CISA
美国联邦政府网络安全机构，负责维护已知被利用漏洞（KEV）目录，要求联邦机构在规定期限内完成漏洞修补
核心事实
时间轴 (近 90 天)
DHS下辖网络安全与基础设施安全局（CISA）、特勤局、海关与边境保护局、移民与海关执法局等多个机构。
CISA 的警告通常意味着漏洞利用已进入「在野」阶段。
CISA 维护的「已知被利用漏洞目录」（KEV）是业界广泛引用的权威清单，收录已被证实在真实攻击中使用过的漏洞。
面对 CISA 的警告，开发团队最容易犯的错误是「只升级版本，不验证效果」。
美国网络安全和基础设施安全局（CISA）发布警告，称黑客已经找到了利用 PHP 软件中关键漏洞的方法。
SafePay勒索软件已攻击超过600家关键基础设施组织。
NCSC/CISA发布的AI安全开发指南是指南而非安全认证。
英国国家网络安全中心（NCSC）与包括CISA在内的国际伙伴共同发布了AI安全开发指南，强调供应链安全、第三方组件验证、模型/数据/提示的文档化、资产追踪以及关键任务系统的故障转移准备。
各机构可在命令发布后60天内书面申请例外，由CISA逐案审批；国土安全部长需在一年内及此后每年审查该命令。
CISA面向中小企业的资源强调韧性和安全-by-design/default实践，可转化为采购问题：多因素认证、角色分离、日志导出、设备吊销、备份恢复、录音图像访问控制、供应商账户被攻破的应对。
还有 19 条时间轴事件
全部知识事实 (20)
CVE是由美国MITRE公司维护、美国国土安全部资助的全球漏洞标识系统，自1999年启动以来已收录超过20万个漏洞条目
90%已验证CVE-2021-44228即著名的Log4Shell漏洞
70%已验证CISA负责协调保护美国16个关键基础设施部门，并运营US-CERT（美国计算机应急响应小组）
65%待验证美国CISA、欧盟ENISA以及中国的网络安全主管部门均在探索AI辅助防御的政策框架
80%待验证DHS下辖网络安全与基础设施安全局（CISA）、特勤局、海关与边境保护局、移民与海关执法局等多个机构。
50%待验证面对 CISA 的警告，开发团队最容易犯的错误是「只升级版本，不验证效果」。
50%待验证CISA 的警告通常意味着漏洞利用已进入「在野」阶段。
50%待验证CISA 维护的「已知被利用漏洞目录」（KEV）是业界广泛引用的权威清单，收录已被证实在真实攻击中使用过的漏洞。
50%待验证NCSC/CISA发布的AI安全开发指南是指南而非安全认证。
50%待验证英国国家网络安全中心（NCSC）与包括CISA在内的国际伙伴共同发布了AI安全开发指南，强调供应链安全、第三方组件验证、模型/数据/提示的文档化、资产追踪以及关键任务系统的故障转移准备。
50%待验证各机构可在命令发布后60天内书面申请例外，由CISA逐案审批；国土安全部长需在一年内及此后每年审查该命令。
50%待验证CISA面向中小企业的资源强调韧性和安全-by-design/default实践，可转化为采购问题：多因素认证、角色分离、日志导出、设备吊销、备份恢复、录音图像访问控制、供应商账户被攻破的应对。
50%待验证CISA建议在更新前检查是否已被入侵并保留取证证据，因为更新本身可能清除已存在入侵的证据。
50%待验证根据具有约束力的操作指令BOD 22-01，美国联邦民事行政部门必须在截止日前完成缓解或停用受影响产品。
50%待验证此次新增的五个漏洞中有四个的披露时间集中在2015年至2021年之间，修复补丁大多已存在数年。
50%待验证此次五个漏洞中有四个带有取证排查标记，要求在关单前先在受影响主机上搜索入侵痕迹，包括异常文件、新建账户、Web Shell和外连行为。
50%待验证CISA 指引要求先应用厂商提供的 iRule 以进行取证分流，随后再打补丁，而非二选一
50%待验证美国CISA和欧盟AI法案均将网络攻击能力列为高风险AI系统的核心评估维度
50%待验证据美国CISA统计，针对关键基础设施的成功攻击中，相当比例的初始入口点来自员工凭证泄露或配置错误，而非零日漏洞
50%待验证美国网络安全和基础设施安全局（CISA）及FBI均建议政府机构不要支付赎金
50%