దుర్బలత్వం స్కానింగ్ మరియు ప్రాధాన్యత: CVE, CVSS, EPSS మరియు సందర్భంతో సరిగ్గా క్రమబద్ధీకరించడం

లాభాలు:

• CVSS (తీవ్రత), EPSS (దుర్వినియోగం సంభావ్యత) మరియు KEV (వాస్తవ దుర్వినియోగం)లను సంస్థాగత సందర్భంతో (బహిర్గతం, విమర్శనాత్మకత, పరిహార నియంత్రణ) కలపడం ద్వారా ఖచ్చితంగా ప్రాధాన్యతనిచ్చే సామర్థ్యం
• NVD/EPSS/KEV మూలాల్లో కృత్రిమ మేధస్సు సృష్టించగల CVE నంబర్‌లు మరియు స్కోర్‌లను ధృవీకరించగల సామర్థ్యం మరియు మార్పు నిర్వహణ గేట్ ద్వారా ప్యాచింగ్ ప్లాన్‌ను పాస్ చేయడం
• అధిక CVSS మాత్రమే ప్రాధాన్యత అని అర్థం కాదు, కానీ నిజమైన ప్రమాదం సందర్భం ద్వారా నిర్ణయించబడుతుంది.

ప్రతి సంస్థలో వేలాది దుర్బలత్వాలు ఉన్నాయి: సాఫ్ట్‌వేర్‌లోని దుర్బలత్వం, తప్పుగా కాన్ఫిగరేషన్ చేయడం లేదా దాడి చేసేవారు ఉపయోగించుకోగల పాత భాగం. వల్నరబిలిటీ స్కానర్-సిస్టమ్‌లను స్కాన్ చేసే మరియు తెలిసిన దుర్బలత్వాలను జాబితా చేసే సాధనం-మీడియం-సైజ్ సంస్థలో సులభంగా 10,000-50,000 ఫలితాలను అందిస్తుంది. సమస్య వాటిని కనుగొనడం కాదు; అన్నింటినీ ఒకే సమయంలో మూసివేయడం అసాధ్యం అయిన ఈ కుప్పలో, ఏది ముందుగా ప్యాచ్ చేయాలో నిర్ణయించుకోవడం ముఖ్యం. తప్పు ప్రాధాన్యత రెండు విధాలుగా హాని కలిగిస్తుంది: మీరు నిజంగా ప్రమాదకరమైన వాటిని ఆలస్యం చేస్తారు లేదా వేలకొద్దీ అప్రధానమైన అన్వేషణలతో జట్టు మరియు వ్యాపార కొనసాగింపును మీరు నిర్వీర్యం చేస్తారు.

ఈ ప్రాధాన్యతలో కృత్రిమ మేధస్సు ఒక శక్తివంతమైన సహాయం. ఇది వేల సంఖ్యలో స్కాన్ అవుట్‌పుట్‌లను సమూహపరచగలదు, డూప్లికేట్‌లను కలపగలదు, ప్రతి అన్వేషణను మానవ భాషలోకి అనువదించగలదు, “ఇది ఎందుకు ముఖ్యమైనది” అని వివరించగలదు మరియు ప్రాధాన్యతా ఆకృతిని అందిస్తుంది. కానీ మీ సంస్థలోని ఏ సర్వర్ ఇంటర్నెట్‌కు తెరిచి ఉందో మరియు ఏది క్లిష్టమైన డేటాను కలిగి ఉందో AIకి తెలియదు; మరియు అత్యంత ప్రమాదకరమైనది, ఇది ఉనికిలో లేని దుర్బలత్వ గుర్తింపు (CVE)ని రూపొందించగలదు. కాబట్టి AI ర్యాంకింగ్ అవుట్‌లైన్‌ను రూపొందిస్తుంది మరియు వివరిస్తుంది, అయితే సంస్థాగత సందర్భం మరియు ధృవీకరించబడిన డేటాతో విశ్లేషకులు తుది ప్రాధాన్యత నిర్ణయం తీసుకుంటారు.

ప్రాధాన్యత యొక్క ప్రాథమిక అంశాలు

కొన్ని నిబంధనలను స్పష్టం చేద్దాం. CVE (కామన్ వల్నరబిలిటీస్ అండ్ ఎక్స్‌పోజర్‌లు) అనేది ప్రతి తెలిసిన దుర్బలత్వానికి (ఉదా. CVE-2021-44228, అప్రసిద్ధ Log4Shell) ఇవ్వబడిన ప్రత్యేక ID. CVSS (కామన్ వల్నరబిలిటీ స్కోరింగ్ సిస్టమ్) అనేది 0 నుండి 10 వరకు దుర్బలత్వం యొక్క సాంకేతిక తీవ్రతను స్కోర్ చేసే ప్రమాణం; 9.0+ "క్లిష్టమైనది"గా పరిగణించబడుతుంది. కానీ CVSS మాత్రమే సరిపోదు ఎందుకంటే ఇది "ఇది ఎంత తీవ్రంగా ఉండవచ్చు" అని చెబుతుంది, "అది నిజంగా దుర్వినియోగం అయ్యే అవకాశం ఎంత ఉంది" కాదు. ఇక్కడే EPSS (ఎక్స్‌ప్లాయిట్ ప్రిడిక్షన్ స్కోరింగ్ సిస్టమ్) వస్తుంది: ఇది రాబోయే 30 రోజులలో ఒక దుర్బలత్వాన్ని ఉపయోగించుకునే సంభావ్యతను అంచనా వేస్తుంది. KEV (తెలిసిన ఎక్స్‌ప్లోయిటెడ్ వల్నరబిలిటీస్) జాబితా కూడా ఉంది: వాస్తవ దాడులలో ఉపయోగించినట్లు నిరూపించబడిన దుర్బలత్వాలు; వీటికి పూర్తి ప్రాధాన్యత ఉంది.

సరైన ప్రాధాన్యత ఈ మూడింటిని మరియు ఎంటర్‌ప్రైజ్ సందర్భాన్ని మిళితం చేస్తుంది: అధిక CVSS + అధిక EPSS + KEV జాబితాలో + క్లిష్టమైన సర్వర్ ఇంటర్నెట్‌కు తెరవబడింది = వెంటనే ప్యాచ్ చేయండి. అధిక CVSS కానీ తక్కువ EPSS + అంతర్గత నెట్‌వర్క్‌లో + పరిమితం చేయబడిన యాక్సెస్ = షెడ్యూల్ చేయబడిన ప్యాచింగ్.

ప్రాధాన్యత కారకాల పట్టిక

కారకం

అది ఏమి చెబుతుంది

మూలం

ఒక్కటే సరిపోతుందా?

CVSS స్కోర్

సాంకేతిక తీవ్రత (0-10)

NVD / విక్రేత

లేదు — ఇది సంభావ్యత చెప్పలేదు

EPSS స్కోర్

దోపిడీకి గురయ్యే సంభావ్యత (%)

FIRST.org

లేదు - సందర్భం చెప్పలేదు

KEV జాబితా

అసలు అది దోపిడీకి గురవుతోందా?

CISA KEV

బలమైన సిగ్నల్, ఒక్కటే కాదు

అసెట్ క్రిటికల్

సర్వర్ ఎంత విలువైనది?

సంస్థాగత జాబితా

సందర్భాన్ని అందిస్తుంది

బహిర్గతం

ఇది ఇంటర్నెట్‌కు తెరిచి ఉందా లేదా ఒంటరిగా ఉందా?

నెట్వర్క్ నిర్మాణం

సందర్భాన్ని అందిస్తుంది

పరిహార నియంత్రణ

WAF, విభజన ఉందా?

సంస్థ సమాచారం

ప్రమాదాన్ని తగ్గిస్తుంది

AI ఈ పట్టికను త్వరగా పూరించవచ్చు; అయితే అధికారిక మూలం నుండి CVSS/EPSS/KEV విలువలను నిర్ధారించడం మరియు సంస్థాగత పరిజ్ఞానంతో ఆస్తి క్రిటికల్టీ మరియు ఎక్స్‌పోజర్‌ను జోడించడం మీ బాధ్యత.

దుర్బలత్వ ప్రాధాన్యత దశలు

1. స్కాన్ అవుట్‌పుట్‌ని సేకరించి, అనామకీకరించండి. అంతర్గత హోస్ట్ పేర్లు మరియు IPలను ముసుగు చేయండి.
2. సమూహం మరియు పునరావృతం తగ్గించండి. AI వేర్వేరు మెషీన్‌లలో ఒకే రకమైన దుర్బలత్వం యొక్క పునరావృతాలను మిళితం చేసి, ప్రత్యేకమైన CVE జాబితాను రూపొందించనివ్వండి.
3. సుసంపన్నం చేయండి. ప్రతి CVE కోసం CVSS, EPSS మరియు KEV స్థితిని చేర్చండి - కానీ వాటిని అధికారిక మూలం నుండి ధృవీకరించండి.
4. సందర్భాన్ని జోడించండి. ఏ సిస్టమ్ ఇంటర్నెట్‌కు తెరిచి ఉంది, ఇది క్లిష్టమైన డేటాను కలిగి ఉంది, ఏ పరిహార నియంత్రణ ఉంది - మీరు దాన్ని జోడిస్తారు.
5. క్రమబద్ధీకరించు. తీవ్రత + సంభావ్యత + సందర్భం కలిపి ఒక ప్రాధాన్యత జాబితాను రూపొందించండి.
6. ధృవీకరించండి మరియు నిర్ణయించండి. పైన కనుగొన్న వాటి యొక్క CVEలు నిజమైనవని మరియు సంస్కరణలు వాస్తవానికి మీ సంస్థలో ఉన్నాయని నిర్ధారించండి; విశ్లేషకుడిగా ప్యాచింగ్ ప్లాన్‌ను ఆమోదించండి.

మూడు చిన్న కేసులు

కేసు 1 — 12,000 ఫలితాలు, 40 వాస్తవ ప్రాధాన్యతలు. ఒక విశ్లేషకుడు AIకి అనామక 12,000 లైన్ల స్కాన్ అవుట్‌పుట్‌ను ఇస్తాడు. AI పునరావృత్తాలను మిళితం చేస్తుంది మరియు వాటిని 380 ప్రత్యేక CVEలకు తగ్గిస్తుంది, వాటిని EPSS మరియు KEV డేటాతో మెరుగుపరుస్తుంది మరియు "KEV జాబితాలో ఉన్న మరియు ఇంటర్నెట్‌కు తెరిచిన సర్వర్‌లో ఉన్న 40 దుర్బలత్వాలను" హైలైట్ చేస్తుంది. విశ్లేషకుడు ఈ 40 CVEలను NVD మరియు KEV కేటలాగ్‌లో నిర్ధారిస్తారు, వాస్తవానికి 24 గంటలలోపు ఉన్న 3 క్లిష్టమైన దుర్బలత్వాలను అతుక్కుంటారు. స్టాక్ 12,000 నుండి నిర్వహించదగిన 40కి తగ్గిపోయింది; విశ్లేషకుడు నిర్ణయం తీసుకున్నాడు.

కేసు 2 - నకిలీ CVE. మరొక విశ్లేషకుడు AI ప్రాధాన్యతను కలిగి ఉన్నాడు; AI "CVE-2023-88888, CVSS 9.8, ప్యాచ్ నౌ" అని చెప్పింది. విశ్లేషకుడు ఈ నంబర్ కోసం NVDలో శోధిస్తాడు — రికార్డు లేదు, మోడల్ రూపొందించబడింది. ఇది ధృవీకరించబడకపోతే, జట్టు ఉనికిలో లేని పాచ్ కోసం వెతుకుతూ ఉండేది. పాఠం: NVD/వెండర్ రిజిస్ట్రీలో ధృవీకరించబడే వరకు ప్రతి CVE నంబర్‌కు ప్రాధాన్యత ఇవ్వబడదు.

కేస్ 3 — CVSS ఎక్కువగా ఉంది కానీ రిస్క్ తక్కువ. అంతర్గత నెట్‌వర్క్‌లోని టెస్ట్ సర్వర్‌లో స్కానర్ CVSS 9.1 దుర్బలత్వాన్ని కనుగొంటుంది. AI దీన్ని మొదటి స్థానంలో ఉంచుతుంది. కానీ విశ్లేషకుడు సందర్భాన్ని జోడిస్తుంది: సర్వర్ ఇంటర్నెట్‌కు మూసివేయబడింది, క్లిష్టమైన డేటా లేదు, దాని ముందు నెట్‌వర్క్ సెగ్మెంటేషన్ ఉంది మరియు EPSS స్కోర్ 0.4%. అదే జాబితాలో, మరొక దుర్బలత్వం CVSS 7.5 అయితే ఇంటర్నెట్‌కు తెరిచి ఉంది మరియు KEVలో ఉంది. విశ్లేషకుడు ర్యాంకింగ్‌ను సరిచేస్తాడు: KEVలోని దుర్బలత్వం, తక్కువ CVSSతో ఉన్నప్పటికీ వాస్తవానికి దోపిడీకి గురవుతుంది. పాఠం: CVSS మాత్రమే ప్రాధాన్యత కాదు; సందర్భం నిర్ణయిస్తుంది.

బలహీనమైన ప్రాంప్ట్ / బలమైన ప్రాంప్ట్

బలహీనమైన ప్రాంప్ట్:

ఈ దుర్బలత్వాలను అత్యంత ప్రమాదకరమైనవి నుండి అత్యంత ప్రమాదకరమైనవిగా ర్యాంక్ చేయండి మరియు వాటి CVSS స్కోర్‌లను వ్రాయండి. [స్కాన్ అవుట్‌పుట్]

ఈ క్లెయిమ్ పూర్తిగా CVSS (సంభావ్యత మరియు సందర్భాన్ని విస్మరించడం)పై ఆధారపడి ఉంటుంది, CVSS/CVE విలువలకు సరిపోయేలా AI కోసం తలుపు తెరిచి ఉంచుతుంది మరియు ఏజెన్సీ ఎక్స్‌పోజర్‌ను పరిగణనలోకి తీసుకోదు.

శక్తివంతమైన ప్రాంప్ట్:

మీ పాత్ర: భద్రతా విశ్లేషకుడికి ప్రాధాన్యత డ్రాఫ్ట్ అసిస్టెంట్. నిర్ణయం తీసుకోవడం; ప్యాచింగ్ ఆర్డర్ చేయవద్దు. కింది అనామక స్కాన్ అవుట్‌పుట్‌ను ప్రాసెస్ చేయండి:(1) డూప్లికేట్‌లను విలీనం చేయండి, ప్రత్యేకమైన CVE జాబితాను అవుట్‌పుట్ చేయండి,(2) ప్రతి CVE కోసం CVSS, EPSS మరియు KEV స్థితిని నింపండి కానీ ప్రతి విలువను "[NVD/EPSS/KEV నుండి ధృవీకరించాలి]"గా గుర్తించండి; ఎటువంటి విలువలను రూపొందించవద్దు, మీకు ఖచ్చితంగా తెలియకుంటే "[తెలియదు]" అని వ్రాయండి, (3) నేను సంస్థాగత సందర్భం (ఎక్స్‌పోజర్, అసెట్ క్రిటికాలిటీ, కాంపెన్సేటరీ కంట్రోల్) కోసం అడగవలసిన 3 ప్రశ్నలు నాకు వ్రాయండి, (4) సాంకేతిక డేటా ఆధారంగా మాత్రమే ప్రాథమిక ర్యాంకింగ్‌ను అందించండి, నేను దానిని ఎంటర్‌ప్రైజ్ సందర్భంతో సరిచేస్తానని చెప్పండి. అవుట్‌పుట్: [అనామక స్కాన్ ఫలితం]

శక్తివంతమైన ప్రాంప్ట్ CVSS/EPSS/KEV త్రయం కోసం అడుగుతుంది, ప్రతి విలువను ధృవీకరించడానికి వదిలివేస్తుంది, మీ నుండి సంస్థాగత సందర్భాన్ని తీసుకుంటుంది మరియు తుది నిర్ణయాన్ని మీకు అందిస్తుంది.

కాపీ చేయగల ప్రాంప్ట్ టెంప్లేట్‌లు

వల్నరబిలిటీ గ్రూపింగ్ టెంప్లేట్ కింది అనామక స్కాన్ అవుట్‌పుట్‌ను ప్రాసెస్ చేయండి: (1) వేర్వేరు మెషీన్‌లలో ఒకే CVE యొక్క సంఘటనలను కలపండి, (2) ప్రత్యేకమైన CVE మరియు ప్రభావిత మెషీన్‌ల సంఖ్యను సంగ్రహించండి, (3) ఉత్పత్తి/భాగాల వారీగా సమూహం. ఏ CVE నంబర్‌లను రూపొందించవద్దు; మూలంలో లేని వాటిని జోడించవద్దు. అవుట్‌పుట్: [అతికించు]

ట్రిపుల్ ఎన్‌రిచ్‌మెంట్ టెంప్లేట్ CVE జాబితా కోసం, CVSS బేస్ స్కోర్, EPSS సంభావ్యత మరియు ప్రతి పంక్తిలో KEVlistలో ఉందో లేదో జోడించండి. "[ధృవీకరించండి: మూలం]" ఫ్లాగ్‌తో ప్రతి విలువను ఎగుమతి చేయండి; ఖచ్చితమైన డేటాను ప్రదర్శించడం, కల్పన. మీకు ఖచ్చితంగా తెలియని CVE కోసం "[NVDలో నిర్ధారించండి]" అని టైప్ చేయండి. CVEలు: [పేస్ట్]

సందర్భ ప్రశ్న టెంప్లేట్ క్రింది ప్రాధాన్యతా దుర్బలత్వాల కోసం, సంస్థ సందర్భం గురించి మీరు నన్ను అడగాల్సిన ప్రశ్నలను రూపొందించండి, తద్వారా నేను వాటిని సరిగ్గా ర్యాంక్ చేయగలను: ఎక్స్‌పోజర్ (ఇది ఇంటర్నెట్‌కు తెరిచి ఉందా), అసెట్ క్రిటికాలిటీ, డేటా సెన్సిటివిటీ, కాంపెన్సేటరీ కంట్రోల్‌లు, ప్యాచ్ విండో. నేను సమాధానాలు ఇస్తాను; మీరు ఆ తర్వాత మాత్రమే ర్యాంకింగ్‌ను అప్‌డేట్ చేస్తారు. దుర్బలత్వాలు: [అతికించు]

ప్యాచ్ ప్లాన్ డ్రాఫ్ట్ టెంప్లేట్‌డ్రాఫ్ట్ చెల్లుబాటు అయ్యే ప్రాధాన్యత జాబితా మరియు నేను అందించే సందర్భం ఆధారంగా ప్యాచింగ్ ప్లాన్‌ను రూపొందించండి: తక్షణ (24గం), స్వల్పకాలిక (7డి), ప్రణాళికాబద్ధమైన (30డి) బకెట్‌లు; ప్రతి దుర్బలత్వం మరియు సంభావ్య వ్యాపార ప్రభావం/అవుట్ ప్రమాదం కోసం సమర్థన. ఇది డ్రాఫ్ట్; ఆమోదం మరియు అమలు అనేది విశ్లేషకుడు మరియు మార్పు నిర్వహణకు చెందినది. డేటా: [అతికించు]

సాధారణ తప్పులు

• కేవలం CVSS వైపు చూస్తున్నాను. అధిక CVSS తక్కువ వాస్తవ ప్రమాదాన్ని సూచిస్తుంది; EPSS (సంభావ్యత), KEV (వాస్తవ దోపిడీ) మరియు సందర్భాన్ని కలిపి పరిగణించండి.
• CVEని ధృవీకరించడం లేదు. నాన్-AI CVE సంఖ్యలు మరియు స్కోర్‌లను రూపొందించగలదు; ప్రతి ఒక్కటి NVD/డీలర్ రిజిస్ట్రేషన్‌తో నిర్ధారించండి.
• సంస్థాగత సందర్భాన్ని దాటవేయడం. ఇది ఇంటర్నెట్‌కు తెరిచి ఉందా, క్లిష్టమైన డేటా ఉందా, పరిహార నియంత్రణ ఉందా - ఇవి ర్యాంకింగ్‌ను పూర్తిగా మారుస్తాయి.
• సంస్కరణ సరిపోలికను ఊహిస్తూ. బ్రౌజర్ కొన్నిసార్లు తప్పు సంస్కరణను చదువుతుంది; దుర్బలత్వం వాస్తవానికి మీ సంస్థలో ఉందని ధృవీకరించండి (తప్పుడు సానుకూల స్కాన్).
• వ్యాపార ప్రభావం లేకుండా ఒంటరిగా ప్యాచ్ ప్లాన్‌ను అమలు చేయడం. ఒక క్లిష్టమైన పాచ్ వ్యాపార అంతరాయాన్ని కలిగిస్తుంది; మార్పు నిర్వహణ మరియు పరీక్ష అవసరం.

చిట్కా: ప్రాధాన్యతలో గోల్డెన్ కలయిక "KEV జాబితా చేయబడింది + ఇంటర్నెట్‌కు తెరవబడింది + అధిక EPSS". ఈ మూడు కలుస్తే, CVSSతో సంబంధం లేకుండా ఆ దుర్బలత్వం జాబితాలో అగ్రస్థానానికి చేరుకుంటుంది.

హెచ్చరిక: దుర్బలత్వాన్ని "క్లిష్టమైనది"గా ప్రకటించడం మరియు దానిని వెంటనే అతుక్కోవడం కూడా ప్రమాదకరం; పరీక్షించని ప్యాచ్ ఉత్పత్తిని క్రాష్ చేస్తుంది. AI రూపొందించే ప్రణాళిక బ్లూప్రింట్; మార్పు నిర్వహణ ప్రక్రియ మరియు టెస్టింగ్ గేట్ ద్వారా అమలు జరుగుతుంది.

సారాంశంలో

వల్నరబిలిటీ మేనేజ్‌మెంట్ యొక్క కష్టమైన భాగం దానిని కనుగొనడం కాదు, వేల సంఖ్యలో కనుగొన్న వాటిలో సరైనదాన్ని హైలైట్ చేయడం. AI స్కాన్ అవుట్‌పుట్‌ను సమూహపరుస్తుంది, పునరావృతతను తగ్గిస్తుంది, దానిని మానవ భాషలోకి అనువదిస్తుంది మరియు ర్యాంకింగ్ అవుట్‌లైన్‌ను అందిస్తుంది. కానీ సరైన ప్రాధాన్యత ఒకే సంఖ్య నుండి రాదు: CVSS (తీవ్రత), EPSS (అవకాశం), KEV (వాస్తవ దోపిడీ) మరియు సంస్థాగత సందర్భం (ఎక్స్‌పోజర్, క్రిటికల్, కాంపెన్సేటరీ కంట్రోల్) కలిసి మూల్యాంకనం చేయబడతాయి. AI యొక్క అత్యంత ప్రమాదకరమైన తప్పు నాన్-CVE మరియు స్కోర్ ఫ్యాబ్రికేషన్; కాబట్టి ప్రతి విలువ NVD/EPSS/KEVలో ధృవీకరించబడుతుంది, ఎంటర్‌ప్రైజ్ సందర్భం మీ ద్వారా జోడించబడుతుంది మరియు ప్యాచింగ్ ప్లాన్ మార్పు నిర్వహణ గేట్ ద్వారా వెళుతుంది.

అప్లికేషన్ టాస్క్

నమూనా స్కాన్ అవుట్‌పుట్‌ను పొందండి (మీ నుండి లేదా నమూనా డేటా నుండి అనామకం). AI నుండి ప్రత్యేకమైన CVE జాబితా మరియు CVSS/EPSS/KEV అవుట్‌లైన్‌ను “వెల్నరబిలిటీ గ్రూపింగ్” మరియు “ట్రిపుల్ ఎన్‌రిచ్‌మెంట్” టెంప్లేట్‌లతో సంగ్రహించండి. NVD మరియు CISA KEV కేటలాగ్‌లో టాప్ 5 CVEలను మీరే ధృవీకరించండి; కనీసం ఒక కల్పిత లేదా తప్పుడు విలువను పట్టుకోవడానికి ప్రయత్నించండి. ఆపై మీ పర్యావరణం కోసం "సందర్భ ప్రశ్న" టెంప్లేట్‌లోని ప్రశ్నలకు సమాధానం ఇవ్వండి మరియు ఆర్డర్ ఎలా మారుతుందో గమనించండి.

చెక్లిస్ట్

• [ ] నేను స్కాన్ అవుట్‌పుట్‌ను అనామకీకరించాను; హోస్ట్ మరియు IP ముసుగులు వేయబడ్డాయి.
• [ ] నేను ప్రత్యేకమైన CVEల జాబితాను పొందడానికి నకిలీలను కలిపాను.
• [ ] నేను అధికారిక సోర్స్‌లో ప్రతి CVE మరియు CVSS/EPSS/KEV విలువను ధృవీకరించాను.
• [ ] ఇది నకిలీ లేదా తప్పు CVE/స్కోర్ అని తెలిసి, నేను దానిని ధృవీకరించాను.
• [ ] నేను ర్యాంకింగ్‌లో సంస్థాగత సందర్భాన్ని (ఎక్స్‌పోజర్, క్రిటికాలిటీ, కాంపెన్సేటరీ కంట్రోల్) చేర్చాను.
• [ ] కేవలం CVSS మాత్రమే కాదు; నేను EPSS మరియు KEVలను కూడా చూశాను.
• [ ] నేను ప్యాచ్ ప్లాన్‌ని డ్రాఫ్ట్‌గా పరిగణించాను; నేను పరీక్ష మరియు మార్పు నిర్వహణ తలుపును జోడించాను.