漏洞优先级排序是什么
分诊（triage）是把扫描与情报结果排成一份可执行的顺序。只看 CVSS 分值不够：还需要可达性（是否暴露、是否需要认证）、资产重要度、外部利用信号（EPSS 概率、KEV 在野标记）与修复成本共同决定先做什么。排序结果必须可解释——向业务说明「为什么先修这个」时，口径清晰比公式精确更重要。
基本信息
| 基础分 | CVSS 向量给出通用严重度 |
|---|---|
| 可达性 | 公网直达 > 内网可达 > 需高权限 |
| 资产权重 | 核心交易与身份系统高于边缘系统 |
| 外部信号 | EPSS 概率与 KEV 在野标记 |
| 修复成本 | 有官方补丁与无补丁的处置路径完全不同 |
排序示意（伪代码思路）
排序示意（伪代码思路）
优先级 = 严重度 × 可达系数 × 资产权重 × 外部信号
例：CVSS 9.8 + 公网未认证 + 核心库 + KEV → 立即处置
CVSS 7.5 + 内网需认证 + 边缘机 + 无在野 → 常规周期修复
# 系数取值由各组织自行定义，但要固定下来并写入流程文档分级处置口径（参考）
| 档位 | 特征 | 处置节奏 |
|---|---|---|
| 立即 | 公网可达 + 已有在野利用 | 当日响应，先缓解后根治 |
| 紧急 | 公网可达或核心系统 + 可利用 | 按小时/天级安排窗口 |
| 常规 | 内网可达或需前置条件 | 按迭代或月度窗口 |
| 择期 | 低影响或有补偿控制 | 批量处理，纳入基线 |
典型使用场景
- 扫描结果入库后排序：从几千条里挑出本周真正要处理的几十条
- 应急响应启动：确认在野利用的漏洞是否命中本方资产，决定是否启动紧急流程
- 资源冲突时取舍：窗口有限时说明为什么某些高危排在后
- 向上汇报：用统一口径解释修复计划与风险敞口
- 复测抽查：优先复测高优先级条目，避免只看数量不看质量
排序结果要可解释：向业务解释『为什么先修这个』时，口径清晰比公式精确更重要。过于复杂的公式没人愿意复核，最后仍会退回到拍脑袋。
同一条漏洞在不同资产上优先级可能完全不同：分诊要按「漏洞 × 资产」的组合排，而不是按漏洞条目排。