用途：该技能用于对终端执行漏洞修复，包括从扫描结果中导入并优先排序CVE、部署补丁、应用配置变更、处理无补丁的零日漏洞，以及验证和跟踪修复状态。适用场景包括：修复Nessus/Qualys/Rapid7扫描发现的漏洞、响应需要立即修补的零日CVE公告、满足补丁管理SLA（严重14天、高危30天，以及P3中危60天、P4低危90天）、从扫描结果构建优先级修复计划。不适用于漏洞扫描本身，也不适用于应用层漏洞修复（应使用DevSecOps流程）。
主要能力：
- 优先级评分：结合CVSS基础分（0-10）、EPSS利用概率、是否列入CISA KEV目录、资产关键性、网络暴露情况。P1为CVSS>=9.0或列入KEV或存在在野利用且CVSS>=7.0；P2为CVSS 7.0-8.9且EPSS>0.5；P3为CVSS 4.0-6.9，或CVSS 7.0-8.9且EPSS<0.1；P4为CVSS<4.0且无已知利用。
- 修复动作类型：打补丁、配置变更、升级、临时缓解（补丁未发布时）、补偿性控制（网络分段、WAF规则、EDR规则）、记录并接受风险（需CISO签字）。
- 补丁部署：可通过WSUS批准补丁、SCCM创建软件更新组、Intune创建Windows更新环部署；也可用PowerShell命令安装并验证补丁，例如： Install-Module PSWindowsUpdate -Force Get-WindowsUpdate -KBArticleID "KB5034441" -Install -AcceptAll -AutoReboot Get-HotFix -Id "KB5034441"
- 配置类修复：例如禁用SMBv1： Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart 禁用非打印服务器的打印后台服务、通过注册表或GPO禁用LLMNR、限制NTLM认证等。
- 零日处理：查询厂商公告中的缓解措施（如MSRC、Adobe安全公告、Linux发行版安全跟踪器），禁用受影响功能或服务、部署EDR检测规则、配置防火墙或WAF封锁、限制访问，并订阅补丁发布通知、关注CISA KEV新增、记录带有效期的临时方案。
- 修复验证：重新扫描或使用PowerShell检查补丁、服务状态与注册表项，例如检查Spooler服务是否禁用、SMB1注册表值是否为0。
- 报告与跟踪：统计漏洞总数、已修复数及比例、SLA内待处理数、超期数、已接受风险数、平均修复时间（MTTR）、SLA合规率。
必要前提：需有漏洞扫描结果（CSV/XML导出）、补丁管理平台（WSUS、SCCM、Intune或Automox等第三方）、对目标终端或部署基础设施的管理权限、生产环境补丁变更管理流程、以及用于验证补丁的测试环境。相关工具包括Nessus/Tenable.io、Qualys VMDR、Rapid7 InsightVM等。
限制与常见误区：应先在小范围测试组验证补丁，避免兼容性或蓝屏问题；不能只看CVSS而忽略EPSS，例如CVSS 9.8且EPSS 0.01的漏洞可能不如CVSS 7.5且EPSS 0.95紧急；部署补丁不等于安装成功，必须重新扫描确认；不要长期排除关键服务器，应安排维护窗口；按CVSS、EPSS、资产关键性、暴露情况综合排序优于只按严重级别处理。资料未提供其他未列明的收费、价格或平台支持信息。