SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场patch-prioritization

patch-prioritization

安全与审计

查看项目

更新于 10-16 09:11

技能介绍

用途

补丁优先级与 SLA 管理技能，围绕 SSVC 2.1 / EPSS v3 / CISA KEV 三大框架展开。适用角色为安全工程师、vCISO，预计耗时 20–40 分钟。输出为带 SLA 分配的优先级补丁计划、例外文档与风险接受工件。

当目标是管理漏洞修复积压、分配或校验补丁 SLA、依据业务约束排定补丁窗口、评估作为临时缓解的补偿性控制，或处理延期补丁的风险接受与例外请求时使用该技能。若任务属于初始 CVE 分类与严重性评分（改用 cve-triage）、为未修补系统创建检测规则（改用 detection-engineering），或 SBOM 级依赖分析（改用 sbom-analysis），则不适用。

所需上下文

开始前需收集或确认：漏洞清单（待修复的 CVE 或漏洞发现，含扫描器来源如 Qualys、Tenable、Rapid7、Snyk、Trivy）；当前 SLA 分配（各发现的既有 SLA 层级与截止日期）；资产清单上下文（受影响系统的业务关键性、暴露面如互联网暴露/内部/气隙、负责人与环境如生产/预发/开发）；补丁可用性（是否存在厂商补丁、热修复或变通方案）；变更管理约束（维护窗口、冻结期、变更咨询委员会 CAB 日程）；补偿性控制清单（WAF 规则、网络分段、EDR 策略、已禁用功能）；合规要求（CISA BOD 22-01、PCI DSS 4.0 要求 6.3.3、HIPAA、FedRAMP）；历史 EPSS 数据（如可用，7/30/90 天趋势，API：https://api.first.org/data/v1/epss）。若缺少资产上下文，按互联网暴露且业务关键假设，并在输出中标注该假设。

主要能力与流程

  1. 清点与分类待处理漏洞：跨扫描器去重（同一资产同一 CVE 计为单项），为每项补充当前 EPSS、CISA KEV 状态与 SSVC 决策，映射到带业务关键性与暴露面上下文的资产，并标记已超当前 SLA 截止的项为 SLA Breach。

  2. 按严重性层级应用 SLA 框架：SLA 层级由 SSVC 2.1 决策结果推导，并与 EPSS 概率和 CISA KEV 状态交叉比对。层级矩阵包含 P0 紧急（24 小时）、P1 关键（72 小时）、P2 高（14 天）、P3 中（30 天）、P4 低（90 天）、P5 信息性（下一计划周期）。规则包括：CISA KEV 覆盖（任何在 KEV 目录中的 CVE 对联邦机构自动为 P0，私营部门至少 P1）；SSVC 优先（SSVC 决策结果为主要驱动，EPSS 与 CVSS 作二级验证）；仅向上调整（若 EPSS 或 KEV 状态显示更高紧迫性则升级层级，不得用 EPSS 下调 SSVC Immediate 决策）；资产关键性修正（非关键资产如开发/测试/沙箱可放宽一级并记录理由）。

  3. EPSS 趋势分析：获取每个 CVE 的当前 EPSS 分数与百分位，对比 7/30/90 天历史分数（API：https://api.first.org/data/v1/epss?cve=[CVE-ID]），计算趋势方向与幅度。趋势分为 Surging（30 天内绝对上升 ≥0.2 或相对 ≥200%，立即升级一个 SLA 层级并标记为窗口外修补）、Rising（30 天内绝对上升 ≥0.05 或相对 ≥50%，密切监控并准备下一窗口补丁）、Stable（30 天内变化 <0.05，维持当前层级）、Declining（30 天内下降 ≥0.05，可支持 Scheduled/Defer 层级的风险接受）。

  4. 补偿性控制评估：对照 NIST SP 800-53 Rev.5（CA-3、SI-2）与 PCI DSS 4.0（要求 6.3.3、附录 B），验证控制有效性、覆盖范围、持久性、可验证性与残余风险。控制类型包括网络分段、WAF/IPS 规则、功能/服务禁用、EDR/XDR 检测、访问限制，各自给出有效性标准与最大 SLA 延长天数。

  5. 补丁窗口排期：对照 ITIL 4 变更启用与企业变更管理策略，识别 SLA 截止内的可用维护窗口，按系统/应用分组补丁以减少变更窗口，评估依赖链、回滚流程与测试覆盖，并考虑变更冻结期。调度优先级规则区分应急变更、加急变更与标准变更。

  6. 风险接受与例外管理：对照 NIST SP 800-39 与 ISO 27005:2022，风险接受仅在满足全部条件时有效：业务理由书面化、补偿性控制到位（至少一项评估为完全或部分有效）、残余风险量化、设定到期日（P1–P2 最长 90 天，P3–P4 最长 180 天）、适当权限批准。文件给出审批权限矩阵与例外请求模板。

此外给出整体补丁态势分类（Critical Backlog、Elevated Risk、On Track、Healthy）及判定标准。

输出格式

产出结构化报告，包含固定章节：补丁优先级报告标题（日期、技能版本、框架、审查者）、执行摘要、SLA 合规仪表板（按层级统计总数、SLA 内、风险中、已违规、已授权例外）、EPSS 趋势警报、优先级补丁计划表、生效补偿性控制表、风险例外表、建议与参考。P0/P1 行动与风险接受需人工复核。

框架参考

  • SSVC 2.1（CERT/CC）：基于利用状态、可自动化性、技术影响与任务普遍性产出面向行动的分类（Defer、Scheduled、Out-of-Cycle、Immediate），作为 SLA 层级分配的主要驱动。规范：https://certcc.github.io/SSVC/ ；仓库：https://github.com/CERTCC/SSVC 。
  • EPSS v3（FIRST.org）：漏洞利用预测评分系统，每日更新 CVE 在 30 天内于野外被利用的概率（0.0–1.0），用于趋势分析与层级校验。规范：https://www.first.org/epss/ ；API：https://api.first.org/data/v1/epss ；数据：https://epss.cyentia.com/ 。
  • CISA KEV（DHS/CISA）：已知被利用漏洞目录，含确认活跃利用的 CVE；联邦机构受 BOD 22-01 约束须在 CISA 指定期限内修复。目录：https://www.cisa.gov/known-exploited-vulnerabilities-catalog 。

限制

资料未提供该技能的收费方式、价格、平台支持范围与具体效果数据，这些内容暂未提供。实际使用需按前述要求准备漏洞清单、资产上下文、变更约束等输入；若缺失资产上下文，将按互联网暴露且业务关键假设执行并标注。初始 CVE 分类与评分、检测规则创建、SBOM 分析不在本技能范围。