Nessus把漏洞分成Critical、分析High、漏洞Medium、分析Low四个级别，漏洞但真正用过的分析人都知道，那个红色Critical标记有时候会骗人。漏洞我见过一台内网测试服务器上挂着三个Critical，分析点开一看全是漏洞SSL证书过期——那东西确实该修，但优先级绝对排不到业务系统前头。分析 级别判定背后是漏洞一套CVSS分数在起作用，Nessus默认按CVSS v3的分析基础分映射级别：9.0到10是Critical，7.0到8.9是漏洞High，4.0到6.9是分析Medium，0.1到3.9是漏洞Low。这套算法看的分析是漏洞本身的固有属性，比如攻击复杂度、是否需要用户交互、影响范围是本地还是远程。问题在于CVSS根本不关心你的网络环境里是否真的有攻击路径能走到那个漏洞上。 举个实际例子。公司防火墙策略把443端口只对特定IP段开放，Nessus扫描却报了一个Apache Struts2的远程代码执行漏洞，级别High。CVSS给它打9.8分，因为Struts2的RCE历史上被大量利用，攻击复杂度低，无需权限。可你的防火墙规则已经掐死了外部访问路径，唯一能触达这个端口的是内网运维跳板机，而那台跳板机本身补丁齐全、账号双因子认证。这个High漏洞的真实风险被高估了至少一个档位。 反过来也有被低估的情况。Nessus对某些逻辑漏洞、权限绕过类问题经常只给Medium，因为CVSS里“攻击复杂度”和“所需权限”这两项没法准确量化业务逻辑的脆弱程度。比如一个上传接口没做文件类型校验，Nessus可能只报个Medium的信息泄露，但结合你后端存储路径可预测、文件直接以原文件名保存这两个条件，攻击者能直接传一个WebShell上去。这种组合拳打出来的实际危害比单个Critical的Struts2还大。 所以拿到Nessus报告别急着按颜色排工单。先做两件事：第一，把漏洞对应的资产从扫描结果里拉出来，对照资产清单看它是不是面向公网、是不是核心业务、有没有其他补偿控制。第二，把同级别漏洞按可利用性再排一次序，优先看有没有公开的Metasploit模块或PoC，再看漏洞触发的条件在你当前网络里是否真的满足。 我自己处理过一个案例：扫描报告里Critical有12个，其中9个集中在两台老旧的Windows Server 2008上，全是SMB相关的远程代码执行漏洞。表面看风险极高，但那两台机器放在隔离VLAN里，出站入站规则都只允许特定端口对特定主机通信，而且日常没有域账号能登录上去。真正需要当天处理的其实是另一个Medium——某台Web服务器上的目录遍历漏洞，因为那台服务器挂在DMZ区，且后端数据库连接字符串写在配置文件里能被遍历读取。最后我先把那台机器从公网摘下来，再回头慢慢补Windows的洞。 Nessus的级别只是起点，不是终点。它给你的是一个基于通用标准的初筛，真正的风险排序得结合你的网络拓扑、资产价值、现有安全控制来二次加工。把Critical全修完不代表安全，把Medium全忽略也不代表侥幸——你得理解每个数字背后对应的现实攻击场景，才能让那份报告变得有实际指导意义。