漏洞是指可被利用的弱点。它可能是软件错误、配置错误、设计缺陷或人为习惯。通用漏洞披露 (CVE) 数据库使用唯一标识符跟踪已知的软件缺陷。CVE-2021-44228，即 Log4Shell，是广泛使用的日志库中的一个漏洞。它允许在数百万台服务器上执行远程代码。攻击者在漏洞披露后的几个小时内就利用了它。补丁很快发布，但许多系统却数月未打补丁。

并非所有漏洞都是软件缺陷。使用默认凭据的服务器存在漏洞。设置为公开的云存储桶存在漏洞。重复使用密码的员工存在漏洞。未进行网络分段的网络存在漏洞。漏洞的定义很宽泛，因为攻击面也很广。漏洞使用通用漏洞评分系统 (CVSS) 进行评分。CVSS 根据漏洞的可利用性和影响程度，将严重性评为 0 到 10 分。10 分表示严重，3 分表示轻微。评分有助于确定补丁的优先级。但评分并非全部。隔离系统中的严重漏洞远不如面向互联网的服务器上的中等漏洞重要。优先级取决于具体情况。漏洞本身只是问题的一半，另一半在于是否有人能够利用它。

漏洞来源

• 软件漏洞——允许利用的编码错误
• 配置错误——削弱安全性的设置
• 设计缺陷——架构弱点
• 人为因素——弱密码、不良习惯
• 供应链——第三方组件的脆弱性

漏洞就像没锁的门。威胁就像有人试图打开门把手。风险则是他们进入后会发生什么。