如何对漏洞分流并跟踪整改
把漏洞分流与整改流程画成流程图，再按来源、严重程度和结果统计发现，并用桑基图呈现。这是示意方法，不构成合规声明。
分流决定哪些发现是真的，以及必须多快修复。本指南把这个流程画成流程图，再让发现从中走一遍并计数，你就能看到有多少按时修复、被接受或仍未关闭。
简而言之
- 把分流画成带有命名出口的决策：已确认、误报、SLA 内、例外。
- 去重之后，统计一个周期内发现走过各出口的数量。
- 用桑基图显示来源、严重程度和结果，看清工作的形状。
- 把接受风险和未关闭的发现当作需要解释的结果，而不是要隐藏的失败。
分流是一组可以计数的决策
扫描器报告发现，流程决定它们的去向：在这台资产上是真的发现吗，有多严重，期限是什么，能否做到，修复是否经过确认。每一项都是带出口的决策，每个出口都有一定数量的发现。画成流程图，流程便于评审；加上计数，就能看出发现堆积在哪里。
示例是一个 26 步的漏洞管理流程。它的决策正是桑基图需要作为节点的那些：能否扫描、已确认还是误报、已被利用还是常规、是否在 SLA 内、已关闭还是仍然存在。/zh/sankey/vulnerability-remediation-flow 里的桑基图模板把一个周期的发现按来源、严重程度和结果显示出来。
这是一种查看你自己记录的方式，并不表示任何标准有何要求。SLA 分级以及谁可以接受风险，由你的策略规定。
分阶段搭建的漏洞流程
二十六个步骤。决策是发现可能离开主路径的地方，每一个都是一个计数。
范围与扫描
周期从资产台账开始。“范围内每台资产都可扫描吗？”的“覆盖缺口”分支会循环，直到资产可以被扫描，所以未扫描的资产会以计数的形式出现，而不是悄无声息。
确认与评分
发现被去重并补充信息，“发现在资产上得到确认了吗？”把误报送去附证据的抑制步骤。已确认的发现会评分。误报数量是第一个要跟踪的结果。
期限、修复与例外
已知被利用或严重的发现走紧急通道，其余的获得 SLA 分级和到期日。“能在SLA内完成整改吗？”把无法达标的发现送去例外决策，复扫则判断修复是否有效。
登记册与报告
已关闭的发现更新登记册，逾期的被升级，周期以覆盖率、账龄和关闭率指标结束。这些就是你可以汇总成一个周期桑基图的计数。
运作方式
画出你的分流流程
包含这些决策：已确认、严重程度、期限、例外、修复已确认。为每个出口命名。
导出一个周期的发现
取一个季度内由所有扫描器开启的发现。去掉两个工具报告的同一问题。
对严重程度和结果分组
使用四个严重程度，以及一份简短的结果列表：SLA 内修复、逾期修复、接受风险、误报、仍未关闭。
统计来源、严重程度与结果
每个发现只算一次。检查进入每个严重程度的数量等于离开它的数量。
先看例外
看被接受和未关闭的发现，以及它们集中在哪些严重程度。判断这是否符合你的策略。
应避免的错误
同一问题算了两次
两个工具常常报告同一个漏洞。不去重，来源就会显得比实际更大。
隐藏被接受的风险
把被接受的发现略去，会让已修复的占比显得更高。把它们作为单独的结果显示。
把图当作证据
计数的桑基图只是摘要。审计的证据是带有日期和审批的底层记录。
打开漏洞管理流程图
打开模板，把决策改成符合你的策略，然后统计各个出口。
相关指南
常见问题
这能显示我是否符合某项标准吗？
不能。它显示的是你自己的计数。是否符合标准，取决于标准本身和你的策略，而本指南并不制定它们。
出现在很多资产上的发现怎么计数？
一次定好：按每个“资产—发现”组合计，还是按每个不同的漏洞计。在数据说明里写明，并在每个周期保持一致。
误报要放进图表吗？
要，作为一种结果。误报占比高，说明要调整扫描器，这与打补丁是不同的修复。