工控漏洞修复优先级应该怎么排序？

工控漏洞修复优先级应该怎么排序？

A: 工控漏洞修复优先级排序是工控安全运维的核心难题之一。仅凭CVSS评分排序会导致"高CVSS但不可达"的漏洞被优先处理，而真正危险的"低分但可利用"漏洞被忽略。建议采用多维度综合评估方法：

四维度评估模型：

1. CVSS评分（30%权重）：行业通用基础评分，但仅作为参考起点。注意工控环境的CVSS向量有时与IT场景评分差异较大。
2. CISA KEV收录状态（30%权重）：已被CISA"已知被利用漏洞清单"收录的漏洞具有最高优先级。这意味着漏洞有真实在野利用证据，需立即响应（参考CISA BOD 22-01的修复SLA）。
3. EPSS评分（20%权重）：FIRST.org提供的漏洞利用概率预测（0-1之间）。EPSS>0.5的漏洞在未来30天被利用概率显著高于平均水平。
4. 资产关键性（20%权重）：基于资产对生产、安全、合规的影响评估。关键资产（如SIS、DCS主控、PLC编程端口）的漏洞优先级显著提升。

优先级矩阵（推荐）：

优先级	判定条件	修复SLA
P0 紧急	KEV收录 + 关键资产	立即响应，7天内修复
P1 高	KEV收录 OR (CVSS≥9.0 + 关键资产)	14天内修复
P2 中	EPSS≥0.5 + 关键资产 OR CVSS≥7.0	30天内修复
P3 低	EPSS<0.5 + 非关键资产	90天内修复或接受风险

关键注意事项：

• 可利用性是关键：仅在网络可达、利用条件成立的漏洞才有真实风险。工控系统中很多CVSS高分漏洞因网络隔离、协议白名单等措施降低实际风险。
• 补偿措施可暂缓：若已有网络分段、白名单、IDS告警等补偿措施，可暂缓修复但需明确风险接受。
• 停产窗口期决策：高优先级漏洞必须在下次停产窗口修复，避免长期积累形成"漏洞债"。
• 建立漏洞库：使用专业工控漏洞管理工具（如Nozomi Networks漏洞管理、Claroty Continuous Threat Detection）持续跟踪资产漏洞状态。

建议：建立企业级漏洞管理平台，集成CVSS/KEV/EPSS数据源，结合资产关键性数据自动生成修复优先级清单，形成"识别→评估→修复→验证"闭环。