核心用法
Cyber KEV Triage 采用「KEV（Known Exploited Vulnerabilities）」情报框架，将传统 CVSS 评分与主动利用证据、资产业务关键性三维融合，输出可执行的修复优先级方案。典型使用场景包括：企业漏洞扫描结果的海量降噪、补丁窗口期内的资源有限决策、向管理层汇报的修复进度看板。
操作流程简洁清晰：第一步批量导入 CVE 清单，自动关联 CISA KEV 目录中的在野利用标记；第二步映射受影响资产至预定义的关键性等级（如 Tier-0 核心生产、Tier-2 办公终端）；第三步执行加权评分算法，生成 P0-P3 四级修复队列；最终输出包含建议修复窗口（如 P0 72小时内、P1 7天内）的 Markdown 摘要报告。
技能内置 scripts/kev_triage.py 确定性脚本，确保相同输入在不同运行环境下评分一致，便于审计追溯。配套 references/triage-method.md 提供完整的评分权重 rationale 与人工复核检查清单，支持安全团队根据行业合规要求（如 PCI-DSS、NIST SP 800-40）微调阈值。
显著优点
- 情报驱动决策：直接对接 CISA KEV 等权威在野利用数据源，避免「高 CVSS 低实际风险」的误判
- 业务语境融合：资产关键性权重使修复排序贴合业务连续性需求，而非纯技术视角
- 确定性输出：脚本化评分消除人为主观差异，满足合规审计的可复现性要求
- 防御姿态纯粹：全程聚焦修复指导，无任何漏洞利用或渗透测试相关内容，降低误用风险
潜在局限
- 依赖外部情报时效性：KEV 目录更新滞后可能导致新兴威胁未纳入高优先级队列，需建议用户建立威胁情报补充机制
- 资产关键性需预配置：若企业未建立资产分级体系，首次使用需投入数据治理成本
- 评分算法黑盒风险：尽管提供 method 文档，非技术决策者可能难以理解权重背后的概率模型
- 单点工具定位：侧重「排优先级」而非「自动化修复」，大规模环境仍需对接 SOAR/ITSM 平台实现闭环
适合人群
- 漏洞管理团队（VM）：需要日均处理数百 CVE 的优先级排序
- 安全运营中心（SOC）：在漏洞爆发期快速生成应急修复建议
- 合规与风险管理岗：向审计方或董事会证明修复决策的科学性
- 中小型 IT 团队：缺乏专职安全分析师，需开箱即用的优先级框架
常规风险
- 数据输入完整性风险：缺失 asset 字段或 CVE 格式错误将导致评分降级或报错，建议前置数据校验
- 过度依赖自动化评分：高危但未进入 KEV 目录的 0-day 可能被系统低估，需保留人工覆写通道
- 修复窗口期误读：P0/P1 分级需结合企业变更管理流程解读，直接照搬可能引发运维冲突
- 情报源单点故障：若 CISA KEV API 不可达，技能将回退至 CVSS 单维评分，需在 SLA 中明确降级策略