17 年 2025 月 4 日，事件响应和安全团队论坛 (FIRST) 发布了 EPSS 第 30 版，这是 EPSS 评分漏洞管理的一次重大飞跃。与 CVSS 等专注于理论严重性的传统模型不同，EPSS 评分框架可以预测哪些问题可能在未来 XNUMX 天内被利用。这有助于组织专注于真正的威胁，而不是将时间浪费在影响较小的问题上。
EPSS 版本 4 有哪些新功能？
EPSS 第四版提供了更清晰的漏洞洞察、更优质的数据和更智能的优先级排序。Jay Jacobs （实证安全） 以及 卡西姆·阿尔沙德 共享更新将 EPSS v4 提升到一个新的水平。因此，团队现在可以更清晰、更快地了解攻击者可能采取的下一步行动。
扩展漏洞情报： EPSS 现在每月监测超过 10,000 个漏洞的真实利用数据，从而提高cis离子 EPSS 评分脆弱性 预测。
恶意软件和端点集成： EPSS v4 添加了来自端点检测系统和恶意软件分析工具的遥测功能，使安全团队能够发现 EPSS评分 模式更快。
更广泛的威胁背景： 它还分析了数百个安全来源（RSS 提要、博客、论坛），以便更好地了解新出现的威胁。
改进的分类： EPSS 现在将弱点归类为前 22 种 CWE 类型，并排除 REJECTED CVE，从而消除不必要的噪音 每股收益 分数评估。
经过验证的 CVSS 效率： 独立研究表明，与基于 CVSS 的方法相比，EPSS v4 将补救工作量减少了 8 倍以上，尤其是在优先处理大量漏洞时。
Xygeni + EPSS v4：修复最重要的漏洞
Xygeni 将 EPSS 漏洞评分直接集成到其漏洞 优先级漏斗。因此，团队不必追求每一个较高的 CVSS 分数，而是专注于真正重要的事情。
结合可利用性、可达性和业务背景，优先事项变得清晰起来。因此，EPSS 评分会加快修复造成真正风险的漏洞的速度。
Xygeni 的全栈优先级模型包括：
- EPSS 可利用性评分：使用 EPSS v4 识别未来 30 天内可能的攻击媒介。
- 运行时可达性：确认存在漏洞的代码是否确实在生产中运行。
- CVSS 严重性洞察：添加有关潜在系统影响的更广泛的背景。
- 业务背景：根据关键性、系统敏感性和操作风险过滤结果。
结合 Xygeni 的情境分析，这些见解直接浮现在 CI/CD pipeline和风险 dashboards. 因此，漏洞优先级排序将变得自动、实时，并且与软件的构建和部署方式保持一致。
优先级漏斗：EPSS 评分漏洞管理的指挥中心
首先，Xygeni 的优先级排序漏斗对所有发现应用分层过滤器——SAST, SCA, CI/CD 配置， IaC 模板和秘密。因此，团队可以定义自定义或预建规则，以自动发现真正需要关注的漏洞。
此外，每个环境都有内置漏斗（SAST, IaC, CI/CD）大大减少了分类问题所花费的时间，同时有助于消除警报疲劳。因此，团队会减少干扰，提高风险覆盖率，加快补救速度。
总结
毫无疑问，EPSS 版本 4 为可利用性驱动的优先级设定了新的基准。此外，当与 Xygeni 的端到端可视性和自动化相结合时，它能够提供更智能、更集中的漏洞管理方式。
单单威胁的数量就令人难以承受。然而，专注才是关键。这就是为什么 Xygeni 与 EPSS v4 的集成可确保 EPSS 评分漏洞优先级与现代团队构建、测试和交付代码的方式完美契合 — 这样他们就能立即解决正确的问题。
