sentinel, Lab
场景 2 — 阶段二：漏洞优先级量化评估
四维量化评估模型
VPS = (CVSS × 0.25 + EPSS × 0.25 + Asset × 0.30 + Env × 0.20) × 10
text
VPS = Vulnerability Priority Score (0-100)
| 维度 | 权重 | 说明 |
|---|---|---|
| D1 · 技术严重性 | 25% | CVSS 评分 (0-10) / 漏洞类型，RCE > 提权 > 信息泄露 > 拒绝服务 |
| D2 · 威胁情报 | 25% | EPSS 利用概率 (0-1) / 在野利用，PoC 可用性 / CISA KEV / APT 使用 |
| D3 · 资产价值 | 30% | 资产等级 P0-P3 / 业务影响，数据敏感度 / 用户影响面 |
| D4 · 环境因素 | 20% | 暴露面(外网/内网) / 补偿控制，网络隔离 / WAF/IPS 防护有效性 |
量化评估实例
漏洞 A · Spring Framework RCE：
| 维度 | 评分 |
|---|---|
| CVSS | 8.2 |
| EPSS | 0.87 |
| 资产价值 | P0 (100) |
| 环境因素 | 外网无防护 (20) |
| VPS | 82×0.25 + 87×0.25 + 100×0.30 + 20×0.20 = 88.75 |
| 决策 | P0 紧急 · 24h 修补 |
漏洞 B · Log4Shell（测试环境）：
| 维度 | 评分 |
|---|---|
| CVSS | 9.8 |
| EPSS | 0.95 |
| 资产价值 | P3 (10) |
| 环境因素 | WAF+隔离 (80) |
| VPS | 98×0.25 + 95×0.25 + 10×0.30 + 80×0.20 = 66.25 |
| 决策 | P1 高 · 7d 修补 |
优先级决策矩阵
| VPS | 等级 | SLA | 通知范围 |
|---|---|---|---|
| ≥ 80 | P0 紧急 | 24h | CISO + 运维 + 开发 |
| 60-79 | P1 高 | 7d | 安全 + 运维 |
| 40-59 | P2 中 | 30d | 运维组 |
| 20-39 | P3 低 | 90d | 排期处理 |
| < 20 | P4 信息 | 接受风险 | 记录存档 |
一票升级规则
- 在野利用 + 互联网暴露 → 强制 P0
- CISA KEV 在列 → 强制 P0
- RCE + P0 资产 → 强制 P0
- APT 组织利用 → 至少 P1
补偿控制降级
- WAF + IPS + EDR 均已防护 → 可降 1 级
- 完全内网隔离 + 无暴露面 → 可降 1 级
- ⚠ 不适用于 P0 在野利用场景