等级划分是什么
CVSS 把 0.0 到 10.0 的评分切成五档定性等级，方便在通报、看板与排期表里聚合展示。这个映射在 3.1 与 4.0 中保持一致，因此等级标签在跨版本沟通时仍然可用。需要注意的是等级只是分值的区间标签，不携带额外信息：9.0 与 8.9 在技术性质上可能完全一样，只是恰好落在边界两侧。
基本信息
| 分档数量 | 五档：None / Low / Medium / High / Critical |
|---|---|
| 适用范围 | 3.1 与 4.0 的等级区间相同 |
| 计算对象 | 通常按基础分归档；使用环境分归档时需注明口径 |
| 常见用途 | 通报口径、SLA 分级、看板聚合、验收标准 |
| 配套字段 | 建议同时记录向量与来源，避免只剩一个标签 |
等级划分（3.1 与 4.0 一致）
| 等级 | 分数区间 | 常见动作 |
|---|---|---|
| None 无 | 0.0 | 登记观察 |
| Low 低 | 0.1-3.9 | 计划修复 |
| Medium 中 | 4.0-6.9 | 排期修复 |
| High 高 | 7.0-8.9 | 优先修复 |
| Critical 严重 | 9.0-10.0 | 紧急处置 |
分档边界示例
分档边界示例
9.8 -> Critical
7.0 -> High 起点
6.9 -> Medium
4.0 -> Medium 起点
3.9 -> Low
0.0 -> None
# 边界附近的分差可能只有 0.1，判定依据应看向量与利用条件，而不是等级标签分档与排期衔接
- Critical 且互联网可达：按紧急流程走，先降暴露再修根因
- High 但仅在隔离内网：可纳入常规窗口，注意批量影响
- Medium 集中出现：按同类问题打包修复，避免零散变更
- Low 与 None：登记入册并跟踪，不占用紧急排期
- 口径统一：同一批统计只用一种分（基础分或环境分），并在报告里写明
- 对外沟通：向管理层报数用等级，向技术团队交底用分值与向量，两者同时保留
- 复评触发：资产暴露情况变化（如新增公网入口）后，应重新评估优先级
等级标签方便聚合；实际排期还要叠加资产暴露面、EPSS 与 KEV 利用情报以及业务依赖程度。
同一分值的两个漏洞处置动作可能完全不同：一个在公网入口、一个在隔离网段，前者的窗口应以小时计，后者可以进常规发布。等级只解决分类，排序要靠资产与利用情报。