如何分流漏洞並追蹤修復
將漏洞分流同修復流程畫成流程圖，再按來源、嚴重程度同結果計算發現，用桑基圖顯示。方法僅作說明，並非合規聲明。
分流決定邊啲發現係真嘅，同埋要幾快修復。呢份指南將個流程畫成流程圖，再數發現行過流程嘅情況，令你睇到有幾多準時修復、被接受或者仍然開放。
簡而言之
- 將分流畫成帶有名出口嘅決策：已確認、誤報、SLA 內、豁免。
- 去除重複之後，數一個時段內發現行過各個出口嘅數目。
- 用桑基圖顯示來源、嚴重程度同結果，睇工作嘅形狀。
- 接受風險同未關閉嘅發現係要解釋嘅結果，唔係要收埋嘅失敗。
分流係一組可以計數嘅決策
掃描器報告發現，流程決定發現之後點算：喺呢個資產上係咪真嘅發現、有幾嚴重、期限係幾時、做唔做得到，以及修復有冇確認。每一個都係帶出口嘅決策，每個出口都有一定數目嘅發現。畫成流程圖，流程容易覆核；數過之後，就顯示發現積壓喺邊。
例子係一個 26 步嘅漏洞管理流程。佢嘅決策正正係桑基圖需要做節點嘅嗰啲：可唔可以掃描、已確認定誤報、已被利用定常規、喺 SLA 內定唔係、已結案定仍然存在。/yue/sankey/vulnerability-remediation-flow 嘅桑基圖範本，用來源、嚴重程度同結果顯示一個時段嘅發現。
呢個係睇自己紀錄嘅方法，並非講任何標準要求乜嘢。SLA 級別同邊個可以接受風險，由你嘅政策決定。
A vulnerability process, built in stages
二十六個步驟。決策係發現可以離開主路徑嘅地方，每一個都係一個計數。
範圍同掃描
週期由資產清單開始。「範圍內每項資產是否都可掃描？」嘅「覆蓋缺口」分支會迴圈直到資產可以掃描，所以未掃描嘅資產會以計數顯示，而唔係靜悄悄。
確認同評分
發現會去除重複並補充資料，「發現是否已在資產上確認？」將誤報送去附證據嘅結案步驟。已確認嘅發現會被評分。誤報數目係第一個要追蹤嘅結果。
期限、修復同豁免
已知遭利用或者嚴重嘅發現走緊急通道，其餘獲得 SLA 級別同到期日。「能否在SLA內完成修復？」將無法達成嘅發現送去豁免決定，而重新掃描就判斷修復有冇效。
登記冊同報告
已結案嘅發現會更新登記冊，逾期嘅會升級，週期最後以覆蓋率、賬齡同結案率指標結束。呢啲就係你可以合併成一個時段桑基圖嘅計數。
運作方式
畫出你嘅分流流程
包括決策：已確認、嚴重程度、期限、豁免、修復已確認。每個出口都要命名。
匯出一個時段嘅發現
取一個季度內開立嘅發現，來自所有掃描器。去除兩個工具報告嘅同一問題。
將嚴重程度同結果分組
用四個嚴重級別，同一份簡短結果清單：SLA 內修復、逾期修復、接受風險、誤報、仍然開放。
計算來源、嚴重程度到結果
每個發現只計一次。檢查流入每個嚴重程度嘅數目等於流出。
先睇例外
睇下被接受同仍然開放嘅發現，以及佢哋集中喺邊啲嚴重程度。判斷呢個是否符合你嘅政策。
應避免的錯誤
同一個問題計兩次
兩個工具經常報告同一個漏洞。冇去除重複，來源就會比實際睇落更大。
收埋被接受嘅風險
漏咗被接受嘅發現，會令已修復嘅比例睇落更高。將佢哋當作獨立結果顯示。
將圖當成證據
計數嘅桑基圖只係摘要。審計證據係底層紀錄，連同日期同批准。
開啟漏洞管理流程圖
開啟範本，按你嘅政策調整決策，再數每個出口。
相關指南
常見問題
呢個可以顯示我有冇符合某個標準嗎？
唔可以。佢只顯示你自己嘅計數。符不符合標準，視乎標準同你嘅政策，而呢份指南唔訂立政策。
一個發現喺好多資產上，點計？
決定一次：每個「資產與發現」配對計一次，定係每個獨立漏洞計一次。喺資料說明入面寫明，並每個時段保持一致。
誤報應該放入圖表嗎？
應該，當作一種結果。誤報比例高，表示掃描器需要調校，同打補丁係兩種唔同嘅修正。