漏洞风险度量是什么
风险 = 可能性 × 影响，这个朴素公式在漏洞管理里的落地方式是三维度打分：漏洞的可利用性（是否已有在野利用、公开利用代码）、资产的实际暴露面（互联网可达还是仅内网）、资产对业务的重要性。三者相乘得到排序用的分数。这样做的意义在于把「漏洞本身多严重」转成「对本组织多要紧」——同一分值漏洞落在公网核心系统与隔离内网测试机上，处置优先级可以相差一个数量级。
基本信息
| 核心公式 | 风险 = 可能性 × 影响 |
|---|---|
| 三个维度 | 可利用性、暴露面、资产重要性 |
| 数据来源 | EPSS 与 KEV、资产扫描与网络策略、CMDB 分级 |
| 排序用途 | 为漏洞例会与排期提供统一依据 |
| 落地方式 | 把三个维度固化为台账字段 |
| 复核节奏 | 随时变化维度更新，每季度校准口径 |
典型使用场景
- 漏洞例会排序：按统一公式给出优先级，减少主观争论
- 资源分配：把有限人力压到高风险组合上
- 向业务解释：说明为什么某个高分漏洞可以排期
- 接收新情报：KEV 命中时自动提升维度得分
- 暴露面变化后重排：新开公网入口应触发优先级复评
- 季度复盘：统计高分组修复时长，评估流程有效性
简化的内部评分法
简化的内部评分法
风险分 = 可利用性(1-5) × 暴露面(1-5) × 资产重要性(1-5)
可利用性：KEV 命中=5 / EPSS>0.5=4 / 有公开利用线索=3 / 其余 1-2
暴露面：公网直连=5 / 反代公网=4 / VPN 可达=3 / 纯内网=1-2
资产重要性：核心=5 / 重要=3 / 一般=1
# 阈值分档：>=60 紧急、25-59 优先、6-24 常规、<=5 观察
# 阈值按组织实际调整，关键是口径统一并写进流程文档维度与数据来源
| 维度 | 数据来源 | 更新频率 |
|---|---|---|
| 可利用性 | EPSS / KEV / 利用情报 | 每日 |
| 暴露面 | 资产扫描 / 网络策略 | 每周 |
| 资产重要性 | CMDB 分级 | 变更时更新 |
把三个维度固化成表格字段，漏洞例会上的排序争议会明显减少。
公式的价值在于一致性而不是精确性：只要所有漏洞都用同一套口径打分，排序结果就比拍脑袋可靠，也便于事后校准。