安全漏洞等级

安全漏洞等级这事儿，安全很多人理解得过于简单了。漏洞

四年前，等级我朋友的安全公司被勒索软件掀了底朝天。攻击者根本没用什么0day，漏洞就挑了个CVSS 9.8的等级Apache Struts漏洞——那可是2017年就公开的老洞。事后复盘，安全安全团队委屈得要命：“我们漏洞扫描报告里明明标了红色高优先级，漏洞但运维说业务不能中断，等级要等周末窗口。安全”结果那个周末，漏洞数据没了。等级

你看，安全漏洞等级从来不是漏洞CVSS分数说了算。CVSS给9.8，等级那是理论上的“可利用性”。可现实中，一个藏在内网深处、没人碰得到的9.8，可能还不如一个挂在公网登录页面的7.5来得致命。我见过太多企业，对着漏洞扫描器输出的“严重”清单连夜加班，却对真正暴露在互联网上的中危漏洞视而不见——因为那个系统是外包的，没人管。

真正该排的优先级，得看三个东西：漏洞能不能被外部触达，系统里有没有值钱的数据，以及攻击者需要付出多大代价。这跟CVSS的“攻击向量”和“影响”维度沾边，但又不完全一样。举个糙例子：你家大门锁芯有缺陷（CVSS高），但门在二十楼且没楼梯（实际触达不了），那这漏洞顶多算个心理安慰级别的隐患。反过来，一楼窗户的普通插销（CVSS中），旁边就是消防梯，小偷三分钟就能撬开——这才是要命的。

还有个被低估的因素：时间。漏洞等级不是静态的。一个刚被公开的RCE，和已经被武器化利用的RCE，危险程度完全不同。去年Log4j爆发时，第一天和第七天的风险等级根本不是一个量级。第一天你可能还有时间排查，第七天扫描器已经满天飞了，连脚本小子都在批量打。所以现在有些团队用“漏洞利用成熟度”来修正等级——这方向对，但落地时又容易矫枉过正，变成“只要没看到公开利用代码就不着急”。等真看到的时候，往往已经晚了。

说句得罪人的话：很多安全厂商把漏洞等级做成鲜艳的红色、橙色，就是为了让你心慌，然后买他们的服务。真正的安全负责人，要敢于把那些“高危但无路可走”的漏洞降级，也要敢于把“中危但直击核心”的漏洞升级。这需要你对自家网络拓扑、资产价值了如指掌，而不是对着仪表盘当甩手掌柜。

我朋友公司后来学乖了，把漏洞管理改成“业务影响优先”模式。每个漏洞都问三个问题：会丢数据吗？会断业务吗？会被监管罚吗？答完再定级。今年他们又遇到一个9.8的漏洞，但这次只花了四小时就完成修复——因为那个系统是隔离的，里面只有测试数据，实际等级被他们手动降到了“低”。

漏洞等级是给人用的工具，不是供着的教条。你手里的业务、你的网络边界、你的数据价值，才是真正的坐标系。别让一张评分表替你思考。

很赞哦!（74976）