漏洞修復桑基圖：由掃描到修復
追蹤保安發現由發現佢嘅掃描，到嚴重程度，再到結果：SLA 內修復、逾期修復、接受風險、誤報或仍然開放。換上你自己嘅數字。
漏洞修復桑基圖顯示發現從何而來、有幾嚴重，以及最後點樣收場。佢將準時修復嘅發現，同逾期、被接受或者仍然開放嘅分開。
例子有 250 個發現，來自四個來源：依賴項掃描、程式碼掃描、容器映像檔掃描同滲透測試。佢哋按嚴重、高、中、低分類。最後一欄有五種結果：SLA 內修復、逾期修復、接受風險、誤報同仍然開放。
呢張圖回答儀表板總數答唔到嘅問題：20 個嚴重發現入面有 15 個喺 SLA 內修復，但低嚴重度發現有三分之一係被接受而唔係修復。呢個係政策結果，唔係失敗。背後嘅流程可以睇 /yue/templates/漏洞管理流程，方法可以睇 /yue/guides/如何分流漏洞及追蹤修復。
點樣閱讀呢個圖表
- 250 個發現入面，115 個（46%）喺 SLA 內修復，46 個（18%）逾期修復。
- 20 個嚴重發現入面有 15 個（75%）達到 SLA；仍有 1 個開放。
- 接受風險嘅發現有 38 個（15%），其中 25 個屬低嚴重度。
- 依賴項掃描產生 120 個發現，佔總數 48%。
圖表背後嘅資料
虛構數字，只作說明，並非任何真實公司、團隊或系統嘅資料。
| 來源 | 目標 | 數量（個發現） |
|---|---|---|
| 依賴項掃描 | 嚴重 | 10 |
| 依賴項掃描 | 高 | 30 |
| 依賴項掃描 | 中 | 50 |
| 依賴項掃描 | 低 | 30 |
| 程式碼掃描 | 嚴重 | 3 |
| 程式碼掃描 | 高 | 10 |
| 程式碼掃描 | 中 | 25 |
| 程式碼掃描 | 低 | 22 |
| 容器映像檔掃描 | 嚴重 | 6 |
| 容器映像檔掃描 | 高 | 12 |
| 容器映像檔掃描 | 中 | 19 |
| 容器映像檔掃描 | 低 | 13 |
| 滲透測試 | 嚴重 | 1 |
| 滲透測試 | 高 | 3 |
| 滲透測試 | 中 | 6 |
| 滲透測試 | 低 | 10 |
| 嚴重 | SLA 內修復 | 15 |
| 嚴重 | 逾期修復 | 4 |
| 嚴重 | 仍然開放 | 1 |
| 高 | SLA 內修復 | 35 |
| 高 | 逾期修復 | 12 |
| 高 | 接受風險 | 3 |
| 高 | 誤報 | 2 |
| 高 | 仍然開放 | 3 |
| 中 | SLA 內修復 | 45 |
| 中 | 逾期修復 | 20 |
| 中 | 接受風險 | 10 |
| 中 | 誤報 | 8 |
| 中 | 仍然開放 | 17 |
| 低 | SLA 內修復 | 20 |
| 低 | 逾期修復 | 10 |
| 低 | 接受風險 | 25 |
| 低 | 誤報 | 10 |
| 低 | 仍然開放 | 10 |
同樣嘅資料（CSV）
source,target,value
依賴項掃描,嚴重,10
依賴項掃描,高,30
依賴項掃描,中,50
依賴項掃描,低,30
程式碼掃描,嚴重,3
程式碼掃描,高,10
程式碼掃描,中,25
程式碼掃描,低,22
容器映像檔掃描,嚴重,6
容器映像檔掃描,高,12
容器映像檔掃描,中,19
容器映像檔掃描,低,13
滲透測試,嚴重,1
滲透測試,高,3
滲透測試,中,6
滲透測試,低,10
嚴重,SLA 內修復,15
嚴重,逾期修復,4
嚴重,仍然開放,1
高,SLA 內修復,35
高,逾期修復,12
高,接受風險,3
高,誤報,2
高,仍然開放,3
中,SLA 內修復,45
中,逾期修復,20
中,接受風險,10
中,誤報,8
中,仍然開放,17
低,SLA 內修復,20
低,逾期修復,10
低,接受風險,25
低,誤報,10
低,仍然開放,10運作方式
匯出一個時段嘅發現
包括來源工具、嚴重程度同目前狀態，連同修復日期。
先訂好結果標籤
決定點樣區分 SLA 內修復同逾期修復，以及乜嘢算接受風險或者誤報。
計算來源、嚴重程度到結果
將兩個工具報告嘅同一問題去除重複之後，每個發現只計一次。
檢查平衡
每個嚴重程度流出嘅發現數必須等於流入。
常見問題
呢個係風險評分嗎？
唔係。佢只係計算發現數目，冇按可利用性或資產價值加權。用佢睇工作嘅形狀，再用你嘅風險流程決定乜嘢重要。
可以證明合規嗎？
唔可以。佢只係說明一個時段嘅數字。審計證據要來自你嘅工單同掃描紀錄。
編輯呢個漏洞桑基圖
將例子開成你自己嘅圖表，輸入你嘅發現數目。