CVE 评估为什么要上表格
收到高危漏洞通告时，最耗时的不是修，而是判断哪几台受影响、优先级怎么排。靠聊天记录和零散截图推进，两小时后必然出现重复劳动与遗漏。统一表格把「资产、版本、暴露面、结论、责任人、时限」固定下来，谁都能看懂进度，也便于事后复盘。
基本信息
| 适用平台 | 全部平台，通用流程类条目 |
|---|---|
| 表格形态 | Markdown、Excel 或工单系统均可，关键是列固定 |
| 必备结论列 | 是否受影响、处置方式、责任人、时限、状态 |
| 基线 | 评估过程可追溯，有复核人 |
典型使用场景
- 重大漏洞应急：当天拉表分工，按行认领，避免所有人重复查同一批机器
- 例行漏洞通告：低危漏洞按周批处理，用同一表格累积沉淀
- 向管理层汇报：用「受影响数量、已完成、超期」三列直接说明进展
- 复盘与沉淀：表格归档后，下次同类漏洞可以直接复用受影响范围判断
表格列模板
表格列模板
# CVE编号 | 组件 | 受影响版本 | 本环境版本 | 是否受影响 | 暴露面 | 处置方式 | 责任人 | 时限 | 状态 | 复核人
# 示例行：
# CVE-2021-44228 | log4j-core | 2.0-beta9~2.14.1 | 2.9.1 | 是 | 公网Java应用 | 升级+WAF | 张三 | 4h | 已修复 | 李四
# 说明：暴露面决定优先级，公网可达的高危优先处置关键列怎么填
| 列 | 填写要求 | 常见问题 |
|---|---|---|
| 受影响版本 | 以公告给出的范围为准 | 凭印象填，导致漏判 |
| 本环境版本 | 必须实测获得 | 沿用台账旧值，与现状不符 |
| 暴露面 | 公网、内网、离线三类 | 写成「生产」这类无法判断的说法 |
| 时限 | 按暴露面分级给出 | 所有项都写紧急，优先级失效 |
| 复核人 | 由他人复核修复结果 | 只标记已修无人验证 |
分级时限可作起点：互联网可触达的高危 24 小时内完成缓解、7 天内修复；内网高危 7 天内修复；其余按月度窗口集中处理。
表格要归档并按年保存：下次同类漏洞发生时，历史结论能直接复用，评估时间可以从一天压缩到一小时。