大家读完觉得有帮助记得关注和点赞！！！
软件定义广域网将运营权限集中在控制器、编排器和面向互联网的边缘设备上，但仅基于严重性的修复队列并不能反映当前的暴露情况或证据质量。本文详细说明了预测性暴露与密码学就绪性（PECR），一种决策支持方法，它结合了九个归一化的严重性、威胁、可达性和后果因素，同时单独报告置信度和分数区间。密码学依赖项进入一个独立的迁移队列。评估使用了100条按角色和区域条件生成的合成漏洞-资产记录，涵盖62个角色一致的资产，外加30次独立的生成器重复实验。相对于运营PECR顺序，仅CVSS、仅EPSS、KEV优先和CVSS×EPSS队列产生的Kendall τ值分别为0.196、0.221、0.301和0.234；一个更强的五因素轻量级上下文比较器产生0.755。在30,000次联合Dirichlet权重抽样中，在宽泛、中等和狭窄扰动下，中位数τ分别为0.836、0.893和0.924。掩码10%的因子单元格后，有47条记录被标记为证据有限，因为它们的区间跨越了决策边界。本研究建立了可执行的规范、合成队列区分和压力测试鲁棒性。它没有建立预测准确性、避免的损失或生产有效性，因为没有使用真实的结果标签。
CCS概念 • 安全与隐私 → 网络安全；漏洞管理；系统安全 • 网络 → 网络可管理性
附加关键词和短语：漏洞优先级排序，SD-WAN，攻击路径，证据质量，全局敏感性分析，后量子密码学，密码学物料清单
1 引言
软件定义广域网（SD-WAN）用加密覆盖层、集中式策略和多条底层链路取代了固定的私有广域网拓扑。该模型改进了路径选择和服务敏捷性，但也集中了权限。一个编排器可以配置每个分支机构，控制器分发路由和安全策略，边缘设备持有锚定覆盖层的凭证。因此，一个管理组件的入侵可能会影响许多站点。MEF的SD-WAN服务模型捕捉了这种对集中式策略和托管虚拟连接的依赖性[1]。
其后果是运营性的，而不仅仅是架构性的。2026年2月，美国网络安全和基础设施安全局在Cisco SD-WAN系统被积极利用后发布了紧急指令26-03，随后发布了追踪和加固指南[2, 3]。该事件说明了为什么已发布的严重性不是完整的修复顺序。紧迫性还取决于是否观察到利用、易受攻击的服务当前是否可达、入侵后获得什么权限以及哪些其他资产变得可达。
CVSS描述了内在的技术严重性[4]。EPSS估计了30天内被利用的概率[5, 6]。CISA的KEV目录记录了已确认的利用[7]，而SSVC通过决策树结合了利用和任务上下文[8]。这些信号回答了不同的问题。一个有用的队列必须保留它们的来源，而不是将它们视为可互换的。
PECR将优先级排序视为针对漏洞v、资产a和观测时间t的决策。它从网络和安全运营已有的证据中生成一个有解释的工作队列。它不部署补丁、估计金钱损失或取代人工变更控制。一个单独的C-BOM队列处理密码学迁移，以便长期过渡规划不会被错误地表示为可利用软件漏洞的证据。
1.1 贡献
一个可复现的、供应商中立的规范，它在定义的观测时间点结合了漏洞情报、稳定的资产身份、实时暴露、有限的可达性、后果和证据质量。
一个运营决策协议，它分离了分数、置信度、不确定性界限、异常处理和一个链接但独立的密码学迁移队列。
一个经过修正的合成工件，包含角色一致的资产、五个声明的基线队列、30,000次联合权重抽样、一个缺失证据测试和30次生成器重复实验，并附有关于这些测试能证明什么的明确限制。
1.2 研究问题
RQ1 — 规范： 证据、因素、队列顺序、不确定性规则和密码学队列能否被足够精确地定义以进行独立实施？
RQ2 — 行为： 在一个已声明的合成队列上，由此产生的运营顺序与仅基于严重性、利用性和更简单的上下文启发式方法有何不同？
RQ3 — 鲁棒性与局限性： 在联合策略权重变化和缺失证据下，该顺序有多稳定？哪些结构性或对抗性条件会限制其部署？
这些问题刻意避开了预测性能的主张。合成验证可以测试实现行为和鲁棒性；生产有效性、分析师效用和跨供应商迁移则需要独立的现场数据。
2 相关工作
2.1 严重性、利用性和上下文
严重性和利用性是相关但不可互换的。Allodi和Massacci发现，仅凭严重性是在野利用的一个弱代理指标[9]。CVSS和EPSS的比较支持在严重性之外保留一个概率信号[10]。Koscinski等人记录了在600个与结果相关的漏洞上，不同评分系统之间存在显著分歧[11]。评估者实验也显示了结构化评级中的差异[12]，并且当一个漏洞刚刚被披露时，预测最不可靠[13]。最近的一项调查整合了该领域的分类法和评估指标[14]。
复合方法增加了威胁信号或企业上下文。Shimizu和Hashimoto评估了一个集成漏洞管理链，涉及28,377个真实漏洞[15]，而Ahmadi Mehri等人则自动化了上下文感知的补丁优先级排序[16]。PECR遵循这一方向，但将实时网络状态、有限的攻击路径和证据质量作为显式输入。它使用EPSS概率而非百分位数，因为概率代表了建模的30天可能性，而百分位数随被评分群体的变化而变化[5]。
2.2 攻击路径与SD-WAN管理
攻击图为多步入侵推理提供了基础[17, 18]，但其质量仍受限于拓扑、配置和漏洞输入[19]。PECR不声称进行形式化验证。它从一个有向有限图中推导出两个可审计的特征：到不受信任来源的距离，以及在两跳内可达的其他范围内资产的份额。
SD-WAN综述将流量工程、服务编排、集中控制和安全性描述为相互关联的管理问题[20, 21]。先前的工作已经研究了WAN感知的弹性[22]、分布式控制平面[23]以及从SD-WAN流遥测中检测恶意流量[24]。PECR位于一个不同的层面：它将管理证据组合成修复决策，而不是提出路由或检测机制。
2.3 密码学过渡与定位
NIST在FIPS 203–205中标准化了ML-KEM、ML-DSA和SLH-DSA[25–27]。NIST IR 8547草案提供了一个可配置的过渡时间表[28]，CycloneDX提供了一个密码学清单载体[29]，Mosca不等式将机密性生命周期和迁移时间联系起来[30]，而NIST密码学敏捷性指南强调了清单和可替换性[31]。联邦指令为适用系统增加了具有约束力的规划义务[32, 33]。PECR利用这些来源构建迁移规划队列；它不将传统密码学的计划性退役视为软件漏洞。
最接近的与结果相关的研究使用规模大得多的真实数据[11, 15]。而本研究则询问，当那些公共数据集缺少所需的拓扑和证据质量字段时，一种遥测丰富的方法是否可以被详细说明并进行压力测试。这种区别是核心：以下结果描述的是队列行为，而非预测准确性。
表1：PECR与代表性方法的定位
| 方法 | 威胁/严重性 | 实时上下文 | 攻击路径 | 证据质量 | 密码学队列 |
|---|---|---|---|---|---|
| CVSS / EPSS / KEV [4–7] | 是 | 否 | 否 | 否 | 否 |
| SSVC [8] | 是 | 部分 | 否 | 否 | 否 |
| 上下文感知方法 [15, 16] | 是 | 部分 | 否 | 否 | 否 |
| 攻击图方法 [17–19] | 部分 | 输入依赖 | 是 | 否 | 否 |
| SD-WAN管理 [22–24] | 部分 | 是 | 部分 | 否 | 否 |
| C-BOM / 密码学敏捷性 [28–31] | 否 | 清单 | 否 | 否 | 是 |
| PECR | 是 | 是 | 有限 | 是 | 分离 |
3 决策模型与架构
3.1 分析单元与范围
一个PECR修复记录是 x = (v, a, t)：在观测时间 t 映射到范围内SD-WAN资产 a 的漏洞或发现 v。范围内的资产包括编排器、控制器、边缘设备、网关、管理接口、身份依赖项，以及可达性分析所需的路由和分段状态。不相关的应用程序和终端发现被排除在外。假设防御者拥有扫描器、资产清单、威胁情报源、选定的流量和日志源，以及一个人工变更控制流程。
3.2 攻击模型
PECR必须同时考虑攻击网络的对手和攻击证据管道以改变队列的对手。后者可以提交、延迟、抑制或篡改来自其控制源的观测数据，但无法伪造未受损源凭据或更改已完成的仅追加决策记录。该模型不假设经过身份验证的观测是真实的。
表2：针对PECR决策层的攻击
| ID | 攻击 | 机制 | 主要影响 |
|---|---|---|---|
| A1 | 遥测投毒 | 伪造或重放源观测 | 降低或提高F4、F6或F7 |
| A2 | 矛盾注入 | 冲突的有效观测 | 扩大区间；消耗分析能力 |
| A3 | 路径欺骗 | 策略或部署状态操纵 | 错误陈述F6和F7 |
| A4 | 新鲜度饥饿 | 情报源抑制或延迟 | 降低证据质量和置信度 |
| A5 | 内部人员操纵分数 | 授权所有者更改受治理的元数据 | 更改F8、F9或策略参数 |
3.3 设计需求
可追溯性和时间： 每个因素都保留来源身份、事件和摄取时间、转换、质量和策略版本。
不确定性保留： 缺失和矛盾的证据产生明确的下限和上限，而非静默的中点插补。
受治理的决策： 权重、阈值、图范围和密码学时间表是版本化的、可重放的、经批准的和可逆的。
分离输出： 修复和密码学迁移共享稳定的资产身份，但保留不同的分数、队列、所有者和时间范围。
人类权威与管道完整性： 不进行自动修补；源经过身份验证、序列检查、模式验证、新鲜度监控，并在无效时隔离。
3.4 四个平面和两个队列
证据平面 摄取静态和动态源。上下文平面 解析稳定的资产身份、观测时间和有向可达性。分析平面 计算分数、置信度和不确定性界限。决策平面 产生两个独立的队列并记录分析师反馈。修复队列按最终等级排序，然后按分数R降序，再按稳定记录标识符排序。证据有限的记录进入验证工作流；保留一个活跃的异常底限。迁移队列按资产紧迫性G(a)独立排序。
图1：PECR证据流以及修复与密码学迁移的分离。
4 证据与遥测模型
4.1 源模型
最小证据集包含资产清单、漏洞发现、威胁情报、暴露观测、身份和权限状态、路由和分段状态、流记录以及控制平面事件。IPFIX提供了一个供应商中立的流模式[34]，syslog提供了一个通用事件信封[35]，兼容NTP的同步支持时间连接[36]。每个观测都带有稳定的资产身份、事件和摄取时间、源身份、源签名的事件或序列标识符，以及模式和策略版本。
收集频率是受治理的操作参数，而非通用常量。威胁情报源、暴露观测和事件日志至少每天刷新；清单和扫描器覆盖范围每周检查；C-BOM记录每月以及证书或库更改后审查。KEV添加、新观察到的互联网暴露、路由策略更改、身份验证异常或所有权更改会触发受影响记录的重算。
4.2 有向可达性过程
在时间t，PECR构建一个有向图G(t) = (V, E(t))。顶点是资产、网络区域、身份和管理服务。一条边 u → z 仅在有效策略允许该转换且至少有一条已配置或观察到的路径在新鲜度窗口内支持它时才被接纳。拒绝规则优先。一条仅策略的边比一条经过流量证实的边保留更低的质量。已编译和已部署策略的分歧会产生一条未解决的边，而不是假定允许或拒绝。
对于目标a，广度优先搜索从建模的不受信任起源开始。最短的有效有向路径决定了 h，即入口后所需的额外受损节点数量，并且F6 = 1/(1+h)；当在建模权限下未找到路径时，F6为零。然后从a开始，使用从v可获得的权限进行有限搜索。如果A是范围内的资产集，则F7是在两个有向跳内可达的其他资产数量除以 |A|−1。路径、支持的边、被拒绝的替代方案、图版本和权限假设都被存储以供审计。
4.3 证据质量与矛盾
每个因素都有一个质量 qᵢ ∈ [0,1]，定义为新鲜度、完整性和来源控制措施的乘积。新鲜度在达到特定源的目标后衰减，并在该目标的三倍时达到零。完整性衡量必填字段和预期覆盖率比率。来源可信度对于经过身份验证的、模式有效的源最高，对于推断或操作员输入的证据较低。
无效观测被隔离，从不参与计算。单独有效的冲突观测不会被平均：PECR保留它们最小和最大可能的因子值，降低qᵢ，并开启一个矛盾工作项。这保留了诚实的意见分歧，但会产生第7节中分析的注意力缺失风险。
5 修复分数、置信度与决策规则
5.1 因素与分数
对于一个完整的记录，PECR使用表3中的九个归一化因素。显示的权重四舍五入到小数点后六位；可执行向量归一化后总和精确为1。
表3：PECR修复因素及AHP派生权重
| 因素 | 操作含义 | 归一化 | 权重 | |||
|---|---|---|---|---|---|---|
| F1 | 基础严重性 | 内在技术严重性 | CVSS基础 / 10 | 0.100493 | ||
| F2 | 利用证据 | 观察到或已发布的利用 | 无0；公开利用0.5；已确认/KEV 1 | 0.195021 | ||
| F3 | 利用概率 | 估计30天内被利用 | EPSS概率 | 0.100493 | ||
| F4 | 不受信任的可访问性 | 易受影响服务的当前可达性 | 无0；内部.33；合作伙伴.67；互联网1 | 0.195021 | ||
| F5 | 可获得权限 | 成功利用后的权限 | 无0；用户.33；管理员.67；控制平面1 | 0.100493 | ||
| F6 | 路径可达性 | 从不受信任源出发的最短建模路径 | 1/(1+h)；不可达0 | 0.100493 | ||
| F7 | 爆炸半径 | 两跳内可达的其他范围内资产 | 可达其他 / ( | A | −1) | 0.053848 |
| F8 | 运营后果 | 资产受损的服务后果 | 低.25；中.5；高.75；关键1 | 0.105843 | ||
| F9 | 控制集中度 | 资产角色的权威性 | 应用程序.2 到 编排器1 | 0.048292 |
起始向量来自作者引导的互反AHP矩阵[37]。主特征向量给出 λmax = 9.0266，一致性比率为 0.0023。该比率仅建立内部一致性；它不会将一位分析师的判断转化为专家共识或经验最优值。
5.2 置信度与区间值证据
置信度在R旁边报告，并且永远不会乘入R。高分数但低置信度需要验证；低分数且低置信度不被视为安全。为了一致地表示所有证据状态，每个因素 i 都有一个合理区间 [ℓᵢ, uᵢ]。已知值使用 ℓᵢ = uᵢ = fᵢ，未知值使用 [0,1]，而矛盾的有效观测使用它们保留的最小值和最大值。
仅当 R⁻ 和 R⁺ 落在同一等级时，才发放一个点等级。否则，记录被标记为证据有限，并在正常调度之前被路由到验证。这个区间方程，不同于仅缺失的快捷方式，也编码了矛盾的因素范围。
5.3 等级、异常与确定性队列顺序
默认计算等级为：严重（R ≥ 85），高（70–84.99），中（50–69.99），低（30–49.99），监控（R < 30）。它们是服务类别，而非概率。当F2 = 1且F4 = 1时，异常E1将最终等级至少设为高，这意味着已确认的利用和已确认的互联网可访问性。E1不改变R或C。
运营排序关键字为：降序最终等级严重性，降序R，然后是稳定记录标识符。标识符仅用于使精确并列可复现。此定义将操作总顺序与推理排名统计分开，并明确了E1如何影响队列。
5.4 引出的权重与实际影响
名义权重并非实际影响。一个因素对分数总和的贡献取决于其观测分布以及wᵢ。在修正后的主要队列中，F2持有19.5%的名义权重，但贡献了6.2%的分数总和，而F8持有10.6%的名义权重，但贡献了15.7%。部署应报告这两个数量，并且不应将AHP向量解释为已测量的因果贡献。
6 并行密码学迁移队列
6.1 有限C-BOM与归一化组件
C-BOM涵盖运行SD-WAN的密码学：覆盖层建立、控制器和管理会话、设备和管理员身份验证、证书链，以及配置和备份的保护。仅通过WAN传输的应用层密码学不在范围内。记录标识资产、受保护功能、协议、库和版本、证书、算法、密钥建立机制、数据敏感性、机密性生命周期、迁移持续时间、依赖项、所有者、状态、约束和退役日期。CycloneDX v1.6是一个合适的载体[29]，但定义PECR要求的是字段，而非载体。
表4：密码学迁移组件的默认归一化
| 组件 | 含义 | 默认归一化 |
|---|---|---|
| c₁ | 算法生命周期 | 已批准0；弃用公告.5；禁止或超出退役1 |
| c₂ | 时间压力 | min{1,(L+M)/H} |
| c₃ | 受保护数据的暴露 | 离线0；内部.33；合作伙伴.67；公开1 |
| c₄ | 依赖深度 | 0, .33, .67, 1 对应无、一个、两个或≥3个阻塞层 |
| c₅ | 迁移复杂度 | 常规.25；中等.5；高.75；阻塞/重新设计1 |
| c₆ | 监管义务 | 无0；规划义务.5；具有约束力的日期强制1 |
对于机密性生命周期L、估计迁移持续时间M和配置的规划时间范围H，当 L+M ≥ H 时，c₂达到1。这意味着组合的机密性和迁移要求达到或超过了时间范围；它并不暗示 L ≥ H 或预测密码学相关量子计算机的出现。
使用最大值是因为一个阻塞性依赖项可以决定一个资产的迁移计划。当 c₂ = 1 且 c₃ ≥ 0.67 时，触发PQC-URGENT：组合时间要求达到规划时间范围，且受保护数据暴露在合作伙伴或公共路径上。该标志和G(a)仅进入迁移队列。
示例： 一个互联网传输的IPsec依赖项，c = (0.7, 1, 1, 0.5, 0.5, 0.5)，其 g(d) = 0.775 并激活PQC-URGENT。该依赖项进入迁移审查；同一资产上的任何软件漏洞仍按修复协议排序。
7 证据管道的安全分析
表5评估了第3.2节中的攻击。该分析是一个设计论证，而非证明：控制措施取决于外部证据源和组织权威。
表5：规定的控制措施与残余风险
| 攻击 | 规定的控制措施 | 残余条件 |
|---|---|---|
| A1 遥测投毒 | 源认证；签名事件/序列ID；重放窗口；模式验证；独立流证实 | 受损害的权威源可以提交看似合理的虚假观测 |
| A2 矛盾注入 | 保留最小/最大；降低质量；监控矛盾率；保留E1底限 | 有效源可能耗尽分析能力；每源速率限制是未来工作 |
| A3 路径欺骗 | 拒绝优先；已编译/已部署比较；图版本化；保留替代方案 | 对策略记录系统的控制可以使错误视图达成一致 |
| A4 新鲜度饥饿 | 心跳和频率警报；新鲜度衰减；上限审查 | 操作员可能仍会推迟低置信度记录，除非强制执行队列底限 |
| A5 内部人员操纵 | 版本化参数；重放；职责分离；仅追加决策记录 | 合法权限仍可能在角色内被滥用 |
对于A1和A3，身份验证证明的是源身份，而非真实性。流量证实和保留的图替代方案可以在独立证据出现后支持后期诊断，但它们不能保证检测到受损害的权威源。仅追加记录提供可审计性；它们本身不是检测器。
A2和A4暴露了一个更深层的矛盾。扩大区间和降低置信度对于诚实的意见分歧或缺失数据是合适的，然而对手可以利用同样的行为来制造分析人员负担。E1防止了已确认利用/互联网可访问类别的抑制，但它没有界定一般攻击。生产部署应对每个源的矛盾工作进行速率限制，并在低置信度与高上限共存时应用队列底限。
A5主要是组织性的。职责分离应将后果分类和修复问责保留在不同的角色中。PECR可以记录和重放更改，但不能阻止授权所有者滥用其合法权限。
8 合成验证
8.1 生成器、资产一致性与范围
修正后的工件生成100条漏洞-资产记录，涉及62个合成资产，固定种子为20260731。资产角色在所有记录中固定：4个编排器，6个控制器，15个互联网边缘，19个分支机构边缘，以及各6个身份服务、访客网关和核心网关。记录-角色计数分别为6、10、24、30、10、10和10。记录在角色内按轮询分配，然后打乱；因此，每个重复的资产标识符都保留一个角色、区域、后果值和控制集中度值。
生成器是按角色和区域条件生成的，并非数据包级拓扑模拟器。一个潜在威胁 z ~ Beta(1.7,3.0) 由EPSS和利用证据生成共享。CVSS在 3 + 5.5·Beta(2.2,1.7) + Normal(0,0.55) 之后被裁剪到 [0.1,10]。EPSS使用 logistic(−5.1 + 0.38·CVSS + 3z + Normal(0,0.65))；KEV使用伯努利概率 logistic(−6 + 0.30·CVSS + 3.8z + 0.65·I_Internet)；非KEV公共利用证据使用 logistic(−4.2 + 0.27·CVSS + 2.6z)。其他因素使用工件中声明的角色和区域配置文件。本研究对F6和F7进行抽样；它不验证图构建算法本身。
该工件包含生成器、完整的AHP矩阵、主要CSV、基线结果、联合敏感性摘要、重复实验摘要和机器可读的JSON。它仅验证算术和声明的压力行为。它不使用生产遥测或观察到的利用结果。
AI使用披露。 在稿件修订期间，使用了OpenAI Codex来审计实现逻辑、对合成验证代码提出修正建议、协助执行和结果检查，并生成修订后的图表和文本。其输出不被视为证据：每个报告值都由公开的可执行工件生成，使用固定种子检查了字节级可复现性，并且引用的主张已与出版商或主要记录进行核对。人类作者负责在提交前独立审查工件，并对所有方法、结果和主张负责。没有AI系统提供生产遥测、结果标签或外部实验观测。
8.2 基线与排序协议
在分析前声明了五个比较对象：仅CVSS（EPSS打破平局）；仅EPSS（CVSS打破平局）；KEV优先（CVSS随后EPSS打破平局）；CVSS×EPSS（KEV打破平局）；以及轻量级上下文。轻量级上下文使用 0.25F1 + 0.25F2 + 0.15F3 + 0.20F4 + 0.15F8，应用E1，并使用与PECR相同的最终等级/分数/标识符协议。最后一个比较对象询问PECR的额外权限、路径、爆炸半径和控制集中度因素是否在比一个更简单的上下文模型增加了实质性的排序变化。
表6：主要队列——与PECR的队列一致性
| 队列 | Kendall τ | 前10重叠 | 前10中的 KEV / 互联网 / 控制平面 |
|---|---|---|---|
| PECR | 1.000 | 10 | 7 / 9 / 1 |
| 仅CVSS | 0.196 | 1 | 2 / 1 / 4 |
| 仅EPSS | 0.221 | 2 | 2 / 3 / 1 |
| KEV优先 | 0.301 | 7 | 8 / 6 / 2 |
| CVSS×EPSS | 0.234 | 2 | 1 / 3 / 1 |
| 轻量级上下文 | 0.755 | 8 | 8 / 7 / 1 |
轻量级上下文是最接近的比较对象（τ = 0.755；前10重叠8），明显比KEV优先（τ = 0.301；重叠7）更接近。因此，大多数运营前10行为已经被已确认利用、互联网可访问性、严重性、概率和后果所捕获。在此合成队列中，PECR的额外因素主要优化了等级内和等级附近的排序。这是增量区分而非优越性的证据。
8.3 联合全局权重敏感性
完整的权重向量从 Dirichlet(κw) 中抽取，这是一个九部分单纯形上的分布[38, 39]。所有权重同时改变并继续总和为一。浓度 κ = 20、50 和 100 分别代表宽泛、中等和狭窄的压力机制，每种机制进行10,000次抽样。它们是敏感性情景，而非利益相关者信念的后验分布。
表7：联合权重敏感性，每种浓度10,000次抽样
| κ | τ p05 / 中位数 / p95 | 前10重叠 p05 / 中位数 / p95 | 等级一致性 p05 / 中位数 / p95 | 最不稳定基础前10记录的保留率 |
|---|---|---|---|---|
| 20 | 0.664 / 0.836 / 0.917 | 7 / 9 / 10 | 0.52 / 0.78 / 0.91 | 57.9% |
| 50 | 0.788 / 0.893 / 0.949 | 8 / 10 / 10 | 0.68 / 0.86 / 0.96 | 70.1% |
| 100 | 0.846 / 0.924 / 0.964 | 8 / 10 / 10 | 0.78 / 0.90 / 0.98 | 80.1% |
在宽泛扰动下，中位数τ为0.836，中位数前10重叠为9，但最不稳定的基础前10记录仅在57.9%的抽取中被保留。因此，中位数稳定性不应被解释为统一的记录级稳定性。运营等级比较包括E1和声明的最终等级排序协议。
8.4 等级校准、缺失证据与实际影响
主要队列的中位数 R = 43.65，第95百分位数为68.19，最大值为76.47。计算等级包含18条监控、51条低、26条中、5条高和0条严重记录。E1应用于6条记录，但仅更改了其中2条的等级；最终计数为18、51、24、7和0。未填充的严重等级表明默认阈值未针对此生成器进行校准。部署应根据治理的历史结果校准服务等级，而不是原样采用这些默认值。
一个单独的测试均匀地（无放回）掩码了900个因子单元格中的90个（10%）。63条记录丢失了至少一个因子。方程(3)产生的中位数区间宽度为14.88分，第95百分位宽度为29.55；47个区间跨越了计算等级的边界。该测试展示了在一种随机缺失机制下的区间传播。它并不表明这些标签相对于真实情况是正确的，或对对抗性缺失进行了建模。
实际分数总和也与名义策略权重不同。在此队列中，利用证据和利用概率的贡献小于其权重，因为它们通常接近零；运营后果、可访问性、权限和严重性的贡献更大。这一发现支持在部署审查期间在引出权重旁边报告实际影响。
图2：队列一致性、联合权重敏感性和等级校准的修正验证总结。
8.5 生成器重复实验
生成器以每个种子100条记录重新运行30次，增加了3,000条记录。重复实验减少了对一个种子的依赖，但保留了相同的数据生成假设。
表8：三十个种子的生成器重复实验
| 队列 | τ p05 / 中位数 / p95 | 前10重叠 p05 / 中位数 / p95 |
|---|---|---|
| 仅CVSS | 0.069 / 0.153 / 0.276 | 0.45 / 2.00 / 4.00 |
| 仅EPSS | 0.079 / 0.173 / 0.270 | 1.00 / 3.00 / 4.00 |
| KEV优先 | 0.172 / 0.266 / 0.366 | 3.00 / 6.00 / 8.00 |
| CVSS×EPSS | 0.090 / 0.180 / 0.280 | 0.45 / 2.00 / 4.00 |
| 轻量级上下文 | 0.686 / 0.727 / 0.777 | 6.00 / 8.00 / 9.00 |
轻量级上下文在所有种子中仍然是最接近的比较对象（中位数τ = 0.727；中位数前10重叠8）。KEV优先仍然是次接近的（中位数τ = 0.266；中位数重叠6）。这些结果支持在添加基本上下文和添加PECR完整因素集之间存在质的区别，同时仍然取决于一个合成生成器家族。
8.6 验证确立了什么
修正后的研究确立了可执行的算术、确定性队列语义、与五个声明启发式方法的区分、在所述权重分布下的鲁棒性、缺失输入的传播以及跨种子的可重复性。它没有确立预测准确性、被阻止的利用、避免的损失、分析师的接受度或普遍适用的权重向量。这些结果需要独立的回顾性和前瞻性现场研究。
9 采纳与治理
9.1 分阶段采纳
PECR可以增量式引入。第0级 建立稳定的资产身份、漏洞覆盖和后果所有权。第1级 增加威胁情报和暴露观测。第2级 增加连续遥测和证据质量。第3级 激活有向路径和爆炸半径。第4级 填充有限C-BOM。第5级 引入回顾性结果审查和受治理的校准。
初始就绪阈值可能包括：第0级 90% 的资产角色和后果覆盖；第1级 95% 的源新鲜度；第2级 至少 0.70 的置信度中位数；第3级 至少 80% 的采样路径验证；以及第4级 C-BOM覆盖所有编排器和控制器以及一半边缘。这些是起始控制措施，而非经过验证的通用基准。
9.2 隐私、变更控制与审计
PECR需要运营元数据，但不需要数据包负载。流记录被最小化为可达性字段，身份值在身份系统之外由稳定的假名标识符表示，分析师访问被记录。原始遥测遵循源系统保留策略；PECR保留因子值、来源、策略版本和用于重放的仅追加决策记录。
权重、阈值、归一化、图范围、服务级别和密码学时间表都是受治理的配置。每次更改都需要理由、所有者、针对归档评估集的重放、等级和等级变化的比较、批准、生效日期、监控期和回滚计划。PECR不会自主修改生产策略。这种治理与NIST CSF 2.0的治理、识别和改进功能一致[40]。
10 局限性与验证议程
这九个因素是合理的操作构建，但它们的序数量表仍然是策略选择。AHP使一个起始向量可追溯；它并不使一个分析师代表网络运营商。F6和F7取决于拓扑的正确性，并且在集中式环境中F7可能与F9重叠。EPSS是一个模型输出，而非保证。C-BOM时间表取决于不断演变的指南和本地迁移估计。
内部有效性受到角色计数、条件分布和共享潜在威胁构建的限制。修正后的生成器强制实施了资产级一致性，但它仍然对可达性和爆炸半径进行抽样，而不是执行图程序。三十次重复实验测试种子，而非替代模型。均匀掩码只是其中一种缺失机制。密码学队列被详细说明和说明，但未经验证。
外部有效性是主要限制。100条主要记录和3,000条重复记录不代表供应商差异、维护窗口、补丁依赖关系、攻击者适应性或组织激励。Kendall τ和前k重叠衡量队列分歧，而非准确性或显著性。置信度衡量证据核算，而非校准的正确性概率。
下一次评估应预先注册一项回顾性的、多环境研究。基线应包括CVSS、EPSS、KEV优先、SSVC和轻量级上下文。结果应包括固定修复预算下的精确度、缓解后来被利用发现的时间、分析师前k一致性、路径验证率、队列变动和置信度校准。然后应进行一项前瞻性研究，在不允许自主部署的情况下测量决策时间和覆盖质量。利益相关者AHP小组应报告评分者间离散度和实际影响。
11 结论
PECR是一个可复现的决策规范，用于对SD-WAN修复进行排序，同时保持证据质量可见。该方法分离了风险分数、置信度、合理界限、策略异常和密码学迁移。修正后的工件澄清了资产身份、运营队列顺序、区间数学、密码学归一化以及简单和完整上下文之间的区别。
最强结果恰如其分地是谦逊的：基本上下文解释了PECR大部分前10行为，而完整的因素集优化了顺序，并在声明的权重压力下保持合理稳定。证据支持合成可行性，并揭示了重要的校准和管道安全限制。它不支持生产有效性的主张；独立的现场验证仍然是必要的下一步。
