如何为没有 CVE 的安全发现排定优先级

HackerOne 将 FIRST 的 EPSS 评分集成至 Hacktivity 的 CVE Discovery：在 CVSS 严重程度之外引入未来 30 天在野利用概率预测，帮助企业更精准排定 CVE 修复优先级。

Ethiack 详解重构后的风险评分：不再单纯依赖 CVSS，而是结合 CISA KEV、EPSS、资产暴露情况与搁置时长等可利用性上下文，帮助安全团队排定修复优先级。

53% 的美国 CEO 高度担忧网络威胁影响增长，2019 年数据泄露平均成本 390 万美元；NetSPI 借此论证 PTaaS 价值：人工渗透结合自动化、按月或按季度持续交付实时结果，取代一年一次的合规式测试。

NetSPI 列举应用安全评估流程需要重构的五个信号：多渠道提测、范围界定困难、问卷反复沟通、邮件传递测试凭据、手工复制粘贴报告等，指出人工流程易出错且拖慢节奏，自动化平台可减少 40%-60% 的管理开销。

NetSPI 梳理漏洞管理中反复出现的难题：漏洞数量激增、多套扫描器缺乏统一视图、跨团队修复协调平均损耗 12 天、57% 组织仍用邮件和表格管理补丁流程，且合规导向的安全建设容易偏离业务风险本源。

NetSPI 对比 Excel、SharePoint、JIRA、ServiceNow 与自建系统在漏洞修复跟踪上的局限：表格易错乱、多 JIRA 实例割裂数据、自建工具难维护。文章给出威胁与漏洞管理编排的最佳实践清单，确保发现被统一跟踪直至修复。