4、EPSS与KEV：概率模型与已知利用的实战融合
说到漏洞优先级，圈子里一直有个老问题：CVSS 分高就一定得先修吗？
我见过太多团队，盯着 CVSS 9.8 的漏洞猛打，结果真正被黑客用起来的，反而是个 CVSS 7.5 的“小角色”。为什么会这样？
说白了，CVSS 只告诉你漏洞“有多严重”，但它不告诉你“被利用的可能性有多大”。这就是我们今天要聊的 EPSS 和 KEV 要解决的问题。
4.1 EPSS：用概率说话
EPSS，全称是 Exploit Prediction Scoring System。它不是拍脑袋定的分，而是基于大量真实数据训练出来的概率模型。
我习惯把它理解成“天气预报”。CVSS 告诉你“台风风力 12 级”，EPSS 告诉你“这个台风有 80% 的概率会登陆”。
核心逻辑：EPSS 模型会扫描暗网、漏洞利用代码仓库、安全研究社区、沙箱日志等十几个数据源。它看的是“有没有人在讨论这个漏洞”、“有没有 PoC 被放出来”、“有没有攻击流量被捕获”。
输出结果是一个 0 到 1 之间的概率值。比如 0.95，意味着这个漏洞在未来 30 天内被利用的概率是 95%。
我在项目中遇到过一件事：一个 CVSS 9.8 的 Apache Log4j 漏洞，EPSS 分数一度冲到 0.97。但另一个 CVSS 7.5 的中间件漏洞，EPSS 只有 0.02。你说哪个该先修？
| EPSS 分数区间 | 含义 | 建议动作 |
|---|---|---|
| 0.90 - 1.00 | 极高概率被利用 | 立即修复，24 小时内必须完成 |
| 0.50 - 0.89 | 较高概率被利用 | 本周内安排修复窗口 |
| 0.10 - 0.49 | 中等概率 | 纳入常规补丁周期 |
| 0.00 - 0.09 | 低概率 | 持续监控，暂不优先 |
我的习惯：EPSS 分数每天更新一次。我每天早上会先扫一眼 EPSS 排行榜，看看有没有新冒出来的高分漏洞。这比等厂商公告快多了。
4.2 CISA KEV：官方认证的“危险名单”
KEV，全称 Known Exploited Vulnerabilities Catalog。这是 CISA（美国网络安全和基础设施安全局）维护的一份目录。
它跟 EPSS 不一样。EPSS 是“预测”，KEV 是“实锤”。只要漏洞进了 KEV，就说明已经有真实攻击案例了。
注意：KEV 不是“可能被利用”，而是“已经被利用”。CISA 会要求联邦机构在指定时间内修复 KEV 中的漏洞。虽然这个要求只针对美国政府机构，但业界普遍把它当作“必须修”的信号。
我记得有一次，一个漏洞刚被加入 KEV，第二天就有客户问我：“这个漏洞我们还没打补丁，怎么办？”
我的回答很简单：KEV 里的漏洞，优先级直接拉满。不管 CVSS 是多少，只要进了 KEV，就按“紧急”处理。
KEV 目录包含几个关键字段：
- CVE ID：漏洞编号
- 漏洞名称：简短描述
- 已知利用日期：CISA 确认被利用的时间
- 要求修复截止日期：联邦机构的硬性期限
实战建议：把 KEV 目录接入你的漏洞管理平台。每天自动同步一次。一旦发现新条目，立刻触发告警。我曾经帮一个客户这么做了之后，他们的平均修复时间从 14 天降到了 3 天。
4.3 三剑合璧：EPSS + CVSS + KEV 决策模型
单独用 CVSS 会漏掉“高利用低严重”的漏洞。单独用 EPSS 又可能忽略那些“严重但暂时没人利用”的漏洞。单独用 KEV 则太被动，只能等别人发现。
所以我的做法是：把三者结合起来。
下面这张图是我在实际项目中用的决策流程：
具体怎么操作？我一般按这个步骤来：
- 第一步：查 KEV。如果漏洞在 KEV 里，直接标记为“紧急”，跳过后续判断。
- 第二步：看 EPSS。如果 EPSS ≥ 0.90，也标记为“紧急”。
- 第三步：看 CVSS。如果 CVSS ≥ 9.0 且 EPSS ≥ 0.50，同样标记为“紧急”。
- 第四步：其余情况。按常规排期，但每周重新评估一次 EPSS 分数。
避坑指南：我曾经遇到过一个漏洞，CVSS 只有 6.5，但 EPSS 高达 0.95。团队里有人觉得“才 6.5 分，不急”。结果三天后，这个漏洞就被大规模利用了。从那以后，我定了个规矩：EPSS 超过 0.90 的，不管 CVSS 多少，都按紧急处理。
4.4 实战中的常见误区
嗯，这里要注意几个坑：
- 误区一：只看 CVSS。CVSS 是静态的，EPSS 是动态的。一个漏洞今天 EPSS 是 0.01，明天可能就变成 0.95。所以必须持续监控。
- 误区二：EPSS 低就不管。EPSS 低不代表不会被利用。它只是说“目前没有迹象表明会被利用”。对于关键系统，即使 EPSS 低，也要保持关注。
- 误区三：KEV 只适用于美国机构。虽然 KEV 是美国政府的目录，但攻击者不会区分目标。只要漏洞进了 KEV，就意味着有成熟的利用工具，全球都可能受影响。
重要提醒：EPSS 和 KEV 都是“辅助工具”，不能完全替代人工判断。比如一个漏洞虽然 EPSS 很低，但它影响的是你的核心业务系统，那还是得优先修。工具是帮你做决策的，不是替你决策的。
最后说一句：漏洞优先级这件事，没有银弹。但把 EPSS、CVSS 和 KEV 结合起来，至少能让你从“瞎忙”变成“忙到点子上”。