資安
依利用風險排序漏洞待辦
一條站得住腳的修復隊列，優先處理已被利用、或實質威脅關鍵服務的漏洞。
流程
照這個順序做。
- 依資產、軟體版本、CVE、偵測時間與證據正規化掃描結果，並移除重複與過期偵測。
- 確認資產擁有者、網際網路暴露、業務關鍵性、資料敏感度、補償控制，以及脆弱元件是否實際可達。
- 把每個 CVE 對照 CISA 已知被利用弱點目錄，並蒐集權威供應商公告與可用修復。
- 採用如 SSVC 的一致決策模型，依利用狀態、技術影響、任務普及度與安全或業務後果判斷，而不只看 CVSS。
- 指定處置、負責人、目標日期與核准處理：修補、設定緩解、隔離、接受，或關閉誤報。
- 升級逾期 KEV 與關鍵暴露項目，追蹤附到期日的例外，並以重新掃描或直接版本檢查驗證修復。
先準備
貓會向你要的輸入。
- 弱點匯出或 API 存取
- 資產盤點與負責人
- 風險與修復 SLA 政策
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/implementing-epss-score-for-vulnerability-prioritization/SKILL.mdskills/cybersecurity-skills/performing-cve-prioritization-with-kev-catalog/SKILL.mdskills/cybersecurity-skills/performing-web-application-vulnerability-triage/SKILL.md
界線
界線跟著提示一起走。
- 在核對資產脈絡與偵測證據前，把掃描輸出視為未驗證。
- 不要在核准管理範圍外探測或修補系統。
- 風險接受需有可究責核准與到期日。
完成代表
一個可核對的終點。
所有有效發現都有書面風險處置、負責人、到期日與理由，已修復項目則經獨立驗證關閉。
來源
這個流程從哪來。
- www.cisa.gov/known-exploited-vulnerabilities-catalog
- www.cisa.gov/resources-tools/resources/stakeholder-specific-vulnerability-categorization-ssvc
- www.cisa.gov/cybersecurity-performance-goals-2-0-cpg-2-0
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
