EPSS 是什么
EPSS（Exploit Prediction Scoring System）由 FIRST 维护，用统计模型估算一个漏洞在未来 30 天内被利用的概率，输出 0 到 1 的概率值以及该值在所有漏洞中的百分位。它回答的是「会不会被打」，与 CVSS 回答的「打中之后有多严重」形成互补：把两者叠在一起，才能把「高分但没人利用」与「中分但正在被批量扫描」这两类情况区分开。分数每日更新，历史序列可以回溯，因此也适合观察一个漏洞的关注度是否在上升。
基本信息
| 维护方 | FIRST（与 CVSS 同一组织） |
|---|---|
| 输出 | epss 概率（0-1）+ percentile 百分位 |
| 时间口径 | 未来 30 天内被利用的概率 |
| 更新周期 | 每日更新，历史数据可回溯 |
| 定位 | 预测利用可能性，不评价危害大小 |
| 用法 | 与 CVSS 组合：高分高概率优先修复 |
典型使用场景
- 优先级排序：给大批漏洞做二次排序，把资源压到真正会被利用的那批
- 缓解期决策：概率高但暂无法升级时，先安排网络限制与监控加强
- 监控阈值：为高概率漏洞设置利用尝试告警，而不是等通报
- 趋势观察：同一漏洞的分值逐日上升时说明关注度在增加
- 处置说明：向业务解释为什么某些高分漏洞可以排期而不必加急
- 回归筛查：把历史漏洞清单按当前分值重新排序，发现被低估的旧问题
组合判断示例
组合判断示例
CVSS 9.8 + EPSS 0.85 -> 明显优先
CVSS 9.8 + EPSS 0.01 -> 按计划修复
CVSS 5.5 + EPSS 0.90 -> 上调优先级（被利用概率高）
评分高不等于会被利用；EPSS 高不等于危害大，两者互补
# 百分位比概率值更直观：表示该漏洞的预估利用概率在所有漏洞里的相对位置
# 查询示例：api.first.org/data/v1/epss?cve=CVE-2021-44228与其他指标的分工
| 指标 | 回答的问题 | 使用注意 |
|---|---|---|
| CVSS | 利用后果有多严重 | 不含随时间变化的利用热度 |
| EPSS | 未来 30 天被利用的概率 | 统计模型，样本稀疏时偏低 |
| KEV | 是否已被确认在野利用 | 清单式，更新有滞后 |
| 资产暴露面 | 本组织是否真的可达 | 需自查台账，外部数据无法提供 |
EPSS 是统计模型结果：新披露或低关注度漏洞可能样本不足导致得分偏低，评定优先级时要结合 KEV 等利用情报。
把三个维度写进同一张表最实用：严重性、利用概率、本地可达性。任何一列缺失都会让排序失真，尤其是本地可达性缺失时，最容易把资源花在无法触达的漏洞上。