该技能面向漏洞管理：把扫描器产出的大量发现转化为有限团队可执行的修复顺序。资料强调 CVSS 是严重性而非优先级，多数 CVE 从未被实际利用，因此按 CVSS 降序接近最差排序。
三个可组合信号：其一，是否已被利用——CISA KEV 记录已确认的在野利用，是最强的优先信号，也是事实而非预测；EPSS 为每日更新的 0 至 1 概率，预测未来 30 天被利用的可能性，用于排序尚未进入 KEV 的长尾，需每日重新拉取。KEV 与 EPSS 回答不同问题，二者并用：KEV 是确定性下限，EPSS 用于其下排序。其二，是否可达——服务是否互联网暴露、脆弱代码路径是否真的被调用、是否存在补偿控制（WAF、网络策略、关闭的功能）、利用是否需要认证/本地访问/用户交互。其三，保护什么——结合资产关键性，缺少资产清单的漏洞管理等于盲排。
资料建议用 SSVC 决策树而非单一分数，依次询问利用状态、暴露面、是否可自动化、影响，落到 track/track*/attend/act；输出应是带负责人和日期的有序可执行清单，而非风险分数或仪表盘。
修复与例外需如实跟踪：直到验证修好才算关闭，重新扫描确认；例外须有负责人和到期日，而非静默抑制；同一漏洞修复后复现说明基础镜像、模板或流水线在重新引入，需治本。资料列出应拒绝的常见理由，如“9.8 所以最高优先”“5.3 可以忽略”“Critical 一律 30 天”等。
适用：漏洞扫描输出分类排序、固定预算下决定先修什么、构建或评审基于风险的流程、解释高 CVSS 为何不是当周首要、判断某发现该走例外还是修复。不适用：EDR/SIEM 告警队列、源码审计、云配置错误、漏洞利用验证。
读取外部来源可用： curl -sL "https://defuddle.md/<url>" # scheme in the path is optional 该方式去除页面样板、返回全文便于 grep，但不适用于 JSON/API 原始响应、需认证或 JS 渲染页面，也不得用于对手基础设施、客户自有主机或演练 URL。部分站点会返回错误块（如 {"error":"Failed to fetch: 418 I'm a teapot"}），此为抓取被拒，应直接重取 URL 再下结论。
相关参考：triaging-security-alerts、auditing-supply-chain、hardening-cloud-posture、reporting-security-findings。具体安装方式与收费情况暂未提供。