| 基础分 | CVSS 向量给出通用严重度 |
|---|---|
| 可达性 | 公网直达 > 内网可达 > 需高权限 |
| 资产权重 | 核心交易/身份系统高于边缘系统 |
| 外部信号 | EPSS 概率与 KEV 在野标记 |
| 修复成本 | 有官方补丁与无补丁的处置路径不同 |
排序示意（伪代码思路）
排序示意（伪代码思路）
优先级 = 严重度 × 可达系数 × 资产权重 × 外部信号
例：CVSS 9.8 + 公网未认证 + 核心库 + KEV → 立即处置
CVSS 7.5 + 内网需认证 + 边缘机 + 无在野 → 常规周期修复排序结果要可解释：向业务解释『为什么先修这个』时，口径清晰比公式精确更重要。