面上移动得更快，传统的补丁周期和人工分诊正难以跟上步伐。
暴露类型与行业分布
- 关键风险类型：2026年，漏洞构成了最大类别的关键风险（42.6%），其次是内部信息泄露（33.3%）。网络钓鱼网站（10.5%）、恶意文件（4.6%）和受损访问令牌（1.8%）分别占比较小。
- 行业风险特征：
- 医疗保健：内部信息披露占关键暴露的63.6%，其次是漏洞（17.6%）和恶意文件（10.5%）。
- 金融服务：内部信息披露（42.7%）、恶意文件（27.8%）、受损员工凭证（9%）和漏洞（9%）风险类型分布较为均衡。
- 政府：漏洞成为主要风险类型（56.4%），其次是恶意文件（22.9%）和内部信息泄露（18.7%）。
- 公用事业：漏洞占关键暴露的78.2%，内部信息泄露占13.3%。
优先级排序与修复效能
- 优先级排序：通过持续的安全控制评估和开放花园方法，结合威胁活动、弱点类型、暴露条件、资产关键性和环境中已有的防御控制措施等上下文信息，识别关键暴露。漏洞在2026年成为最大的关键风险类别，但在利用性验证后，只有7.8%的漏洞警报值得重点关注或高关注。
- 修复效能：
- 修复速度：平均利用时间与修复时间显示，随着攻击者利用时间线压缩，组织在风险转化为影响之前，用于验证、分配和修复关键风险的时间更少了。以往可接受的修复基准已无法匹配现代攻击活动的节奏。
- 修复量：金融服务行业每家机构的平均月度修复量最高（10,155），其次是公用事业（2,979）、政府（2,012）和医疗保健（1,546）。
- 修复中值时间：公用事业部门平均修复时间最短（12.6小时），其次是政府（25.4小时）、金融服务（48.5小时）和医疗保健（158.8小时）。
- 一小时内解决关键风险：公用事业（30.0%）、金融服务（23.1%）、政府（14.3%）和医疗保健（7.7%）。
- 修复实施率：金融服务（91.7%）、医疗保健（85.5%）、公用事业（84.0%）和政府（82.5%）。
防御性控制措施
- IOC执行封锁：平均每个组织阻止了452万次攻击。
- IPS和WAF规则：平均每个组织阻止了2,032次攻击。
- 下架服务：通过移除源头处的恶意基础设施来降低曝光率，平均处理时间（MTTR）为12小时，78%的请求在12小时内完成。
研究结论
- 风险管理成为一线运营能力：有效的风险暴露管理成果取决于准确的优先级排序、及时的修复、高修复实施率，以及能够在暴露导致更大安全事件之前降低暴露的能力。
- 行业差异显著：政府和公用事业部门主要受漏洞驱动，而医疗保健、电信、科技与IT以及金融服务则主要受内部信息披露影响。各行业的暴露程度和修复表现差异显著，表明组织风险受暴露类型和响应能力共同影响。
- 暴露管理的重要性：行业正从零散的告警转向真实的上下文和真正的优先事项。通过主动威胁验证、补偿性控制确认以及跨工具的重复数据删除，支持这一转变，以便团队能够专注于真正重要的事情。
