KEV 是什么
KEV（Known Exploited Vulnerabilities）是美国 CISA 维护的已被确认在野利用的漏洞目录。它与其他评分体系的区别在于证据明确：进入目录意味着已有实际利用的观察记录，而不是模型推测，因此非常适合直接作为紧急修复名单的输入。目录以 JSON 形式发布，便于自动化对接：把名单与自身资产台账求交集，交集项直接进入紧急处置流程，同时也要注意它的边界——以特定机构视角维护，未收录不等于没有被利用。
基本信息
| 维护方 | CISA |
|---|---|
| 更新节奏 | 工作日持续新增 |
| 价值 | 利用证据明确，适合做紧急修复名单 |
| 字段内容 | CVE 编号、厂商与产品、漏洞简述、加入日期、要求完成日期 |
| 获取方式 | 官方 JSON 文件，可通过接口或脚本定期同步 |
| 边界 | 以美国联邦机构视角维护，不代表全部范围 |
典型使用场景
- 紧急修复名单：与资产台账求交集，交集项直接进应急流程
- 优先级调整：把在册漏洞从常规排期提升为优先处理
- 检测规则补充：按新收录条目更新扫描与监控规则
- 利用状态研判：判断某个高分漏洞是否真的已被使用
- 汇报依据：向业务解释为何该漏洞需要加急
- 周期同步：把名单拉取与比对做成定时任务，减少人工翻查
拉取目录并统计条数
拉取目录并统计条数
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | jq '.vulnerabilities | length'
# 建议落地为定时任务，把结果存库以便后续比对与统计趋势看最近新增条目
看最近新增条目
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | jq '.vulnerabilities | sort_by(.dateAdded) | reverse | .[0:5] | .[] | {cveID, vendorProject, dateAdded}'
# 新增条目重点关注本单位在用的产品与技术栈与其他情报源的配合
| 来源 | 信息类型 | 配合方式 |
|---|---|---|
| KEV | 已确认在野利用 | 直接抬升优先级并加入紧急名单 |
| EPSS | 预测利用概率 | 用于大规模漏洞的相对排序 |
| 厂商公告 | 受影响版本与修复方案 | 确定修复版本与缓解手段 |
| 自建监测 | 本单位实际利用迹象 | 与情报交叉验证，避免只看清单 |
把 KEV 名单与自身资产台账求交集，交集项直接进入紧急修复流程。