情报怎么变成可行动的判断
漏洞情报的价值体现在「我这边受不受影响、需要多快动作」。完成这个判断需要两边的信息：情报侧要看清受影响的产品、版本范围、利用条件、是否有公开利用方法、厂商是否提供缓解建议；资产侧要能提供型号、固件与软件版本、网络位置与是否可从不可信区域到达。两边一对上，才能把一条公告变成具体的处置清单。反之，若只有情报没有资产匹配，收到公告只能全场紧张或者干脆忽略，两种反应都不产生实际改善。
基本信息
| 来源类型 | 厂商安全公告、公开漏洞库与工控专题通报、安全厂商与行业组织通告、自身流量与日志观测 |
|---|---|
| 关键字段 | 受影响产品与版本、利用条件、是否需要本地可达、是否有公开利用方法、缓解建议 |
| 资产侧输入 | 型号、硬件版本、固件与软件版本、网络位置、可达性 |
| 研判结论 | 受影响设备清单、优先级、处置建议与时限 |
| 去重与跟踪 | 同一漏洞可能多来源重复通报，需要归并并跟踪处置状态 |
| 渠道维护 | 订阅范围覆盖现场所有设备厂商与关键软件供应商 |
研判时要回答的问题
- 受影响的范围里有没有我的设备与软件版本
- 这个漏洞被利用需要什么前置条件，我的网络里是否具备
- 设备是否处在不可信区域可达的位置，是否有远程接入路径
- 厂商是否提供补丁或缓解建议，时间表如何
- 是否存在已被利用的公开信息，紧迫程度是否因此上升
- 我现有的隔离、白名单与监测措施能否降低被利用的可能
- 处置动作需要多大窗口与多少资源，谁负责
来源与注意点
| 来源 | 优点 | 注意点 |
|---|---|---|
| 厂商安全公告 | 最准确，含补丁与缓解建议 | 需要订阅覆盖全部现场设备厂商 |
| 公开漏洞库与行业通报 | 覆盖面广，便于批量比对 | 字段粒度有限，需回厂商文档确认 |
| 安全厂商与行业组织 | 解读与趋势信息较及时 | 需核对原始来源，避免信息失真 |
| 自身流量与日志观测 | 反映本现场真实情况 | 依赖监测覆盖与日志采集质量 |
| 供应商口头告知 | 响应快 | 需索要书面公告并留档，便于追溯 |
情报工作的瓶颈通常在资产侧而不是情报侧：同类公告在多数现场都能收到，但能立刻回答「我有多少台设备、什么版本、在哪个区」的现场并不多。把固件与软件版本纳入台账并保持更新，是漏洞情报产生实际价值的前提。