Fortreum推出由Kovr提供支持的VDR/VER服务，赶在FedRAMP漏洞整改期限前助力落实新规

Fortreum推出了由Kovr提供支持的VDR/VER服务，帮助云服务提供商在2026年12月7日的迁移期限前落实FedRAMP新的漏洞规则。该服务融合了安全专家支持、实施协助和AI辅助评估，而不是把合规工作当作每月提交一次扫描报告了事。

在其技术说明中，Fortreum介绍了一套工作流程，可将扫描发现的问题关联至资产，生成初步漏洞评估，并跟踪响应活动及相关证据。客户团队负责审核评估结论并指导响应工作。

这一区别十分重要，因为发现软件漏洞只是工作的起点。服务提供商还需要确认漏洞存在于何处、攻击者能否触及漏洞、漏洞被利用会造成什么影响，以及采取相应措施的理由是否充分。

VDR和VER的要求

FedRAMP是美国政府针对联邦机构所使用云服务开展安全评估和监督的计划。其更新后的漏洞规则将相关工作划分为两个密切关联的领域。

漏洞检测与响应（VDR）涵盖漏洞的识别与持续管理。漏洞评估与报告（VER）则涉及评估漏洞的影响，并报告相关信息。

仅凭严重性评分，无法回答所有实际运营问题。同一个漏洞可能出现在隔离的测试机器上，也可能存在于面向公众、存有敏感信息的服务中。软件弱点可能完全相同，但攻击者可利用的攻击路径以及漏洞被利用后造成的后果，却可能大不相同。

因此，规则强调必须结合具体情境进行判断，包括漏洞可能被利用的程度、是否可从互联网访问、对机构可能造成的影响，以及缓解措施的有效性。随着情况变化，服务提供商还需要保留支撑这些判断的证据。

Kovr如何将扫描发现的问题转化为决策

Fortreum表示，其实施方法从了解服务提供商的环境和现有漏洞处理流程入手，随后明确职责并建立报告工作流程。Kovr接收扫描和资产清单信息，将发现的问题关联至相应资产，并对可利用性、可访问性和对机构可能造成的影响进行初步评估。

有用的成果不只是又一份漏洞清单。每项发现都需要明确负责人、响应期限、支撑证据，以及后续处理情况的记录。将这些要素关联起来，有助于安全工程团队和合规团队依据同一套事实开展工作。

例如，分析人员可能会判定某个易受攻击的组件确实存在，但无法通过服务的外部接口访问。这个结论需要有关于受影响资产及其配置的证据作为支撑。如果之后的部署改变了该组件的暴露情况，先前的判断可能就不再能准确反映风险。

AI可以帮助整理记录并准备评估，但决策仍须结合服务提供商自身的环境。Fortreum明确表示，审核和响应指挥权仍由客户掌握；自动化输出不能取代服务提供商应履行的义务。

Kovr背后的更广泛技术

Kovr是Fortreum为受监管机构打造的原生AI合规自动化平台。其更广泛的功能包括证据收集、文档管理、控制措施映射、整改跟踪，以及对多个框架的持续监控支持。

该平台采用大型语言模型，并基于开放式安全控制评估语言（OSCAL）构建。OSCAL提供结构化格式，用于在不同系统之间交换安全控制和评估信息。这与单纯存储一堆PDF文件不同：软件可以处理、比较并重复使用结构化记录。

Kovr还提供Agent Artemis，这是一款专注于合规工作的助手，可用于查找要求、定位文档和理解控制措施。这些能力展现了该平台的整体功能；而Fortreum对VDR/VER的介绍，则专门聚焦于漏洞评估和响应工作流程。

Unite.AI此前报道过Fortreum收购Kovr.AI一事。新服务将评估专业知识与自动化相结合，应用于联邦云监管中的一项具体运营变革。

12月7日是迁移期限，宽限期也有相应条件

理解这一期限时，需要结合FedRAMP当前的指导意见。FedRAMP在其11月10日迁移通知中确认，迁移日期为2026年12月7日，并为经过认证的云服务保留至2027年3月7日的宽限期。

未能在12月7日完成迁移的服务，必须说明针对每项未完成规则采取的纠正措施及目标时间表。计划在2月3日之后完成迁移的服务，在完成之前将被列为处于整改阶段。FedRAMP还说明，3月7日之后可按个案申请延期，但必须有获批的纠正措施计划，并同意接受协调开展的红队评估。

因此，对于尚有工作未完成的提供商，12月7日并不是自动撤销认证的日期。这是一个重要节点，要求采取实际行动，并对仍存的差距作出有据可查的说明。通知还要求报告迁移进度，其中包括机器可读和人工可读的漏洞活动报告示例。

证据保持关联，自动化才能发挥作用

核心挑战在于协调一项持续进行的流程。扫描可以发现漏洞，但要降低风险，可能需要工程师应用补丁、基础设施团队调整访问权限，以及合规团队记录为何所选应对措施符合适用要求。

Fortreum提出的方案是通过共享数据集和可重复执行的工作流程，将这些工作衔接起来。衡量成效的实际标准，在于团队能否及时作出有充分依据的决策，并展示决策背后的证据，而不只是产出更多合规文件。