vulnerability-assessment

Files (1)

• SKILL.md

SKILL.md (first lines)

# 漏洞评估深度技能

> **AI LOAD INSTRUCTION**: 漏洞评估与优先级专家方法论。聚焦 CVSS 3.1/4.0 向量推演→EPSS+KEV+VPT 融合排序→验证可行性→供应链/云容器专项→报告编制。评级结论必须可回溯原始证据，报告对齐 pentest-output-standards。

## 概述

漏洞评估是攻防对抗中"知己"的核心能力，也是渗透测试与安全运营的衔接枢纽。本技能系统化覆盖**漏洞发现→评级→验证→修复→回归→闭环**完整生命周期，在 v2.0 基础上深度升级：不仅掌握 CVSS 评分，更理解 CVSS 4.0 新度量体系及其滥用陷阱；不仅使用扫描器，更懂得自动化配置与误报治理；不仅报漏洞，更能从 CVSS 分数推演**真实可利用性**；同时打通 EPSS/KEV/VPT 优先级技术、供应链 SBOM 评估、云容器专项与 **AI 大模型辅助研判**等 2025-2026 年实战前沿维度。

### 核心概念
- **漏洞（Vulnerability）**：资产中可被威胁利用的缺陷，与暴露面（Exposure）共同构成风险
- **CVSS**：通用漏洞评分系统（FIRST 维护），衡量漏洞技术严重性（Severity），**不是风险**（Risk）
- **CVSS-B/BT/BE/BTE**：CVSS 4.0 命名法，明确分数包含哪些指标组（Base/Threat/Environmental）
- **EPSS**：漏洞利用预测评分（0-1 概率），预测未来 30 天被真实利用的可能性
- **KEV**：CISA 已知被利用漏洞目录，记录**已在野利用**的 CVE，VPT 的最高优先级信号
- **VPT（Vulnerability Prioritization Technology）**：融合多信号的漏洞优先级技术，解决"先修哪个"
- **SBOM**：软件物料清单，供应链漏洞评估的基础
- **可利用性（Exploitability）≠ 严重性（Severity）**：CVSS 衡量理论上多严重，EPSS/KEV 衡量现实中多可能被利用
- **误报治理**：扫描器输出是"候选（Lead）"，人工验证后才成为"确认发现（Finding）"

### 漏洞全生命周期总览
```
发现 → 录入 → 评级(优先级) → 分配 → 修复 → 验证(回归+绕过测试) → 关闭
  ↑                                                              |
  └─────────────── 复发/新变体再发现 ←──────────────────────────┘
```

## 一、漏洞发现渠道与攻击面管理

### 1.1 主动发现
```
1. 自动化扫描
   → SAST（代码静态分析：CodeQL/Semgrep/Bandit）
   → DAST（Web动态测试：Burp/AWVS/Nuclei）
   → SCA（依赖与供应链：Trivy/Grype/Snyk）
   → IAc（基础设施即代码：Checkov/TFsec/kube-bench）
   → 端口扫描/服务枚举（Nmap + NSE）

2. 手工渗透测试
   → 黑盒/灰盒/白盒测试
   → 业务逻辑漏洞（扫描器盲区，必须人工）
   → 认证授权测试（越权/水平垂直提权）

3. 代码审计
   → Source-Sink 分析、数据流追踪
   → 第三方库与遗留代码审计

4. 威胁建模
   → STRIDE/DREAD 建模
   → 攻击面分析、信任边界识别
```

### 1.2 被动发现
```
1. 外部报告
   → 漏洞赏金平台（HackerOne/BugCrowd）
   → 安全研究员报告、CERT 通报
2. 监控告警
   → WAF/IDS/HIDS、SIEM 异常检测、蜜罐告警
3. 威胁情报
   → CVE/NVD/CNVD 公告、厂商安全通告、0day 情报、暗网/Telegram 黑产情报
```

### 1.3 攻击面管理与漏洞评估的边界

资深攻防专家视角：**漏洞评估 ≠ 攻击面管理（ASM）**，两者互补但必须分清边界：

| 维度 | 攻击面管理（ASM） | 漏洞评估（VA） |
|------|------------------|----------------|
| 回答的问题 | "敌人能看到/碰到什么？" | "这些资产上有什么缺陷？" |
| 核心对象 | 资产、影子IT、暴露面（IP/域名/端口/API/云资产） | 已知漏洞、错误配置、弱口令 |
| 输出 | 资产清单+暴露风险 | 漏洞清单+严重性+优先级 |
| 主要手段 | 资产测绘（Shodan/FOFA/子域名枚举/CSPM） | 漏洞扫描+验证 |
| 依赖关系 | ASM 决定"扫哪里"，是 VA 的前置输入 | VA 决定"修什么" |

**实战要点：**
- 评估前必须先做资产盘点：`nmap -sV -p- --open <范围>` 全端口 + 服务识别，避免漏扫
- 影子 IT（未登记的测试环境/云桶/子域名）是漏洞评估最大盲区，结合证书透明度日志（crt.sh）、DNS 爆破发现
- 评估边界必须在授权书/合同明确（IP 段、域名、云账号、时间段、是否允许破坏性验证）

## 二、CVSS v3.1 评分体系深度

### 2.1 基础指标（Base Metrics）

| 指标 | 取值 | 说明 |
|------|------|------|
| Attack Vector (AV) | N/A/L/P | 网络/相邻/本地/物理 |
| Attack Complexity (AC) | L/H | 低/高 |
| Privileges Required (PR) | N/L/H | 无/低/高（注意 Scope 变化时 PR 取值的反转） |
| User Interaction (UI) | N/R | 无需/需要 |
| Scope (S) | U/C | 不变/改变（影响 PR 与影响评分的计算方式） |
| Confidentiality (C) | N/L/H | 无/低/高 |
| Integrity (I) | N/L/H | 无/低/高 |
| Availability (A) | N/L/H | 无/低/高 |

**评分计算（v3.1）：**
```
Impact Subscore = 1 - (1-C)*(1-I)*(1-A)   （Scope 不变时）
Exploitability   = 8.22 × AV × AC × PR × UI
Base Score       = min(Impact + Exploitability, 10)  （配合 Scope 调整公式）

评级标准（Severity 与风险分开看）:
- Critical: 9.0-10.0    High: 7.0-8.9
- Medium:  4.0-6.9      Low:  0.1-3.9     None: 0.0
```

### 2.2 评分实务（资深视角的 4 个易错点）

1. **PR 与 Scope 联动反转**：S:C 时 PR=H 反而对分数的"惩罚"更小（因为影响扩散到授权边界之外），这是 3.x 最易被评错的地方
2. **AC:H 判定过松**：AC:H 要求"可利用前必须满足特定条件且攻击者无法控制"（如竞态/堆布局），仅"需要特殊配置"不构成 AC:H
3. **时间型指标（Temporal）被普遍弃用**：v3.1 的 E/RL/RC 在实际运营中很少被消费方更新，多数扫描器只输出 Base——这正是 EPSS 兴起的原因
4. **Base 分数不可比**：NVD 与厂商（CNA）对同一 CVE 常给出不同 Base 分数（如 Tomcat CVE-2025-24813 的 9.8 vs 7.5），引用时必须注明来源

### 2.3 风险优先级评估（v2.0 核心保留）

```
优先级 = CVSS评分 × 资产权重 × 可利用性 × 暴露面

资产权重: 核心业务 1.0 / 重要支撑 0.8 / 一般业务 0.5 / 开发测试 0.2
可利用性: 已有公开Exploit 1.0 / PoC可构造 0.7 / 需要高级技能 0.3 / 理论可能 0.1

From langbyyi/CyberStrikeAI-SRC, Apache-2.0.

More from langbyyi/CyberStrikeAI-SRC