弱點掃描報告怎麼看？風險等級、誤判與修補優先順序
讀弱點掃描報告，不要從第一筆弱點開始往下看。正確的順序是：先看範圍與摘要，再看嚴重程度分布，接著排除誤判、依修補方式分組，最後才排出修補順序並安排複掃。照這個順序，上百頁的報告通常能整理成十幾項真正要做的事。
這篇寫給剛拿到報告的 IT 人員，照實際處理順序分成 5 個步驟。弱點掃描的類型、頻率與工具，可以先看 弱點掃描 的完整說明；若希望由顧問先驗證結果再交付報告，可以參考我們的 弱點掃描服務。
步驟一：弱點掃描報告包含哪些內容？
一份完整的弱點掃描報告分成兩層。給管理階層的是管理摘要，給技術團隊的是技術報告；技術報告中的每一筆發現，通常包含弱點名稱、CVE 編號、CVSS 分數與向量、受影響的主機與連接埠、佐證輸出與修補建議。
下表是讀報告時可以對照的欄位清單：
| 區塊或欄位 | 代表什麼 | 你該做什麼 |
|---|---|---|
| 掃描範圍與時間 | 這次掃了哪些 IP、網域，是否用帳號登入掃描 | 確認重要系統有沒有漏掉；沒登入的結果誤判較多 |
| 嚴重程度分布 | 嚴重、高、中、低各有幾筆 | 先看嚴重與高的數量，和上一次比較趨勢 |
| 弱點名稱與 CVE | 這是哪一個已公開的弱點 | 用 CVE 編號到 NVD 查受影響版本與修補資訊 |
| CVSS 分數與向量 | 弱點的技術嚴重程度與利用條件 | 看向量判斷是否可從網路直接利用 |
| 受影響主機與連接埠 | 哪幾台機器、哪個服務有這個弱點 | 對照資產清單，找出負責人 |
| 佐證輸出 | 工具判斷的依據，例如偵測到的版本字串 | 判斷是否為誤判的第一手資料 |
| 修補建議 | 建議升級的版本、修補程式或設定 | 依修補方式分組，安排維護時段 |
最常被跳過的是第一列。如果報告註明這次是「未登入掃描」，工具只能從服務對外顯示的資訊推測版本，誤判比例會明顯偏高，後面的步驟三就要多花時間。
步驟二：弱點風險等級怎麼看？
報告中的風險等級，多數依 CVSS 分數分級：9.0 到 10.0 為嚴重，7.0 到 8.9 為高，4.0 到 6.9 為中，0.1 到 3.9 為低。分數之外，更值得看的是 CVSS 向量，它說明了這個弱點要在什麼條件下才能被利用。
以 FIRST 規格中的 3.1 版為例，向量會寫成「CVSS:3.1/AV:N/AC:L/PR:N/UI:N/…」。AV 是攻擊途徑，N 代表可從網路遠端利用，P 代表需要實體接觸；PR 是所需權限，N 代表不需要登入；UI 是使用者互動，N 代表不需要有人點擊。AV:N、PR:N、UI:N 同時出現，意思是攻擊者不需要帳號、不需要誘騙任何人，就能從網路直接下手。
報告裡也常有大量「資訊」等級的項目，例如偵測到的作業系統、開放的服務清單。這些不是弱點，但可以用來檢查有沒有不該對外開放的服務。部分掃描工具另有自家的優先評分，閱讀時要確認報告用的是哪一種分數。
步驟三：弱點掃描誤判怎麼判斷？
判斷誤判，先看佐證輸出：工具是登入主機讀到實際版本，還是從對外的版本字串推測。後者最容易誤判，需要登入主機核對套件版本、修補紀錄或設定後，才能下結論。
| 常見誤判原因 | 典型情境 | 怎麼驗證 |
|---|---|---|
| 只看版本號 | Linux 發行版把修補移植回舊版本，版本號沒變 | 查套件的變更紀錄或發行版的安全公告，確認 CVE 已修補 |
| 未登入掃描 | 從網頁或服務標頭推測軟體版本 | 改用有帳號掃描，或登入主機確認版本 |
| 已修補未重啟 | 修補程式已安裝，但服務尚未重新啟動 | 確認服務重啟時間，重啟後複掃 |
| 功能未啟用 | 弱點存在於未開啟的模組或功能 | 確認設定檔中該功能確實關閉，保留截圖 |
| 掃到中間設備 | 結果其實來自負載平衡器或防火牆，而不是後端主機 | 對照網路架構，確認回應來源 |
第一種最常見，也最好查。Red Hat 的說明指出，它會把新版本中的安全修補移植到舊版本的套件上，因此只依版本號判斷的工具會產生誤判。確認為誤判後，要在報告中標註理由並保留證據，下次掃描時才不會重新討論一次。
步驟四：依修補方式分組，排出修補優先順序
排修補順序前，先把弱點依「修補方式」分組。弱點掃描報告上的 200 筆發現，常常只對應十幾個動作。一次作業系統更新可能關掉數十筆，一個 TLS 設定可能關掉一整類。
分組後，再依三個條件排序：系統是否對外、弱點是否已被實際利用（例如列入美國 CISA 的 KEV 清單），以及 CVSS 嚴重程度。完整的優先順序表與建議處理時限，可以參考上方弱點掃描指南中的整理。
暫時無法修補的項目，例如廠商已停止支援的設備，要改採緩解措施：限制來源 IP、關閉不必要的服務，或放到獨立網段。被核定資通安全責任等級的特定非公務機關，依民國 115 年 1 月 7 日修正的分級辦法，知悉資通安全弱點時應適時修補或採行緩解措施，這些處理紀錄也是稽核時的佐證。
步驟五：複掃與結案
修補完成後，要針對同一範圍再掃一次。接著把每一筆發現的狀態更新為「已關閉」或「尚存」，這份更新後的弱點掃描報告才是正式的結案依據。沒有複掃，修補就無法證明。
結案時常有三種狀態：已修補並經複掃確認、確認為誤判並附證據，以及接受風險並記錄理由、緩解措施與重新檢視日期。接受風險應由系統負責人或主管簽核，而不是由經辦的 IT 人員自行決定。
各步驟最常見的錯誤
步驟一最常見的錯，是沒發現重要系統不在掃描範圍內，報告「乾淨」只是因為沒掃到。步驟二常把資訊等級的項目當成弱點，讓報告看起來比實際嚴重，也讓主管失去判斷重點。
步驟三的問題通常是「開發說不用修」就直接結案，沒有留下任何證據。步驟四則常照報告順序一筆一筆修，同一台主機重開機好幾次。步驟五最容易被省略：修補完就以為結束，直到下一季掃描，才發現有一半其實沒有生效。若高風險項目反覆出現，可以考慮用 滲透測試 驗證它們是否真的能被串成攻擊路徑。
下一份報告到手，第一個小時該做什麼？
第一個小時只做三件事：確認掃描範圍與是否有帳號登入、統計嚴重與高風險的數量並和上一次比較、把嚴重與高風險的項目依修補方式分組。做完這三件事，你就有一份可以拿去和主管、系統負責人討論的清單。
如果報告量大、誤判多，或需要一份能交給客戶與稽核的正式版本，可以參考我們的 弱點掃描服務，或 先請顧問看一下現況。
弱點掃描報告常見問題
弱點掃描報告要給誰看？
管理摘要給主管與高階管理者，用來了解整體風險與決定資源；技術報告給 IT 與系統負責人，用來執行修補。兩份報告用的是同一批發現，確保雙方對優先順序的認知一致。
高風險弱點一定要馬上修嗎？
要優先處理，但不一定能馬上修。若修補需要停機或廠商尚未提供修補程式，應先採取緩解措施，例如限制連線來源或暫時關閉服務，並排定修補日期。對外系統上已被實際利用的弱點，則應盡快處理。
弱點掃描報告可以給客戶看嗎？
可以提供，但建議只提供管理摘要或複掃後的結果摘要，不要直接交出完整技術報告。完整報告包含 IP、版本與弱點細節，外流等於提供攻擊者一份地圖；若客戶堅持要看，應在保密協議下提供，並移除不必要的細節。
參考資料
- CVSS v3.1 Specification Document – CVSS 向量字串格式與基本指標定義。FIRST
- CVSS v4.0 Specification Document – 嚴重程度分級。FIRST · 2023 年 11 月 1 日
- Backporting Security Fixes – 修補移植與僅依版本號判斷造成的誤判。Red Hat
- 資通安全責任等級分級辦法 – 附表中的資通安全弱點管理應辦事項。全國法規資料庫 · 民國 115 年 1 月 7 日修正
