漏洞分为

漏洞分为什么？漏洞分按危害等级分，这是漏洞分最偷懒也最常用的分法。高危、漏洞分中危、漏洞分低危，漏洞分三个档位往那一摆，漏洞分仿佛漏洞也有了身份证。漏洞分可我在甲方待了五年，漏洞分见过太多“高危”漏洞被业务部门当笑话看——一个需要内网权限才能触发的漏洞分命令执行，和一个公网直接能打的漏洞分SQL注入，都被标成“高危”，漏洞分这合理吗？漏洞分

真正的分法应该看攻击者需要付出什么代价。零点击的漏洞分远程代码执行，和需要诱导用户下载恶意附件的漏洞分钓鱼攻击，虽然最终都可能拿到服务器权限，漏洞分但前者是原子弹，后者是菜刀。你总不能说菜刀和原子弹都是“武器”就归为一类吧。我见过某大厂把自家邮件网关的一个反序列化漏洞定成“中危”，理由是“需要认证”，结果攻击者用这个漏洞配合一个弱口令，直接把整个内网打穿了。等级这东西，有时候是给合规看的，不是给安全看的。

另一种更实用的分法，是按漏洞的生命周期来切。0day、N-day、已修补但未完全修复的“半残废”漏洞，这三种的处置策略完全不同。0day没人有现成补丁，只能靠缓解措施硬扛；N-day有补丁，但总有人不更新，于是成了最常被利用的入口。我去年帮一家银行做应急响应，发现他们被入侵的根本原因，居然是一个2019年就公布的老漏洞——Apache Log4j2。那个漏洞公布后三个月内，网上就有几十种利用方式，可他们直到被勒索了才想起来查版本号。你说这是技术问题吗？不，这是流程问题。

还有种分法更贴近实战——按攻击链的位置分。漏洞是出在入口处，还是出在纵深防御的某一层？入口漏洞像门锁坏了，谁都可能顺手推开；中间层的漏洞更像墙上的裂缝，需要攻击者已经进了院子才能发现。我倾向于把前者叫“开门漏洞”，后者叫“挪动家具时发现的破绽”。前者要连夜修，后者可以排期修。但很多安全团队把两者混在一起，导致真正要紧的入口漏洞被淹没在工单池里。

说句得罪人的话：漏洞分类的标准，本身也该分个类。给老板看的，讲损失金额和概率；给运维看的，讲影响范围和回滚难度；给开发看的，讲代码位置和触发条件。一套分类打天下，最后的结果就是开发觉得安全团队在找茬，安全团队觉得开发在敷衍。我见过最荒唐的一次，是某研发负责人指着高危漏洞列表说：“这五个都是同一个框架的，你们能不能合并成一条？”——他说的没错，可攻击者不会因为漏洞同源就只打一次。

所以别再问漏洞怎么分了。先问问你自己，分完类打算干什么用。如果只是为了让报告好看，那随意分；如果是为了让系统更安全，那按攻击成本分，按修复紧迫度分，按影响范围分——这三种维度叠在一起，才勉强算看清楚了一个漏洞的真实模样。至于那些把漏洞分成“能修的”和“不能修的”的团队，我敬他们是条汉子，至少比把一切塞进“高危”文件夹里自欺欺人要强。