SSVC 是什么
SSVC（Stakeholder-Specific Vulnerability Categorization）是 CISA 推动的漏洞处置决策流程，用一组决策点（利用状态、可自动化程度、技术影响，必要时再加任务影响与业务影响）把漏洞归入 Track / Track* / Attend / Act 四类动作。它输出动作类别而不是分数，因此天然适合嵌进工单系统做批量分流。
基本信息
| 提出方 | CISA（与 CERT/CC 合作） |
|---|---|
| 输入 | 决策点的离散取值 |
| 输出 | Track / Track* / Attend / Act |
| 定位 | 处置优先级决策，不替代 CVSS |
| 适用 | 批量漏洞的自动化分级与分流 |
典型使用场景
- 补丁批分流：把上千条漏洞按动作类别分堆，Act 单独走快速通道
- 应急响应：已在野利用的漏洞直接进 Act，不再争论评分高低
- 流程自动化：把决策点做成工单字段，由系统自动算类别
- 对外沟通：用动作类别说明处置节奏，比只报 CVSS 分数更易被理解
- 与已知利用目录联动：KEV 命中的漏洞优先按利用状态评定
决策点组合示意
决策点组合示意
Exploitation = none / poc / active # 是否已被利用
Automatable = no / yes # 能否被自动化大规模利用
Technical Impact = partial / total # 技术影响范围
# 组合示例：
# active + yes + total → Act（立即行动）
# none + no + partial → Track（常规跟踪）
# 中间组合按官方决策树查表，不要自行简化推导决策点与取值
| 决策点 | 取值 | 判定依据 |
|---|---|---|
| 利用状态 | none / poc / active | 是否有公开 PoC、是否在野利用 |
| 可自动化 | no / yes | 攻击面能否被脚本批量命中 |
| 技术影响 | partial / total | 按 CVSS 技术影响维度判定 |
| 任务影响（可选） | minimal 至 catastrophic | 与任务自身重要性挂钩 |
| 业务影响（可选） | minimal 至 catastrophic | 结合安全与业务护栏约束 |
输出动作类别
| 类别 | 含义 | 处置节奏 |
|---|---|---|
| Track | 常规跟踪 | 按例行周期处理 |
| Track* | 跟踪并关注变化 | 例行处理，利用状态变化时升级 |
| Attend | 尽快安排处置 | 进入近期窗口 |
| Act | 立即行动 | 停止常规排队，按紧急响应处理 |
SSVC 强调『与自身相关』：同一个漏洞在不同组织可以落到不同动作类别，这正是它比通用评分更适合内部流程的原因。
SSVC 与 CVSS 不冲突：CVSS 描述漏洞的技术严重度，SSVC 回答『这个漏洞对我们现在该做什么』；两者常一起出现在同一张工单上。