漏洞扫描的数学基础：图论在漏洞关联分析中的应用

漏洞关联分析作为下一代漏洞管理的核心技术，旨在挖掘漏洞之间、漏洞与资产之间的内在关联，还原真实攻击路径，实现精准的风险优先级排序。而图论作为研究实体与关系的数学分支，为漏洞关联分析提供了坚实的数学基础。本文将系统阐述图论在漏洞关联分析中的建模方法、核心算法应用与工程落地路径，揭示漏洞扫描背后的数学逻辑。

一、漏洞关联分析的问题本质与图论适配性

1. 传统漏洞扫描的核心局限
传统漏洞扫描的工作范式是“探测-匹配-评分”：通过端口扫描、版本识别获取资产信息，与漏洞库规则匹配，输出单点漏洞的CVSS评分。这种模式存在三个核心缺陷：

• 风险评估失真。单一漏洞的CVSS评分仅反映其本身的技术危害，未考虑场景化的组合效应。例如，两个CVSS 4.0的低危漏洞（目录遍历+本地权限提升）在同一主机上组合，可实现远程代码执行，整体风险远超单个高危漏洞。
• 修复效率低下。企业通常按CVSS评分从高到低修复，缺乏全局视角，往往修复了大量非关键路径上的高危漏洞，而攻击者可通过低危漏洞的组合绕过防线，导致修复投入与安全收益不成正比。
• 攻击面认知缺失。传统扫描无法刻画跨资产、跨网段的漏洞利用链路，难以评估横向移动风险，无法识别核心资产的暴露路径。

2.  漏洞关联分析的核心内涵
漏洞关联分析的本质是在“漏洞-组件-资产-网络”的多维空间中，挖掘实体间的依赖与利用关系，还原攻击行为的可达性与危害性。其核心关联维度包括三类：

• 利用逻辑关联：漏洞之间的前置-后置关系，即利用A漏洞获得的权限/信息，是触发B漏洞的前提条件，如SQL注入获取管理员凭证后，利用后台文件上传漏洞获取服务器权限。
• 组件依赖关联：软件组件之间的调用与依赖关系，上游组件的漏洞会传导至所有下游依赖组件，典型场景为开源组件的依赖漏洞传导。
• 环境拓扑关联：资产之间的网络连通性、业务访问关系，决定了漏洞利用的横向传播路径，如同网段主机的漏洞可被用于内网横向移动。

3. 图论的天然适配性
图论以“节点（Vertex）”表示实体，以“边（Edge）”表示实体间的关系，通过权重、方向等属性刻画关系的强弱与性质，与漏洞关联分析的建模需求高度契合：

• 表达能力适配。图结构可以灵活承载多类型实体与多维度关系，支持异构节点（漏洞、资产、组件、网段）与异构边（利用、依赖、连通）的混合建模，还原复杂的安全拓扑。
• 算法体系成熟。图论发展数十年，形成了路径搜索、中心性分析、社区发现、网络流等完备的算法体系，可直接对应漏洞管理中的攻击路径发现、关键漏洞识别、漏洞聚类、最优修复等核心问题。
• 可扩展性强。图模型支持增量更新与动态演化，可适配漏洞库更新、资产变动、网络拓扑调整等动态场景，满足企业安全运营的实时性需求。

二、漏洞关联分析的图论模型构建

基于不同的分析目标，漏洞关联分析领域形成了三类核心图模型，分别对应攻击利用、组件依赖、网络拓扑三个分析维度。

1. 攻击图模型：漏洞利用链的形式化表达
攻击图（Attack Graph）是漏洞关联分析中最经典的图模型，用于形式化描述攻击者利用漏洞从初始状态到达目标状态的所有可能路径。

攻击图的节点分为两类：状态节点与漏洞节点。

• 状态节点表示系统的安全状态，如“获得外网Web服务器普通权限”“获得域控管理员权限”；
• 漏洞扫描节点表示具体的漏洞实体，对应CVE编号。

边为有向边，代表状态转移关系：从初始状态节点指向漏洞节点的边，表示触发该漏洞的前置条件满足；从漏洞节点指向结果状态节点的边，表示成功利用该漏洞后系统进入的新状态。

在工程实践中，攻击图常简化为“漏洞有向图”：节点为漏洞，有向边表示漏洞间的利用依赖，边权重为漏洞的利用难度或成功概率。例如，远程代码执行漏洞指向本地权限提升漏洞的边，表示前者是后者的前置条件，权重由漏洞的利用复杂度（CVSS中的AC指标）与环境匹配度共同决定。

2. 组件依赖图：软件供应链漏洞的传导建模
随着开源软件的广泛应用，供应链漏洞成为企业安全的重灾区，组件依赖图是分析漏洞传导路径的核心模型。

• 组件依赖图以软件组件为节点，包括操作系统、中间件、第三方库、业务模块等，有向边表示组件间的依赖关系，即从被依赖组件指向依赖组件。每个组件节点挂载对应的漏洞属性，即该组件存在的CVE漏洞列表。
• 组件依赖图的核心价值是漏洞传导分析：当底层基础组件出现漏洞时，可通过图的遍历算法找到所有依赖该组件的上层组件与业务系统，实现漏洞影响范围的快速评估。例如，Log4j漏洞爆发时，通过组件依赖图可快速定位企业内所有引入Log4j的应用与业务，避免逐一排查的低效。基于SBOM（软件物料清单）构建的组件依赖图，可进一步细化到版本粒度，精准匹配漏洞影响的版本范围，提升评估准确率。

3. 拓扑-漏洞融合图：网络环境下的全局风险建模
真实攻击往往跨越多个主机与网段，单一的攻击图或组件图无法反映网络拓扑对漏洞利用的约束，因此需要构建拓扑-漏洞融合图。
该模型为双层异构图结构：

• 上层为网络拓扑层，节点为主机、网络设备、安全域，边为网络连通关系，边属性包括端口开放情况、访问控制策略、带宽等；
• 下层为资产漏洞层，每个主机节点挂载其存在的漏洞子图，漏洞之间通过利用关系边连接。

两层之间通过“所属”关系边关联，即漏洞节点归属于对应的主机节点。

拓扑-漏洞融合图可以还原真实的网络攻击场景：攻击者从外网入口主机出发，利用该主机的漏洞获得权限，再通过网络连通性访问内网其他主机，利用内网主机的漏洞实现横向移动，最终触达核心资产。这种模型将漏洞的技术危害性与网络环境的可达性结合，让风险评估更贴近真实攻击路径。

4. 属性图：通用化的关联建模框架
在工业界落地中，通常采用属性图（Property Graph）作为统一建模框架。属性图中的每个节点和边都可以挂载任意数量的键值对属性：

• 漏洞节点可挂载CVE编号、CVSS评分、EPSS利用概率、修复成本等属性；
• 主机节点可挂载资产价值、所属业务域、操作系统等属性；
• 边可挂载关系类型、权重、置信度等属性。

属性图的灵活性使其可以融合多源数据，适配不同业务场景的分析需求，也是图数据库普遍支持的标准模型。

三、核心图论算法在漏洞关联分析中的应用

图模型构建完成后，通过图论算法可解决漏洞扫描管理中的四类核心问题：攻击路径发现、关键节点识别、漏洞聚类分析与最优修复策略生成。

1. 最短路径与可达性分析：攻击路径还原
攻击路径分析是漏洞关联的核心场景，对应图论中的最短路径与可达性算法。

最短路径算法（如Dijkstra、A*算法）用于寻找攻击者从初始节点（外网入口）到目标节点（核心资产）成本最低的路径。边权重通常定义为攻击成本，综合考虑漏洞利用难度、防护设备拦截概率、操作耗时等因素。成本最低的路径即为攻击者最可能采用的攻击路径，也是企业风险最高的链路。

可达性分析则用于判断核心资产是否可从外部网络通过漏洞利用到达，即“核心资产的攻击面验证”。通过广度优先搜索（BFS）或深度优先搜索（DFS）遍历图结构，可枚举所有到达核心资产的攻击路径，量化核心资产的暴露风险。例如，在等保测评中，通过可达性分析可验证核心数据库是否存在从外网直达的攻击路径，评估网络分区与访问控制的有效性。

2. 中心性分析：关键漏洞与核心资产识别
面对海量漏洞，企业需要优先修复“四两拨千斤”的关键节点。中心性分析算法可量化节点在图中的重要程度，识别高价值修复目标。

• 度中心性：节点的连接边数量。度中心性高的漏洞节点意味着其可触发大量后续漏洞，或被大量前置漏洞触发，是攻击链中的枢纽节点。
• 介数中心性：节点出现在所有最短路径上的次数占比。介数中心性高的节点是多条攻击路径的必经之路，修复该节点可切断大量攻击路径，安全收益最高。例如，某台内网跳板机上的漏洞出现在所有横向移动路径中，修复它可大幅提升内网安全性。
• 特征向量中心性：节点的重要性由其邻居节点的重要性共同决定。该算法可识别“核心资产周边的漏洞”，即靠近高价值资产的漏洞，即使其本身CVSS评分不高，也应优先修复。

3. 社区发现算法：漏洞聚类与批量修复
企业漏洞数量常达数万条，逐一管理效率极低，社区发现算法可对漏洞或资产进行聚类，实现批量管理。
Louvain算法、标签传播算法是常用的社区发现方法，基于节点间的连接密度进行聚类。在漏洞关联图中，聚类结果对应“漏洞家族”或“风险域”：

• 组件维度上，同一开源组件族的漏洞往往聚为一类，如Spring生态的漏洞，可通过统一升级组件版本批量修复；
• 网络维度上，同一业务域、同一网段的主机漏洞聚为一类，对应一个风险区域，可进行批量渗透测试与安全加固。

此外，社区发现还可用于异常检测：如果某个孤立的业务域突然出现大量与其他域关联的漏洞，可能意味着内网已经被横向渗透，需触发告警。

4. 最小割与网络流：最优修复策略生成
企业的安全修复资源有限，如何用最少的修复成本阻断所有攻击核心路径，对应图论中的最小割（Min-Cut）问题。
将攻击图转化为流网络：源点为攻击者初始位置，汇点为核心资产，边的容量定义为修复该漏洞的成本（时间、人力、业务影响）。最小割算法可找到一组边的集合，移除这些边后源点与汇点不再连通，且集合的总容量最小。这组边对应的漏洞即为最优修复集合，以最低成本切断核心资产的所有攻击路径。在实际应用中，通常结合最大流-最小割定理，使用Ford-Fulkerson、Dinic等算法求解。该方法解决了传统“按评分排序修复”的盲目性，实现了修复资源的最优配置。

5. 图神经网络：未知关联的智能预测
传统图论算法依赖已知的漏洞规则与关联逻辑，无法发现未知的隐性关联。图神经网络（GNN）的兴起填补了这一空白。
通过图卷积网络（GCN）、图注意力网络（GAT）等模型，可学习漏洞节点的结构特征与属性特征，生成漏洞嵌入向量，进而实现三类能力：

• 未知漏洞关联预测，基于漏洞的类型、组件、影响范围等特征，预测两个漏洞是否存在组合利用可能；
• 场景化风险定级，结合图结构中的位置信息与节点属性，输出更精准的场景化风险评分，替代单一的CVSS评分；
• 漏洞误报识别，利用图结构的一致性校验，识别不符合拓扑与依赖逻辑的误报漏洞，降低扫描器的误报率。

四、工程落地的挑战与优化方向

图论在漏洞关联分析中的理论价值已得到验证，但在企业级环境落地仍面临诸多挑战。

1. 大规模图的计算性能优化
中大型企业的资产规模可达十万级，漏洞数量百万级，对应的图结构节点数超百万、边数超千万，传统图算法的计算复杂度高，全量计算耗时可达数小时，无法满足安全运营的实时性需求。
解决方案包括三个层面：

• 采用专业图数据库与图计算引擎，如Neo4j、NebulaGraph、Spark GraphX，利用分布式计算提升性能；
• 采用图分区算法，按业务域、安全域对大图进行切分，分区域并行计算；
• 采用增量计算，仅对新增漏洞、变动资产相关的子图进行更新与计算，避免全量重算。

2. 边权重的精准量化
图分析结果的准确性高度依赖边权重的量化精度。当前漏洞利用概率、攻击成本等权重多基于CVSS指标粗略估算，与真实攻击场景存在偏差。
优化方向是融合多源数据校准权重：

• 引入EPSS（漏洞利用预测评分）数据量化漏洞在野利用概率；
• 结合威胁情报中的APT组织攻击手法，调整对应漏洞边的权重；
• 基于企业历史安全事件数据，通过机器学习训练权重模型，让权重适配企业的真实攻防环境。

3. 动态环境的实时适配
企业IT环境处于持续动态变化中：新漏洞不断披露、资产上下线、网络策略调整、组件版本更新，静态图模型很快会失效。
应对方案是构建动态图模型，支持增量节点与边的实时插入、删除与更新，结合流式计算引擎实现图分析结果的秒级刷新。同时引入时间维度属性，构建时序图，支持回溯历史攻击路径与预测未来风险演化。

图论为漏洞扫描从“单点检测”走向“关联分析”提供了严谨的数学基础，通过攻击图、组件依赖图、拓扑融合图等模型，将零散的漏洞转化为结构化的关联网络，再通过路径搜索、中心性分析、最小割等算法，实现攻击路径还原、关键漏洞识别、最优修复策略生成，大幅提升漏洞管理的精准性与效率。

相关阅读：

漏洞扫描中的数据挖掘：如何从海量数据中发现潜在威胁

免费漏洞扫描工具推荐：适合中小企业的5款实用工具

漏洞扫描与防火墙的协同防护策略

漏洞扫描在安全漏洞修复中的作用

漏洞扫描与安全信息事件的关联分析