Something You Can Calibrate Against

施工進度｜ 定邊界（Day 1–5）→ 接資料（Day 6–10）→ 做評分（Day 11–18，今天起跑） → 畫攻擊路徑（19–24）→ 給修補建議（25–30）

前十天做完兩件事：一條能跑的決策鏈，還有三個有來源的資料源。

從今天起是另一種工作。權重該不該是 50/25/25、門檻切在哪、控制能折多少——這些不是想出來的，是校出來的。而校準需要一個量得準的對象。

到目前為止，那個對象是七行 CSV。

七行資料的問題不是太少，是沒有分布

那七行是我為了驗證公式隨手編的，每一行的答案我都先知道。它能證明公式沒算錯，證明不了排序有用。

真正的麻煩是：裡面每個維度只有一兩種值。這種資料上，曝險的權重無論設 0.25 還是 0.05，排出來的順序都一樣——你沒辦法知道自己調對了沒有。

沒有分布，就沒有校準。

所以這一段的第一步不是改公式，是先做出一個能量測的對象：每個維度都要有變異，而且從今天到 Day 18 都不能變。

Northstar Digital Services

一間虛構的線上服務商：DMZ 六台、應用四台、資料三台、管理三台，加上端點、機房環控 PLC 與實驗室 wiki。四個 Crown Jewel：客戶與帳務資料庫、備份庫、網域控制站。八項控制措施，每項都要寫出證據——證明不了就是 UNKNOWN。

四十筆掃描發現。公司是假的，漏洞不是：三十個 CVE 全部有 NVD、EPSS、KEV 的真實快照，分數由腳本從快照讀進 CSV，我一個都沒手打；重跑不打網路，輸出逐位元組相同。

「不會變」是刻意的。Day 18 要訂 baseline、留回歸案例；資料集若在這八天裡動過，之後量到的差異就分不清是公式變好了，還是我換了題目。

裡面也留了三個現實：一台掃到卻不在清冊裡的影子 NAS、一筆掃描器認不出版本的發現、一筆掃描器說 9.9 但 NVD 說 9.8 的舊值。

跑完四十筆

三十八筆評分，兩筆 NEEDS_CONTEXT：那台影子 NAS，還有一筆 NVD 沒給 v3.1、掃描器也沒給值的 TLS 老問題。不一致的那筆，reason 留著 scanner said 9.9。

控制的對照很乾淨：同樣的 CVE-2021-41773、同樣對外、同樣關鍵業務，兩台入口網站只差 WAF 有沒有證據——有的 8.4 High，沒有的 9.9 Critical。隔離實驗室的 9.8 掉到 6.4 Medium。

然後第一個校準問題就浮出來了：八個 Critical、二十二個 High、八個 Medium，一個 Low 都沒有。

一半權重給了曝險與業務，而這家公司十三台資產是 CRITICAL、六台對外，光這兩項就把底分推到五分以上。一個把所有東西都排在 Medium 以上的工具，跟原本那份弱掃報告一樣沒用。

這是 Day 18 的第一個題目。而它只有在有分布的資料上才看得見——七行 CSV 上，幾筆 High 配幾筆 Medium，看起來很正常。

還沒做到的

四十筆發現只對應三十個 CVE。Log4Shell 一個就佔了四台機器，EternalBlue 三台——排序表上是七筆獨立的列，實際上可能只是兩件修補工作。Day 1 講過「三筆 Finding 不等於三個風險」，今天總算有夠大的資料能看見它；歸併成修補工作是 Day 25 的題目。

藍圖的第四個必測情境「一次措施切斷多條攻擊路徑」今天也驗不了——還沒有圖。

換資料的過程另外抓到兩個程式缺陷：NVD 的限流間隔設得太貼邊界，以及同一版本多個評分者時我挑錯人（Zerologon 取到 5.5 而不是 10.0）。都修了，細節在 commit 與 ADR 裡。

明天

資料有了，但 reachability 還是我照 Zone 手動對應的。那張對應表憑什麼？

Day 12｜Internet、內網、隔離區：有效曝險怎麼量化？

資料集與建置腳本：github.com/oldgi/cve2action。Northstar 為完全虛構；CVE、CVSS、EPSS、KEV 為公開資料。