按類別存檔： 資安知識

中小企業在進行弱點掃描或資產盤點後，常會遇到一個現實問題：掃描報告列出數十個甚至數百個 CVE，但 IT 人力有限，不可能同一天全部修完。這時候，單看「高風險」或「CVSS 分數」通常不夠，因為企業真正需要的是：哪些弱點已經被攻擊者利用？哪些弱點未來短期內較可能被利用？哪些弱點雖然嚴重，但在自家環境不一定是第一優先？

這就是 NIST NVD、CISA KEV 與 FIRST EPSS 的價值。三者不是互相取代，而是從不同角度協助企業判斷修補順序。

NIST NVD 是什麼？提供 CVE 與 CVSS 等弱點基礎資訊

NIST National Vulnerability Database（NVD） 是美國政府維護的弱點資料庫，提供標準化的弱點資訊，例如 CVE 編號、受影響產品、弱點描述、參考資料與 CVSS 分數。

對企業來說，NVD 最常被用來回答這幾個問題：

• 這個 CVE 是哪一類弱點？
• 影響哪些產品或版本？
• 官方或供應商是否有修補資訊？
• CVSS 分數與攻擊條件大致如何？

但要特別注意：CVSS 是嚴重度指標，不等於企業實際風險。 NVD 的 CVSS 說明也明確指出，CVSS 可提供弱點嚴重度的標準化衡量，但不是完整的風險評估。原因很簡單，同一個 CVE 在不同企業裡的風險會不同；是否對外開放、是否有補償控制、是否存在於核心系統、是否已被攻擊者鎖定，都會改變實際優先順序。

CISA KEV 是什麼？已知遭利用弱點應優先處理

CISA Known Exploited Vulnerabilities（KEV）Catalog 是美國 CISA 維護的「已知遭利用弱點」清單。它的重點不是告訴你弱點分數多高，而是告訴你：這個弱點已有被實際利用的證據。

對中小企業而言，KEV 的判讀方式非常直接：如果弱點出現在自家資產上，而且也列入 KEV，通常應該放進第一優先處理清單。因為這代表攻擊者不是理論上可能利用，而是已經在真實世界中使用。

KEV 特別適合用在以下情境：

• 防火牆、VPN、郵件系統、遠端存取設備等對外服務盤點。
• 弱點掃描結果太多，需要先挑出最急迫項目。
• 公司沒有完整 SOC 或威脅情資團隊，需要一個可靠的外部優先訊號。
• 管理層要求說明「為什麼這個修補要先做」。

FIRST EPSS 是什麼？估計未來 30 天被利用機率

FIRST EPSS（Exploit Prediction Scoring System） 是一套資料驅動的弱點利用機率評分。EPSS 提供 0 到 1 之間的分數，用來估計某個 CVE 在未來 30 天內被觀察到利用活動的機率，並搭配 percentile 呈現該弱點相對於其他弱點的排序位置。

簡單說，EPSS 不是在說「這個弱點有多嚴重」，而是在回答：「這個弱點近期被利用的可能性高不高？」這對資源有限的中小企業很重要，因為它能協助把修補工作從單純看 CVSS，提升為同時參考威脅活動與利用機率。

EPSS 適合用在這些決策：

• 多個高 CVSS 弱點同時出現時，先看哪個 EPSS 較高。
• 弱點尚未列入 KEV，但 EPSS 明顯偏高時，提前安排修補。
• 把弱點修補 SLA 從「全部高風險都一樣」調整為「嚴重度、是否已遭利用、利用機率」共同判斷。

NVD、KEV、EPSS 的差異：不要只看單一分數

最務實的做法，是把三者放在同一個修補決策流程中，而不是只看其中一個。

中小企業可以怎麼用？一個簡單的修補優先順序

如果企業還沒有成熟的弱點管理制度，可以先採用以下簡化版本：

1. 先盤點資產：確認哪些系統對外開放、哪些系統處理個資或營運關鍵資料。
2. 比對 NVD：確認 CVE、受影響版本、CVSS 與供應商修補資訊。
3. 檢查 KEV：若列入 KEV，優先排入修補或緩解。
4. 參考 EPSS：若 EPSS 或 percentile 偏高，即使尚未列入 KEV，也應提高處理順位。
5. 加入企業情境：對外服務、核心系統、遠端存取、無補償控制的弱點，優先度再往上調。
6. 記錄例外：若暫時無法修補，應留下緩解措施、負責人與重新檢視日期。

實務建議：把三種訊號轉成可執行的修補規則

中小企業不一定需要一開始就導入複雜平台，但至少可以在弱點管理表中加入幾個欄位：CVE 編號、資產名稱、是否對外、CVSS、是否在 KEV、EPSS 分數、供應商修補連結、預計修補日期與處理狀態。

這樣做的好處，是讓弱點管理從「掃描報告很多紅色」變成「可排序、可追蹤、可向管理層說明」。當修補資源有限時，企業應該優先處理已被利用、近期可能被利用、且存在於重要資產上的弱點。

AILAB 在弱點掃描與資安檢測服務中，也會建議企業不要只停留在掃描分數，而是進一步建立可維護的弱點修補流程。若需要盤點資產、執行弱點掃描或建立修補優先順序，可參考我們的 核心服務。

官方參考資料

• NIST National Vulnerability Database（NVD）
• NVD：Common Vulnerability Scoring System（CVSS）
• CISA Known Exploited Vulnerabilities Catalog
• FIRST Exploit Prediction Scoring System（EPSS）
• FIRST EPSS Data

NIST 在 2025 年 4 月正式發布 SP 800-61 Rev.3，取代 2012 年的 Rev.2。新版最大的改變，是不再把事件應變視為事件發生後才啟動的獨立流程，而是將它整合到 NIST Cybersecurity Framework（CSF）2.0 的整體風險管理活動中。

新版事件應變不只包含 Detect、Respond、Recover

SP 800-61 Rev.3 以 CSF 2.0 Community Profile 呈現事件風險管理。準備階段涵蓋 Govern、Identify 與 Protect；事件發生後以 Detect、Respond、Recover 處理；改善則回到 Identify-Improvement。這代表管理制度、資產清冊、權限、備份與供應鏈管理，都是事件應變能力的一部分。

中小企業可落地的事件應變流程

1. 先定義誰有權做決定

事件發生時最浪費時間的，往往不是技術分析，而是不知道誰能決定停機、隔離帳號、通知客戶或聯絡外部廠商。應事先建立事件負責人、技術窗口、管理層、法務與公關聯絡表，並準備非公司郵件的備援溝通方式。

2. 建立能還原時間線的日誌

至少集中保存身分驗證、端點、伺服器、防火牆、VPN、雲端管理與重要應用程式日誌。所有設備應使用一致時間來源，避免調查時出現事件順序無法對齊的問題。

3. 設計明確的事件分級

可依影響資料、受影響資產、是否持續擴散與營運中斷程度分成數個等級。每個等級應對應通報時限、負責人與處理動作，讓第一線人員不必臨時猜測。

4. 偵測後先確認範圍，再決定隔離

看到單一異常登入或惡意檔案，不代表事件只有一台設備。應先確認相同帳號、來源 IP、檔案雜湊與行為是否出現在其他系統，再決定封鎖帳號、切斷網路或保留現場。過早關機可能破壞記憶體證據，過晚隔離則可能讓影響擴大。

5. 回應期間維持證據與決策紀錄

記錄每個時間點的發現、執行者、採取動作與判斷理由。這些紀錄能支援後續技術調查、法規通報、保險申請與管理層檢討。

6. 復原不是把系統重新開機

復原前應確認攻擊入口已移除、密碼與金鑰已更新、安全修補已完成，並分階段恢復服務。恢復後要持續加強監控，避免攻擊者仍保有其他入口。

7. 將經驗轉成下一輪改善

事件結束後召開檢討會，聚焦哪些訊號太晚發現、哪些決策缺乏授權、哪些資料無法取得，以及哪些控制應優先改善。檢討的目的不是找人負責，而是讓下一次事件更快被發現、影響更小。

平時應準備的最小事件應變包

• 事件聯絡人與外部支援清單
• 資產、資料與系統相依關係
• 事件分級及通報門檻
• 帳號隔離、網路封鎖與備份復原程序
• 日誌保存位置與查詢權限
• 事件紀錄表與證據保全規則
• 每年至少一次桌上演練

監控與演練決定真正的反應速度

文件完成不代表組織具備應變能力。只有透過持續監控、告警調整與情境演練，才能確認流程在壓力下仍可運作。AILAB 可協助導入智慧告警與社交工程演練，並將事件訊號轉為可理解、可追蹤的處理資訊。

參考資料：NIST SP 800-61 Rev.3

企業看到弱點掃描報告時，最常問的不是「有幾個弱點」，而是「駭客真的能利用嗎？」答案取決於弱點是否位於可接觸的資產、攻擊者是否滿足利用條件，以及企業是否具備攔截與偵測能力。單看 CVSS 分數容易失焦，真正的風險必須同時考量外部曝險、實際利用情況、資產重要性與可能造成的業務影響。

有 CVE 不等於一定能成功入侵

CVE 是公開辨識弱點的編號，NIST 的 National Vulnerability Database（NVD）則彙整弱點描述、影響產品與評分等資訊。但一個高分弱點若只存在於隔離測試環境，風險可能低於一個分數較低、卻直接暴露於網際網路且已被大量利用的弱點。因此，企業不能只依照分數由高到低修補。

弱點被利用前，通常會經過四個階段

1. 找到對外資產

攻擊者先盤點網域、IP、VPN、郵件服務、雲端主機與公開網站，辨識服務版本和可能的管理介面。企業若沒有自己的資產清冊，往往比攻擊者更晚發現遺留系統。

2. 比對版本與利用條件

攻擊者會確認產品版本、網路位置、是否需要登入權限，以及特定模組是否啟用。這也是為什麼掃描結果需要人工判讀，避免把「可能受影響」誤當成「可直接利用」。

3. 建立初始存取

若弱點可從外部觸發，攻擊者可能藉此取得帳號、執行權限或系統入口。本文不提供利用程式與操作指令；防守方真正需要理解的是利用前提、可觀察跡象與阻斷位置。

4. 擴大權限與影響

初始入口只是開始。攻擊者可能尋找共用密碼、過度權限、未分段網路或未受保護的備份，逐步擴大影響。因此，修補弱點之外，權限管理、網路分段與日誌監控同樣重要。

企業應如何排定修補優先順序？

• 確認是否對外暴露：公開服務與遠端管理介面優先處理。
• 確認是否已被實際利用：結合 KEV、SSVC、威脅情報及供應商公告。
• 加入資產重要性：客戶資料、身分系統、金流與備份主機應提高優先級。
• 評估補償控制：無法立即更新時，可先限制來源、關閉功能、加上 WAF 或強化監控。
• 建立驗證閉環：修補後重新掃描，確認弱點真的消失而不是只完成工單。

弱掃的價值，是把未知風險變成改善清單

好的弱點管理不是追求報表歸零，而是持續掌握資產、辨識可被利用的路徑，並把有限資源放在最可能造成損失的地方。AILAB 的外部弱點掃描與 AI 報告，可協助中小企業將技術結果轉成管理者看得懂、工程人員能執行的改善順序。

參考資料：NIST National Vulnerability Database