使用生成式 AI 加速大规模 CVE 管理

IBM® 软件站点可靠性工程 (SRE) 组织负责 IBM 软件即服务 (SaaS) 和托管服务平台的可靠性与安全性，该平台兼容 IBM® Cloud、AWS、Microsoft® Azure 和 Google Cloud Platform 等多个云平台。软件 SRE 团队为全球各行各业数百家企业提供各类 SaaS 解决方案。

该平台架构覆盖面广且结构复杂，诸多常见漏洞与风险 (CVE) 均存在关联风险，需要开展风险处置工作。此外团队需要妥善维护数千份应用程序证书，以保障业务稳定运行。

软件 SRE 团队需要确定具体待处置的常见漏洞披露条目，以及需要更新更换的证书，以此保障 IBM SaaS 解决方案的运行性能与使用安全。此前这类工作大多依靠人工完成。IBM SaaS 平台站点可靠性工程师 Marc Velasco 表示，团队每晚需要处理 1,000 至 2,000 条通用漏洞相关信息，数据繁多如同大海捞针，如何筛选出真正需要修复的 CVE 是团队面临的难题。

以往该 SRE 团队和业内许多其他 SRE 团队处理 CVE 问题的方式相近，借助 Palo Alto Prisma Cloud 旗下的 Twistlock 软件统计潜在相关漏洞。负责平台不同板块的各组人员手动分析 CVE 信息，划定各自负责范围的处置优先级与处理方案，同时人工排查并处理组织证书自动化管理系统未覆盖的证书风险。

这类工作耗费大量工时，在 SRE 人力资源有限的情况下，团队一直设法提升工作效率。Velasco 表示：“团队能够投入的 SRE 人员数量有限，如何将海量信息梳理为可执行且划分优先级的内容。”

IBM Concert Protect 就此投入使用。

使用 Concert Protect，软件 SRE 团队可自动执行 CVE 分析和证书清单操作。

团队将 Twistlock 扫描数据录入Concert Protect，系统会生成每条 CVE 的文字概述，并给出切实可行的漏洞处理建议。系统还会生成交互式图谱，直观呈现各条 CVE 与 IBM SaaS 平台各板块的关联情况。

“Concert 会进行交叉引用，并为我们提供上下文信息：这是 CVE，这是与之相关的风险，这是缓解措施，这是它的适用性。这真的很有帮助，“Velasco 说，“我们让所有这些不同的小队在各个孤岛上进行相同的操作，而 Concert 将我们聚集在一起，使我们能够汇总这些信息。”

Velasco 补充说明，团队可使用依托 IBM watsonx™ AI 产品套件打造的 Concert Protect 聊天功能，进一步掌握 CVE 带来的实际风险。充分的风险研判能够帮助团队加快优先级划分，更快处理高危问题。“我们的 SRE 团队如今能够解答以往无法厘清的问题，全面掌握整个组织、整个 IBM 软件体系以及各类团队、技术和应用程序的整体风险状态。借助 Concert Protect，工作人员能够针对单个应用程序，精准定位产生风险的组件与程序包，并判定风险程度。团队能够预判风险在软件开发全周期以及包含运行阶段在内的生产环境中可能造成的各类影响。”

在证书管理工作中，团队依托 Concert Protect 对照托管证书清单核对现有证书，该工具可自动核验未纳入管理的证书，及时提醒团队处理过期及未登记证书。

除此之外，软件 SRE 团队还会运用 Concert Protect 的工作流功能，该功能可对接 JIRA、ServiceNow、Git 等常用工具。该功能能够简化工单分配与管理流程，让风险问题得到更为及时的处置。