漏洞预测评分系统 (EPSS) 正在改变现代安全团队处理威胁的方式。在关于 cvss 与 epss，这种转变是显而易见的。CVSS 强调严重性，而 EPSS 则关注现实世界的可利用性。这种差异很重要——因为团队可以专注于攻击者实际使用的东西，而不是对每个高严重性问题做出反应。通过使用 EPSS 评分，组织可以改进管理漏洞的方式，并修复造成真正风险的漏洞。
每年，不止 每年有 20,000 个新的 CVE. 可以理解，跟上所有这些问题的步伐并非易事。许多团队最终精疲力竭，花费数小时审查那些可能永远不会导致攻击的问题。这导致时间浪费、响应缓慢，以及似乎永远无法完成的任务清单越来越长。
那是在哪里 eps 与 cvss 产生真正的影响。EPSS 将焦点从 可能 对什么有风险 可能 很快就会成为目标。这样一来，团队就可以更快地采取行动，减少不必要的工作，并花时间解决真正重要的事情。
EPSS 与 CVSS：主要区别
比较 cvss 与 epss 时，区别在于 每个分数告诉你什么:
CVSS 专注于 潜在的严重性 漏洞有多严重？ 可以 是。
每股收益 预测 被利用的可能性 在现实世界中—— 将 成为目标。
虽然 CVSS 考虑了漏洞利用的复杂性、用户交互和影响，但它没有考虑攻击者是否正在积极利用漏洞。EPSS 通过考虑威胁遥测、漏洞利用代码可用性和攻击模式来填补这一空白。
根据 EPSS 研究，不到 2% 的已知漏洞具有较高的 EPSS 分数。相比之下，许多关键的 CVSS 问题仍未受到网络犯罪分子的关注。这凸显了 EPSS 评分漏洞 帮助过滤噪音，使团队能够专注于可信的、当前的威胁。
EPSS 和 CVSS 可以一起工作吗？
绝对是，而且他们应该这么做。
EPSS 和 CVSS 在平衡的漏洞管理策略中相互补充：
绝大部分储备使用 CVSS 评估 多么糟糕 可能存在漏洞。
绝大部分储备使用 每股收益 评估 有多大可能 它将被利用。
这种双层方法支持更智能的分类。例如：
存在漏洞 高 CVSS + 高 EPSS → 立即修复。
高 CVSS + 低 EPSS → 密切监控，但降低优先级。
低 CVSS + 高 EPSS → 调查；攻击者可能会将其与其他缺陷联系起来。
因此，对 epss 和 cvss 进行并排比较的团队可以更清楚地了解需要补救什么以及何时补救。
使用 EPSS 进行实际优先级排序
为了说明这一点，假设您的系统标记了两个 CVE：
CVE-2024-99999
CVSS：9.8（严重）
EPSS：0.03（可利用性低）CVE-2024-12345
CVSS：6.1（中等）
EPSS：0.86（被利用的可能性很高）
您应该先修复哪个漏洞？许多传统工作流程会优先修复关键的 CVSS 漏洞。然而，EPSS 颠覆了这一思路——你根据实际被利用的情况采取行动，而不仅仅是什么 可以 危险。
这种转变允许团队 减少误报，节省时间，提高补救速度。
为什么 EPSS 评分漏洞管理会改变游戏规则
EPSS 提供的不仅仅是更智能的修补，它还能实现大规模安全性：
动态评分：EPSS 每天更新，反映最新的漏洞情报。
可扩展性：它可以解决数千个漏洞，帮助团队更快地进行分类。
客观性：EPSS 建立在公共数据和开放模型之上，具有可验证性和透明性。
政策影响: 正如 FIRST网站，EPSS 已经影响国家级补救政策（例如 DHS BOD 19-02）。
此外，EPSS 分数漏洞管理可帮助防御者将精力集中在最重要的地方——真正构成危险的威胁。
EPSS 与 CVSS 并非非此即彼，两者结合效果更佳
At 西吉尼，我们认为 cvss 与 epss 不是一场战斗，而是一种合作关系。两种评分系统在漏洞管理中发挥着不同但同样重要的作用。这就是为什么 Xygeni 将 EPSS 和 CVSS 结合使用来构建一个实用、快速且有效的完整、上下文感知的优先级模型。
对于每个漏洞，Xygeni 显示：
CVSS 严重程度 了解潜在影响。
EPSS评分 评估被利用的可能性。
可达性分析 确认存在漏洞的代码是否真正运行。
上下文数据 例如资产敏感性和业务相关性。
让我们来 CVE-2023-29827 作为示例。这是一个服务器端模板注入问题，影响 ejs v3.1.9理论上来说，它有一个 CVSS 评分 9.8，表示严重程度极高。但 EPSS 评分为 62.8%，它也有很大概率会很快被利用。
Xygeni 将所有这些数据集中显示在一处——严重程度、 开发性, 可达性, CWE 弱点和版本状态——因此团队可以立即了解其重要性以及下一步该做什么。
无需对每个 CVSS 9.8 漏洞做出反应，Xygeni 平台显示：
它可以在你的代码库中访问
它在野外具有很高的可利用性
它会影响业务关键资产
这种分层的可视性有助于减少警报疲劳、最大限度地减少浪费的精力并将补救措施直接针对真正重要的风险。
当 EPSS 评分与 CVSS 严重程度和运行时上下文相结合时， 优先排序变得主动，而不是被动. Xygeni 将噪音转化为洞察力，指导安全设计cis清晰地了解 DevSecOps 团队需要快速行动并保持安全。
