漏洞评分

CVSS评分9.8的漏洞评分漏洞，和实际被利用的漏洞评分漏洞，往往不是漏洞评分同一个。我在甲方做安全运维那会儿，漏洞评分见过太多团队盯着面板上的漏洞评分红色数字焦虑，却对真正潜伏在业务逻辑里的漏洞评分致命伤视而不见。评分高不代表危险，漏洞评分评分低也不代表安全——这个数字体系从一开始就带着某种傲慢的漏洞评分简化。

拿Log4j2那个著名的漏洞评分漏洞来说，CVSS给了满分10分。漏洞评分但真实世界里，漏洞评分有的漏洞评分公司花两周就修复完了，有的漏洞评分公司到现在还在排查内部系统。同一个漏洞，漏洞评分对不同组织的漏洞评分实际风险能差出几个量级。评分系统只告诉你“这扇门没锁”，却不告诉你门后面是金库还是杂物间。这就像用体重衡量一个人的健康程度，粗暴，但大家都习惯了。

更麻烦的是，评分依赖的信息经常是滞后且不完整的。厂商刚报漏洞时，PoC都没放出来，专家们只能根据理论影响估个分。等过了几个月，安全研究员发现实际利用条件比想象中苛刻得多，或者反过来，发现了一个能绕过所有缓解措施的利用链——但CVSS分数早就定死了，没人会回头改。我见过一个被评7.5分的漏洞，实际利用只需要一个未认证的HTTP请求，三行代码就能打穿内网。也见过评分9.1的“严重”漏洞，因为需要物理接触目标机器，在现实攻击场景里几乎没人会用。

还有个被忽视的问题：漏洞评分是静态的，但攻击者的工具库是动态的。去年评的“中危”漏洞，今年可能因为某款开源框架的普及而变得高危。反过来，一个曾经被广泛利用的漏洞，随着默认配置的加固，可能变成鸡肋。评分系统没有“时效”这个概念，它像个刻在石碑上的法律，却忘了世界在流动。

我自己现在看漏洞，先问三个问题：这个漏洞影响的核心资产价值多少？攻击路径上有没有现成的武器化工具？我们现有的监控和响应能力能不能兜底？评分只回答第一个问题的一半，而且答得还很粗糙。真正有价值的，是结合自己系统的上下文做二次评估——把CVSS当作起点，而不是终点。

说到底，漏洞评分是个方便沟通的索引号，就像图书馆里的分类标签。没人会因为一本书的编号是“I247.5”就断定它好看，但安全团队却常常因为一个分数是9.8就断定它致命。这种数字崇拜，在攻防对抗越来越激烈的今天，有点不合时宜了。你需要的不是更精确的评分模型，而是更清醒的头脑——知道哪些漏洞值得熬夜，哪些漏洞可以等到明天早上再说。