先驗證資產真的受影響
掃描器的版本比對可能指出候選弱點，但產品、版本、功能啟用狀態與修補回移都會影響適用性。保留偵測方法、證據與待核對項目，再用供應商公告及資產配置確認。不要把所有候選項目都當成已成功利用。
CVE 識別一個公開弱點項目；它本身不是你的資產遭入侵的證明。驗證時也必須遵守授權方法，不能為了提高信心而自行執行高影響利用。
把分數放回情境
CVSS 描述弱點特性與嚴重度，使用時應保留版本及向量。CISA KEV 提供已知在野利用資訊，可作為威脅證據的輸入。資產是否對外、資料敏感度、權限、補償控制及修補中斷成本，仍需由你的環境補上。
好的優先順序包含行動與期限責任人，也包含剩餘風險。如果不能立即修補，可以先縮小暴露並安排驗證；「已加防火牆規則」與「弱點已修復」應分開記錄。
延伸閱讀：FIRST: CVSS v4.0 User Guide·CISA: Known Exploited Vulnerabilities Catalog
例子：兩筆候選弱點如何排序
合成資產 A 是對外登入服務，存在已確認適用且有已知利用證據的弱點；B 是隔離測試機，掃描分數較高但版本適用性尚待核對。
依此情境，先限制 A 暴露並安排修補驗證通常更有理由；B 同時進行低成本適用性核對。若 A 的修補會影響安全關鍵作業，還要加入可接受的維護與復原安排。
判斷：把排序依據寫成已知條件，不只寫「A 比較危險」。
紙上練習：四欄修補決策
使用本文虛構 A、B 資產，不掃描或修改任何系統。
- 列出適用性、暴露、威脅證據與行動四欄。
- 替 A 寫立即緩解與後續修補驗證；替 B 寫待核對項目。
- 加入一個會改變排序的新條件，例如 B 改為公開且處理敏感資料。
預期結果
A 的決策由適用性、暴露與威脅共同支持；B 的未知事項保留，沒有被假設為安全。
自行檢核
你能否區分「暫時降低暴露」與「已完成修補並驗證」？
結束與清理
保留決策表；此紙上練習沒有系統清理動作。