随着 Anthropic 的 Claude Mythos 和 OpenAI 的 GPT-5.6-Cyber 等前沿人工智能模型的涌现，先进的漏洞发现和快速漏洞利用（exploit）开发技术已被引入整个行业。各大厂商已经面临着前所未有的漏洞披露数量，而企业也正面临着同样严峻的压力，需要对安全问题进行优先级排序和修复。

前沿 AI 模型和 AI 驱动的网络安全技术的引入也发出信号：传统的漏洞管理可能已经走到尽头，必须让位于暴露面管理（Exposure Management）。在暴露面管理中，组织获取并保持对关键资产的可见性，并根据对业务的最大风险来做出修复和缓解决策。暴露面管理超越了单纯的修补漏洞，它需要对整个企业的数字攻击面有全面的理解。

这篇博客将详细介绍围绕 OT 暴露面管理的 5 大挑战，并提出 5 个有助于通过暴露面管理降低风险的解决方案。这些包括：

• 理解 OT 的独特性质与风险

• 降低由遗留技术和协议带来的风险

• 学习如何对暴露面缓解进行优先级排序

• 验证攻击路径

• 构成 OT 安全计划的细节

推进 OT 暴露面管理的迫切需求

暴露面管理是风险管理的关键演进，特别是随着 AI 驱动的网络安全越来越深入地整合到整体 OT 安全计划中。暴露面管理结合了从资产可见性工具、资产清单以及整体资产管理中收集的上下文信息，并为整个安全计划提供决策依据。

这比依赖供应商提供的临界值评分（这些评分并未考虑整体系统上下文和业务结果）的传统漏洞管理方法要全面得多。

暴露面管理涵盖了更广泛的业务风险，这些风险不仅源于软件和固件漏洞，还源于糟糕的访问控制、不安全的系统和网络配置、遗留协议等。当应用虚拟网络隔离等控制措施时，从资产管理功能中获取的上下文至关重要。这些控制措施需要诸如机器对机器通信之类的洞察，而这凸显了攻击者可能采取的一些攻击路径，以此来利用显眼的暴露面。

归根结底，暴露面管理是一种更完整的安全方法，可为更彻底的修复和缓解活动提供依据，并降低整体风险。

OT 暴露面管理的 5 大核心挑战

1. 管理独一无二 OT 资产的高影响风险

由于 OT 资产的独特性质及其运行的关键环境，一旦遭到入侵，它们会带来更高的影响风险。对这些资产的任何干扰或篡改都可能影响关键服务、员工或公众的人身安全。

使风险进一步加剧的是许多资产的遗留属性。鉴于不再为不受支持的资产提供安全和功能更新，未解决的漏洞应被视为“永久日漏洞”（Forever-day Vulnerabilities）。不安全的配置、未修补的已知被利用漏洞（KEV）、不安全的远程访问以及系统过度特权访问，都是危及组织财务健康、合规工作和可保性的关键暴露面。

2. 消除 OT 资产和协议的可见性盲区

通过缺乏基本安全功能的遗留协议进行通信也会使组织面临风险，因为为了避免可能扰乱 OT 流程或造成人身伤害的系统性变更，这些协议通常被刻意保留。

鉴于其专有性质，现有的企业安全监控和可见性解决方案可能对这些协议完全盲目。Claroty 于 2025 年 11 月发布的研究与 CPS 库的推出同步，该研究发现，目前 88% 的 OT 资产不传输确切的产品代码，76% 的资产传输的产品名称与供应商的官方记录不同。

这使得安全团队难以确凿地了解其环境中的资产是否完整，从而可能导致漏洞与单个资产的关联不完整，产生盲区、延长对攻击的暴露时间并导致修复不完全。

3. 应对压倒性海量漏洞的优先级排序

自从 Anthropic 在 4 月份宣布 Claude Mythos 预览版和 Project Glasswing 以来，微软在其月度安全更新中已发布了 1,300 多个 CVE，其中 7 月份 570 个，8 月份 421 个。Mythos 发布后的披露激增并不限于微软；Adobe、Cisco 以及参与 Project Glasswing 的其他厂商也在各产品线中报告了创纪录的新 CVE 数量。

虽然发现可利用的软件漏洞对企业总体来说是一件好事，但这些公司现在肩负着管理这股披露浪潮、根据业务结果对其进行优先级排序、测试补丁并将其部署到受影响系统的任务。鉴于数量庞大，合乎逻辑的是，某些系统可能会暴露并处于漏洞状态更长时间。

白宫最近宣布的“金鹰”（Gold Eagle）漏洞信息交换中心承诺，将利用前沿 AI 模型的能力来查找、验证关键安全问题的修复方案并提出建议。查找软件和 firmware 漏洞对研究人员和厂商来说从来都不是问题。然而，开发一套大规模修复漏洞并消除各类漏洞的流程，依然是一个存在了几十年的挑战。

严重依赖 OT 资产的关键基础设施组织不能为了更新医疗系统或设备而简单地关闭生产线或关键患者护理系统。在停机基本不可接受的环境中，以空前规模识别漏洞给工程师和资产操作员带来了更大的压力，在可预见的未来，缓解措施仍将采取补偿性控制的形式。

这使得采用暴露面管理方法来防御关键系统和资产变得更加重要。此类策略的关键在于依赖能够为评估带来上下文信息的系统，这些系统可确定资产被利用的可能性、一旦受损带来的业务影响，以及针对补偿性控制的建议。

4. 验证 OT 环境中攻击路径的复杂性

在 OT 环境中对机器对机器通信有上下文理解，对于洞察攻击者如何定位关键资产并在发生入侵时实现横向移动至关重要。

映射攻击路径需要对网络连接和流程依赖性有可见性。完整的资产管理至关重要，它不仅要列出每个联网设备，还要识别数字系统与物理系统之间的数据流，并了解各方之间的信任关系。资产 inventories 必须经过组织、定期更新、物理验证，并与特定于 OT 的分类法相绑定，才能做到准确或可辩护。

只有这样，资产清单才能超越单纯的资产目录，转而成为支持风险管理计划的资源。诸如不受支持的操作系统、生命周期结束（EOL）资产和遗留协议等暴露面，都是会增加风险的依赖项。

它们每一个反过来都可能成为将 OT 资产置于风险之中的有效攻击路径。至关重要的是，组织必须运行阐明这些攻击路径的攻击模拟，并频繁测试控制措施，以防止攻击者从企业网络跨越到 OT 资产。对这些验证的评估必须识别出产生最具风险暴露面的攻击路径，同时还要突出显示可用於通过更新防火墙规则或手动 OT 安全系统覆盖来打断攻击的咽喉要道（Chokepoints）。

5. 动员统一的 OT 网络安全计划

全面动员 OT 网络安全计划需要将安全集成到现有的网络安全工作流中、建立 OEM 联盟以支持现场修复路径、考虑停机和维护因素，以及提供计划建议和支持以随时间证明网络安全计划的价值。

凸显这一挑战的事实是：关键基础设施领域中超过 95% 的 CISO 目前或即将不仅负责保护其组织的 IT 环境，还要负责保护其 OT 环境。

诸如 Claroty xDome 等专为特定用途构建的安全平台可提供自动化建议和详细报告，以全面动员您的整体网络安全计划。功能包括：

• 推荐行动：Claroty xDome 提供采用各种方法的设备建议，包括以资产为中心的加固和修补，或网络补偿性控制。

• 报告：除了优先排序和执行修复策略外，Claroty xDome 还提供报告和仪表板，以审查安全态势的有效性和改进情况。

• 技术联盟与集成：我们行业领先的技术联盟计划为客户提供跨网络安全和资产管理平台的强大产品组合，以简化修复流程。

暴露面管理的策略旨在进一步赋能用户，使其了解自身的 OT 网络安全弱点、更好地分配现有资源，并加速其 OT 网络安全计划。