公开利用信息的作用
漏洞从披露到被攻击的时间，很大程度取决于是否已有可用的公开利用代码。防御方不需要复现任何利用，但必须识别「有没有公开利用」这类信号，并据此调整修复优先级与时限。常见信号来源包括：NVD 参考链接的 Exploit 标签、CISA KEV 目录、厂商公告里「已观察到在野利用」的说明，以及安全社区披露的 PoC 与技术分析。
基本信息
| 判断信号 | NVD Exploit 标签、厂商已知利用说明、KEV 收录、社区 PoC |
|---|---|
| 数据来源 | NVD API、KEV 目录、厂商安全公告、内部威胁情报订阅 |
| 输出结果 | 优先级调整、修复时限缩短、监控级别提升 |
| 不做的事 | 非授权环境不下载、不使用利用代码 |
| 留痕要求 | 记录判断依据与判断时间，供事后复盘 |
信号与对应动作
| 信号 | 含义 | 建议动作 |
|---|---|---|
| NVD 参考带 Exploit 标签 | 存在公开利用代码线索 | 修复时限从常规窗口缩短 |
| 厂商公告注明已观察到利用 | 真实在野利用 | 最高优先级，先缓解后修复 |
| CISA KEV 收录 | 有明确利用证据 | 按其要求的期限完成处置 |
| 社区披露未验证 PoC | 扩散风险上升 | 关注态势，同时先上缓解措施 |
| 仅在实验室复现 | 暂无野外证据 | 按常规排期，保持监控 |
| 仅有理论可行性 | 无公开利用 | 按资产暴露面决定顺序 |
典型使用场景
- 每周定级会前刷新清单，把有公开利用的条目提前
- 重大漏洞爆发当天快速判断是否需要当晚加班处置
- 修复排期被质疑时，用信号来源解释时限依据
- 订阅情报源时筛选出与本单位资产相关的在野利用报告
- 对外汇报中用 KEV 等公开证据说明优先级判定标准
- 事后复盘：核对判断依据与实际暴露面是否匹配
判断线索
判断线索
# NVD 参考链接标签含 Exploit -> 存在公开利用代码线索
# 厂商公告出现「已观察到在野利用」-> 立即提为最高优先级
# KEV 收录 -> 有明确利用证据，按目录要求期限整改
# 安全社区披露 PoC（未经验证）-> 关注扩散速度，先上缓解
# 仅理论可行、无 PoC -> 常规排期，保持常规监控对应动作
对应动作
1. 存在公开利用的漏洞：缩短修复时限，纳入本周维护窗口
2. 暂无法修复的资产：先上缓解措施（WAF 规则、访问控制、关闭受影响功能）
3. 提高相关资产日志与告警级别，关注利用特征与异常子进程
4. 记录判断依据、时间点与数据来源，作为排期解释
5. 修复完成后复核缓解措施是否还需要保留情报研判的目标是排序，不是复现。处置动作仍然走补丁与缓解通道，利用代码不进生产环境，需要验证时放在隔离的测试环境并由授权人员操作。