前??言
本標準按照GB/T 1.1—2009《標準化工作導則 第1部分：標準的結構和編寫》給出的規(guī)則起草。
本標準代替GB/T 33561—2017《信息安全技術 安全漏洞分類》、GB/T 30279—2013《信息安全技術 安全漏洞等級劃分指南》。
與GB/T 33561—2017、GB/T 30279—2013相比，除編輯性修改外的主要技術變化如下：
——原標準GB/T 33561—2017和GB/T 30279—2013中的范圍對應本標準的范圍，內容進行合并修改。
——原標準GB/T 33561—2017和GB/T 30279—2013中的規(guī)范性引用文件對應本標準的規(guī)范性引用文件，引用文件內容有所補充。
——原標準GB/T 33561—2017和GB/T 30279—2013中的術語和定義對應本標準的術語和定義，內容進行合并修改。
——刪除了原標準GB/T 33561—2017中的縮略語。
——原標準GB/T 33561—2017中的“按成因分類”對應本標準的“網絡安全漏洞分類”，將原標準采用的線性分類框架調整為樹形
——刪除原標準GB/T 33561—2017中的“按空間分類”。
——刪除原標準GB/T 33561—2017中的“按時間分類”。
——原標準GB/T 30279—2013的“等級劃分要素”對應本標準的“網絡安全漏洞評級指標”，豐富了漏洞分級指標。
——原標準GB/T 30279—2013的“等級劃分”對應本標準的“網絡安全漏洞分級方法”，將原標準中的分級方法修訂為技術分級和綜合分級。
本標準由全國信息安全標準化技術委員會（TC260）提出并歸口。
本標準起草單位：
中國信息安全測評中心、北京中測安華科技有限公司、中國電子技術標準化研究院、國家計算機網絡應急技術處理協(xié)調中心、國家信息技術安全研究中心、國家計算機網絡入侵防范中心、北京郵電大學、浙江螞蟻小微金融服務集團股份有限公司、北京華順信安科技有限公司、北京中電普華信息技術有限公司、上海三零衛(wèi)士信息安全有限公司、杭州安恒信息技術股份有限公司、騰訊科技（北京）有限公司、北京啟明星辰信息安全技術有限公司、深信服科技股份有限公司、上海犇眾信息技術有限公司、中新網絡信息安全股份有限公司、北京奇安信科技有限公司、北京長亭科技有限公司、恒安嘉新（北京）科技股份公司、四川省信息安全測評中心。
本標準主要起草人：
郝永樂、賈依真、鄭亮、時志偉、張寶峰、李斌、侯元偉、曲瀧玉、孟德虎、張?zhí)m蘭、毛軍捷、饒華一、許源、上官曉麗、任澤君、舒敏、崔牧凡、王文磊、王宏、連櫻、張丹、崔寶江、沈傳寶、趙武、林亮成、李智林、陳晨、張芳蕾、張玉清、劉奇旭、史慧洋、白健、王宇、楊坤、劉志樂、葉潤國、劉桂澤、朱錢杭、韓爭光、朱勁波、陳曉光、崔婷婷、王丹琛。
1 范圍
本標準給出了網絡安全漏洞（簡稱“漏洞”）的分類方式、分級指標及分級方法指南。
本標準適用于網絡產品、服務的提供者、網絡運營者、漏洞收錄組織、漏洞應急組織在漏洞信息管理，網絡產品生產、技術研發(fā)、系統(tǒng)運營等相關活動中進行的漏洞分類、漏洞危害等級評估等工作。
2 規(guī)范性引用文件
下列文件對于本文件的應用是必不可少的。凡是標注日期的引用文件，僅標注日期的版本適用于本文件。凡是不標注日期的引用文件，其最新版本（包括所有的修改）適用于本文件。
GB/T 20984 信息安全技術 信息安全風險評估規(guī)范
GB/T 22186 信息安全技術 具有中央處理器的 IC 卡芯片安全技術要求
GB/T 25069 信息安全技術 術語
GB/T 28458 信息安全技術 安全漏洞標識與描述規(guī)范
GB/T 30276 信息安全技術 安全漏洞管理規(guī)范
3 術語和定義
GB/T 25069、GB/T 20984、GB/T 28458、GB/T 30276中界定的術語和以下定義適用于本文件。
受影響組件 impacted component
在網絡產品或系統(tǒng)中，漏洞觸發(fā)受影響的組件。
4 縮略語
下列縮略語適用于本文件。
SQL 結構化查詢語言(Structured Query Language)
5 網絡安全漏洞分類
5.1 概述
網絡安全漏洞分類是基于漏洞產生或觸發(fā)的技術原因對漏洞進行的劃分，分類導圖如圖1所示。本標準采用樹形導圖對漏洞進行分類，首先從根節(jié)點開始，根據(jù)漏洞成因將漏洞歸入某個具體的類別，如果該類型節(jié)點有子類型節(jié)點，且漏洞成因可以歸入該子類型，則將漏洞劃分為該子類型，如此遞歸，直到漏洞歸入的類型無子類型節(jié)點或漏洞不能歸入子類型為止。
圖1 網絡安全漏洞分類導圖
5.2 代碼問題
5.2.1 概述
此類漏洞指網絡產品或系統(tǒng)的代碼開發(fā)過程中因設計或實現(xiàn)不當而導致的漏洞。
5.2.2 資源管理錯誤
此類漏洞指因對系統(tǒng)資源（如內存、磁盤空間、文件、CPU使用率等）的錯誤管理導致的漏洞。
5.2.3 輸入驗證錯誤
5.2.3.1 概述
此類漏洞指因對輸入的數(shù)據(jù)缺少正確的驗證而產生的漏洞。
5.2.3.2 緩沖區(qū)錯誤
此類漏洞指在內存上執(zhí)行操作時，因缺少正確的邊界數(shù)據(jù)驗證，導致在其向關聯(lián)的其他內存位置上執(zhí)行了錯誤的讀寫操作，如緩沖區(qū)溢出、堆溢出等。
5.2.3.3 注入
| 5.2.3.3.1 | 概述 | 此類漏洞指在通過用戶輸入構造命令、數(shù)據(jù)結構或記錄的操作過程中，由于缺乏對用戶輸入數(shù)據(jù)的正確驗證，導致未過濾或未正確過濾掉其中的特殊元素，引發(fā)的解析或解釋方式錯誤問題。 |
| 5.2.3.3.2 | 格式化字符串錯誤 | 此類漏洞指接收外部格式化字符串作為參數(shù)時，因參數(shù)類型、數(shù)量等過濾不嚴格，導致的漏洞。 |
| 5.2.3.3.3 | 跨站腳本 | 此類漏洞是指在WEB應用中，因缺少對客戶端數(shù)據(jù)的正確驗證，導致向其他客戶端提供錯誤執(zhí)行代碼的漏洞。 |
| 5.2.3.3.4 | 命令注入 | a)概述此類漏洞指在構造可執(zhí)行命令過程中，因未正確過濾其中的特殊元素，導致生成了錯誤的可執(zhí)行命令。 b)操作系統(tǒng)命令注入此類漏洞指在構造操作系統(tǒng)可執(zhí)行命令過程中，因未正確過濾其中的特殊字符、命令等，導致生成了錯誤的操作系統(tǒng)執(zhí)行命令。 c)參數(shù)注入此類漏洞指在構造命令參數(shù)過程中，因未正確過濾參數(shù)中的特殊字符，導致生成了錯誤的執(zhí)行命令。 |
| 5.2.3.3.5 | 代碼注入 | 此類漏洞指在通過外部輸入數(shù)據(jù)構造代碼段的過程中，因未正確過濾其中的特殊元素，導致生成了錯誤的代碼段，修改了網絡系統(tǒng)或組件的預期的執(zhí)行控制流。 |
| 5.2.3.3.6 | SQL注入 | 此類漏洞指在基于數(shù)據(jù)庫的應用中，因缺少對構成SQL語句的外部輸入數(shù)據(jù)的驗證，導致生成并執(zhí)行了錯誤的SQL語句。 |
5.2.3.4 路徑遍歷
此類漏洞指因未能正確地過濾資源或文件路徑中的特殊元素，導致訪問受限目錄之外的位置。
5.2.3.5 后置鏈接
此類漏洞指在使用文件名訪問文件時，因未正確過濾表示非預期資源的鏈接或者快捷方式的文件名，導致訪問了錯誤的文件路徑。
5.2.3.6 跨站請求偽造
此類漏洞指在WEB應用中，因未充分驗證請求是否來自可信用戶，導致受欺騙的客戶端向服務器發(fā)送非預期的請求。
5.2.4 數(shù)字錯誤
此類漏洞指因未正確計算或轉換所產生數(shù)字，導致的整數(shù)溢出、符號錯誤等漏洞。
5.2.5 競爭條件問題
此類漏洞指因在并發(fā)運行環(huán)境中，一段并發(fā)代碼需要互斥地訪問共享資源時，因另一段代碼在同一個時間窗口可以并發(fā)修改共享資源而導致的安全問題。
5.2.6 處理邏輯錯誤
此類漏洞是在設計實現(xiàn)過程中，因處理邏輯實現(xiàn)問題或分支覆蓋不全面等原因造成。
5.2.7 加密問題
此類漏洞指未正確使用相關密碼算法，導致的內容未正確加密、弱加密、明文存儲敏感信息等問題。
5.2.8 授權問題
此類漏洞指因缺少身份驗證措施或身份驗證強度不足而導致的安全問題。
| 5.2.8.1 | 信任管理問題 | 此類漏洞是因缺乏有效的信任管理機制，導致受影響組件存在可被攻擊者利用的默認密碼或者硬編碼密碼、硬編碼證書等問題 |
| 5.2.8.2 | 權限許可和訪問控制問題 | 此類漏洞指因缺乏有效的權限許可和訪問控制措施而導致的安全問題。 |
5.2.9 數(shù)據(jù)轉換問題
此類漏洞是指程序處理上下文因對數(shù)據(jù)類型、編碼、格式、含義等理解不一致導致的安全問題。
5.2.10 未聲明功能
此類漏洞指通過測試接口、調試接口等可執(zhí)行非授權功能導致的安全問題。
例如，若測試命令或調試命令在使用階段仍可用，則可被攻擊者用于顯示存儲器內容或執(zhí)行其它功能。
5.3 配置錯誤
| 5.3.1 | 概述 | 此類漏洞指網絡系統(tǒng)、網絡產品或組件在使用過程中因配置文件、配置參數(shù)等不合理導致的漏洞。 |
| 5.3.2 | 默認配置錯誤 | 此類漏洞指因默認不安全的配置狀態(tài)而產生的漏洞。 |
5.4 環(huán)境問題
5.4.1 概述
此類漏洞指因受影響組件部署運行環(huán)境的原因導致的安全問題。
5.4.2 信息泄露
| 5.4.2.1 | 概述 | 此類漏洞是指在運行過程中，因配置等錯誤導致的受影響組件信息被非授權獲取的漏洞。 |
| 5.4.2.2 | 日志信息泄露 | 此類漏洞指因日志文件非正常輸出導致的信息泄露。 |
| 5.4.2.3 | 調試信息泄露 | 此類漏洞指在運行過程中因調試信息輸出導致的信息泄露。 |
| 5.4.2.4 | 側信道信息泄露 | 此類漏洞是指功耗、電磁輻射、I/O 特性、運算頻率、時耗等側信道信息的變化導致的信息泄漏。 |
5.4.3 故障注入
此類漏洞是指通過改變運行環(huán)境（如溫度、電壓、頻率等，或通過注入強光等方式）觸發(fā)，可能導致代碼、系統(tǒng)數(shù)據(jù)或執(zhí)行過程發(fā)生錯誤的安全問題。
5.5 其他
暫時無法將漏洞歸入上述任何類別，或者沒有足夠充分的信息對其進行分類，漏洞細節(jié)未指明。
6 網絡安全漏洞分級
6.1 概述
網絡安全漏洞分級根據(jù)漏洞分級的場景不同，分為技術分級和綜合分級兩種分級方式，每種分級方式均包括超危、高危、中危和低危四個等級。其中，技術分級反映特定產品或系統(tǒng)的漏洞危害程度，用于從技術角度對漏洞危害等級進行劃分，主要針對漏洞分析人員、產品開發(fā)人員等特定產品或系統(tǒng)漏洞的評估工作。綜合分級反映在特定時期特定環(huán)境下漏洞危害程度，用于在特定場景下對漏洞危害等級進行劃分，主要針對用戶對產品或系統(tǒng)在特定網絡環(huán)境中的漏洞評估工作。漏洞技術分級和綜合分級均可對單一漏洞進行分級，也可對多個漏洞構成的組合漏洞進行分級。
網絡安全漏洞分級包括分級指標和分級方法兩方面內容。分級指標主要闡述反映漏洞特征的屬性和賦值，包括被利用性指標類、影響程度指標類和環(huán)境因素指標類等三類指標。分級方法主要闡述漏洞技術分級和綜合分級的具體步驟和方法，包括漏洞指標類評級方法、漏洞技術分級方法和漏洞綜合分級方法，其中，漏洞指標類評級方法是對上述三類指標進行評級的方法，是漏洞技術分級和綜合分級必要步驟。
6.2 網絡安全漏洞分級指標
6.2.1 被利用性
6.2.1.1 訪問路徑
“訪問路徑”指觸發(fā)漏洞的路徑前提，反映漏洞觸發(fā)時，需要與受影響組件的最低接觸程度。
訪問路徑的賦值包括：網絡、鄰接、本地和物理。通?？赏ㄟ^網絡觸發(fā)的漏洞被利用性可能性高于可通過鄰接網絡觸發(fā)的漏洞，可通過本地觸發(fā)的網絡安全漏洞次之，可通過物理接觸觸發(fā)的漏洞被利用可能性最低，見表1。
表1 訪問路徑賦值說明表
| 賦值 | 描述 |
|---|---|
| 網絡 | 網絡安全漏洞可以通過網絡遠程觸發(fā)。 |
| 鄰接 | 網絡安全漏洞需通過共享的物理網絡或邏輯網絡觸發(fā)。 |
| 本地 | 網絡安全漏洞需要在本地環(huán)境中觸發(fā)。 |
| 物理 | 網絡安全漏洞需通過物理接觸/操作才能觸發(fā)。 |
6.2.1.2 觸發(fā)要求
“觸發(fā)要求”是指漏洞成功觸發(fā)對受影響組件所在系統(tǒng)環(huán)境、配置等限制條件的需求程度，指標反映由于受影響組件及其所在系統(tǒng)環(huán)境的版本、配置等原因，漏洞成功觸發(fā)的要求。
觸發(fā)要求的賦值包括：低、高，通常觸發(fā)要求低的漏洞危害程度高，見表2。
表2 觸發(fā)要求賦值說明表
| 賦值 | 描述 |
|---|---|
| 低 | 漏洞觸發(fā)對受影響組件的配置參數(shù)、運行環(huán)境、版本等無特別要求，包括：默認的配置參數(shù)、普遍的運行環(huán)境。 |
| 高 | 漏洞觸發(fā)對受影響組件的配置參數(shù)、運行環(huán)境等有特別要求，包括：不常用的參數(shù)配置、特殊的運行環(huán)境條件。 |
6.2.1.3 權限需求
“權限需求”是指觸發(fā)漏洞所需的權限，反映漏洞成功觸發(fā)需要的最低的權限。
權限需求的賦值包括：無、低和高，通常所需要的權限越少漏洞危害程度越高，見表3。
表3 權限需求賦值說明表
| 賦值 | 描述 |
|---|---|
| 無 | 網絡安全漏洞觸發(fā)無需特殊的權限，只需要公開權限和匿名訪問權限。 |
| 低 | 網絡安全漏洞觸發(fā)需要較低的權限，需要普通用戶權限。 |
| 高 | 網絡安全漏洞觸發(fā)需要較高的權限，需要管理員權限。 |
6.2.1.4 交互條件
“交互條件”是指漏洞觸發(fā)是否需要外部用戶或系統(tǒng)的參與、配合，反映漏洞觸發(fā)時，是否需要除觸發(fā)漏洞的主體之外的其他主體（如：系統(tǒng)用戶、其他系統(tǒng)等）參與。
交互條件的賦值包括：不需要、需要。通常不需要交互條件就能夠觸發(fā)的漏洞危害程度較高，見表4。
表4 交互條件賦值說明表
| 賦值 | 描述 |
|---|---|
| 不需要 | 網絡安全漏洞觸發(fā)無需用戶或系統(tǒng)的參與或配合。 |
| 需要 | 網絡安全漏洞觸發(fā)需要用戶或系統(tǒng)的參與或配合。例如：通常跨站腳本漏洞、跨站請求偽造漏洞等需要用戶的參與。 |
6.2.2 影響程度
- “影響程度”指觸發(fā)漏洞對受影響組件造成的損害程度。影響程度根據(jù)受漏洞影響的各個對象承所載信息的保密性、完整性、可用性等三個指標決定，每個指標的影響賦值為：嚴重、一般和無，見表5、表6、表7。
- “保密性影響”指標反映漏洞對受影響實體（如：系統(tǒng)、模塊、軟硬件等）承載（如：處理、存儲、傳輸?shù)龋┬畔⒌谋Ｃ苄缘挠绊懗潭取?/li>
- “完整性影響”指標反映漏洞對受影響實體（如：系統(tǒng)、模塊、軟硬件等）承載（如：處理、存儲、傳輸?shù)龋┬畔⒌耐暾缘挠绊懗潭取?/li>
- “可用性影響”指標反映漏洞對受影響實體（如：系統(tǒng)、模塊、軟硬件等）承載（如：處理、存儲、傳輸?shù)龋┬畔⒌目捎眯缘挠绊懗潭取?br>
表5 保密性影響賦值說明表
| 賦值 | 描述 |
|---|---|
| 嚴重 | 信息保密性影響嚴重。例如：保密性完全丟失，導致受影響組件的所有信息資源暴露給攻擊者；或者攻擊者只能得到一些受限信息，但被暴露的信息可以直接導致嚴重的信息丟失。 |
| 一般 | 信息保密性影響一般。例如：保密性部分丟失，攻擊者可以獲取一些受限信息，但是攻擊者不能控制獲得信息的數(shù)量和種類。被暴露的信息不會引起受影響組件直接的、嚴重的信息丟失。 |
| 無 | 信息保密性無影響。漏洞對保密性不產生影響。 |
表6 完整性影響賦值說明表
| 賦值 | 描述 |
|---|---|
| 嚴重 | 信息完整性破壞嚴重，例如：完整性完全丟失，攻擊者能夠修改受影響組件中的任何信息；或者，攻擊者只能修改一些信息，但是，能夠對受影響組件帶來嚴重的后果。 |
| 一般 | 信息完整性破壞程度一般，例如：完整性部分丟失，攻擊者可以修改信息，信息修改不會給受影響組件帶來嚴重的影響。 |
| 無 | 信息完整性無影響。漏洞對完整性不產生影響。 |
表7 可用性影響賦值說明表
| 賦值 | 描述 |
|---|---|
| 嚴重 | 信息可用性破壞嚴重?？捎眯酝耆珕适?，攻擊者能夠完全破壞對受影響組件中信息資源的使用訪問；或者，攻擊者可破壞部分信息的可用性，但是能夠給受影響組件帶來直接嚴重的后果。 |
| 一般 | 信息可用性破壞程度一般?？捎眯圆糠謫适В粽吣軌蚪档托畔①Y源的性能或者導致其可用性降低。受影響組件的資源是部分可用的，或在某些情況是完全可用的，但總體上不會給受影響組件帶來直接嚴重的后果。 |
| 無 | 信息可用性無影響。漏洞對可用性不產生影響。 |
6.2.3 環(huán)境因素
6.2.3.1 被利用成本
被利用成本包括：低、中、高。通常成本越低，漏洞的危害越嚴重。如表8所示。
“被利用成本”指標反映，在參考環(huán)境下（例如：當前全球互聯(lián)網環(huán)境；或者某企業(yè)內網環(huán)境等），漏洞觸發(fā)所需的成本。例如：是否有公開的漏洞觸發(fā)工具、漏洞觸發(fā)需要的設備是否容易獲取等。表8 被利用成本賦值說明表
| 賦值 | 描述 |
|---|---|
| 低 | 漏洞觸發(fā)所需資源很容易獲取，成本低，通常付出很少的成本即可成功觸發(fā)漏洞。例如：漏洞觸發(fā)工具已被公開下載、漏洞脆弱性組件暴露在公開網絡環(huán)境下等。 |
| 中 | 漏洞觸發(fā)所需的部分資源比較容易獲取，成本不高，在現(xiàn)有條件基礎上通過一定的技術、資源投入可以觸發(fā)漏洞。例如：漏洞觸發(fā)原理已公開但是無相應工具、漏洞觸發(fā)需要某種硬件設備、漏洞觸發(fā)需要一定的網絡資源等。 |
| 高 | 漏洞觸發(fā)需要的資源多，成本高，難于獲取。例如：漏洞脆弱性組件未暴露在公開網絡、漏洞觸發(fā)工具難以獲取等。 |
6.2.3.2 修復難度
修復難度包括：高、中、低。通常漏洞修復的難度越高，危害越嚴重。如表9所示。
“修復難度”指標反映，在參考環(huán)境下（例如：當前全球互聯(lián)網環(huán)境；或者某企業(yè)內網環(huán)境等），修復漏洞所需的成本。表9 修復難度賦值說明表
| 賦值 | 描述 |
|---|---|
| 高 | 缺少有效、可行的修復方案，或者修復方案難以執(zhí)行。例如：無法獲取相應的漏洞補丁、由于某種原因無法安裝補丁等。 |
| 中 | 雖然有修復方案，但是需要付出一定的成本，或者修復方案可能影響系統(tǒng)的使用，或者修復方案非常復雜，適用性差。例如：雖然有臨時漏洞修復措施但是需要關閉某些網絡服務等。 |
| 低 | 已有完善的修復方案。例如：已有相應漏洞的補丁等。 |
6.2.3.3 影響范圍
影響范圍包括：高、中、低、無。通常漏洞對環(huán)境的影響越高，危害越嚴重。如表10所示。
影響范圍指標描述反映漏洞觸發(fā)對環(huán)境的影響，漏洞受影響組件在環(huán)境中的重要性。表10 影響范圍賦值說明表
| 賦值 | 描述 |
|---|---|
| 高 | 觸發(fā)漏洞會對系統(tǒng)、資產等造成嚴重影響。例如：對環(huán)境中大部分資產造成影響，通常高于50%；或者受影響實體處于參考環(huán)境的重要位置，或者具有重要作用。 |
| 中 | 觸發(fā)漏洞會對系統(tǒng)、資產等造成中等程度的影響。例如：對環(huán)境中相當部分資產造成影響；通常介于10%-50%；或者受影響實體處于參考環(huán)境的比較重要位置，或者具有比較重要的作用。 |
| 低 | 觸發(fā)漏洞只會對系統(tǒng)、資產等造成輕微的影響。例如：只對環(huán)境中小部分資產造成影響；通常低于10%；或者受影響實體處于參考環(huán)境的不重要位置，或者具有不重要作用。 |
| 無 | 觸發(fā)漏洞不會對系統(tǒng)、資產等造成任何資產損失。 |
6.3 網絡安全漏洞分級方法
6.3.1 概述
網絡安全漏洞分級是指采用分級的方式對網絡安全漏洞潛在危害的程度進行描述，包括技術分級和綜合分級兩種分級方式，每種方式均分為超危、高危、中危和低危四個等級，具體內容如下：
超危 |
漏洞可以非常容易地對目標對象造成特別嚴重后果。 |
高危 |
漏洞可以容易地對目標對象造成嚴重后果。 |
中危 |
漏洞可以對目標對象造成一般后果，或者比較困難地對目標造成嚴重后果。 |
低危 |
漏洞可以對目標對象造成輕微后果，或者比較困難地對目標對象造成一般嚴重后果，或者非常困難地對目標對象造成嚴重后果。 |
漏洞分級過程主要包括最初的指標賦值、中間的指標評級和最后的分級計算三個步驟，其中，指標賦值是對根據(jù)具體漏洞對每個漏洞分級指標進行人工賦值；指標評級是根據(jù)指標賦值結果分別對被利用性、影響程度和環(huán)境因素等三個指標類進行評級；分級計算是根據(jù)指標評級計算產生技術分級或綜合分級的結果，技術分級結果由被利用性和影響程度兩個指標類計算產生，綜合分級由被利用性、影響程度和環(huán)境因素三個指標類計算產生。
圖2 漏洞分級流程圖
6.3.2 網絡安全漏洞指標評級
6.3.2.1 被利用性評級
被利用性評級反映網絡安全漏洞觸發(fā)的技術可能性。被利用性指標組中各指標的不同取值的組合對應不同的被利用性級別。被利用性級別分為9級，用1-9的數(shù)字表示，數(shù)值越大被利用的可能性越高，詳見附錄A。
6.3.2.2 影響程度評級
影響程度評級反映網絡安全漏洞觸發(fā)造成的危害程度。影響程度指標組中各指標的不同取值的組合對應不同的影響程度級別。不同的影響程度級分為9級，用1-9的數(shù)字表示，數(shù)值越大導致的危害程度越高，詳見附錄B。
6.3.2.3 環(huán)境因素評級
環(huán)境因素是對漏洞進行評級是需要考慮的漏洞所處的網絡環(huán)境、當前漏洞被利用的技術程度等外部環(huán)境。環(huán)境因素評級反映在參考環(huán)境下，漏洞的危害程度。環(huán)境因素指標組中各指標的不同取值的組合對應不同的環(huán)境因素級別。不同的環(huán)境因素級別分為9級，用1-9的數(shù)字表示，數(shù)值環(huán)境因素導致的漏洞危害程度越高，詳見附錄C。
6.3.3 網絡安全漏洞技術分級
網絡安全漏洞技術分級分為：超危、高危、中危、低危四個級別。網絡安全漏洞技術分級由被利用性和影響程度兩個指標類決定，漏洞被利用可能性越高（被利用性評級越高）、影響程度越嚴重（影響程度評級越高），漏洞技術分級的級別越高（漏洞危害程度越大）。漏洞技術分級方法如下：
- 首先，對被利用性指標進行賦值，根據(jù)賦值結果，參照附錄A計算得到漏洞被利用性評級。
- 然后，對影響程度指標進行賦值，根據(jù)賦值結果，參照附錄B計算得到影響程度評級。
- 最后，根據(jù)被利用性和影響程度評級的結果，參照附錄D，計算得到網絡安全漏洞技術分級。
6.3.4 網絡安全漏洞綜合分級
網絡安全漏洞綜合分級分為：超危、高危、中危、低危四個級別。網絡安全漏洞綜合分級由被利用性、影響程度和環(huán)境因素三個指標類決定，漏洞被利用可能性越高（被利用性評級越高）、影響程度越嚴重（影響程度評級越高），環(huán)境對漏洞影響越敏感（環(huán)境因素評級越高），漏洞綜合分級的級別越高（漏洞危害程度越大）。漏洞綜合分級方法如下：
- 首先，對漏洞進行技術分級，根據(jù)前述漏洞技術分級步驟，對被利用性指標進行賦值，根據(jù)賦值結果，參照附錄A計算得到漏洞被利用性評級；對影響程度指標進行賦值，根據(jù)賦值結果，參照附錄B計算得到影響程度評級；根據(jù)被利用性和影響程度評級的結果，參照附錄D，計算得到網絡安全漏洞技術分級。
- 然后，對環(huán)境因素指標進行賦值，根據(jù)賦值結果，參照附錄C計算得到漏洞環(huán)境因素評級。
- 最后，根據(jù)技術評級和環(huán)境因素評級的結果，參照附錄E，計算得到網絡安全漏洞綜合分級。
附 錄 A（規(guī)范性附錄）被利用性評級表
表A.1 被利用性評級表
| 序號 | 訪問路徑 | 觸發(fā)要求 | 權限需求 | 交互條件 | 被利用性評級 |
|---|---|---|---|---|---|
| 1 | 網絡 | 低 | 無 | 不需要 | 9 |
| 2 | 網絡 | 低 | 低 | 不需要 | 8 |
| 3 | 網絡 | 低 | 無 | 需要 | |
| 4 | 鄰接 | 低 | 無 | 不需要 | |
| 5 | 本地 | 低 | 無 | 不需要 | |
| 6 | 網絡 | 高 | 無 | 不需要 | |
| 7 | 網絡 | 低 | 低 | 需要 | 7 |
| 8 | 鄰接 | 低 | 低 | 不需要 | |
| 9 | 網絡 | 低 | 高 | 不需要 | |
| 10 | 鄰接 | 低 | 無 | 需要 | 6 |
| 11 | 本地 | 低 | 無 | 需要 | |
| 12 | 本地 | 低 | 低 | 不需要 | |
| 13 | 網絡 | 高 | 低 | 不需要 | 5 |
| 14 | 網絡 | 高 | 無 | 需要 | |
| 15 | 鄰接 | 高 | 無 | 不需要 | |
| 16 | 鄰接 | 低 | 低 | 需要 | |
| 17 | 鄰接 | 高 | 無 | 需要 | 4 |
| 18 | 鄰接 | 高 | 低 | 不需要 | |
| 19 | 本地 | 高 | 無 | 不需要 | |
| 20 | 本地 | 低 | 低 | 需要 | |
| 21 | 網絡 | 高 | 低 | 需要 | |
| 22 | 本地 | 高 | 低 | 不需要 | 3 |
| 23 | 網絡 | 高 | 高 | 不需要 | |
| 24 | 網絡 | 低 | 高 | 需要 | |
| 25 | 鄰接 | 低 | 高 | 需要 | |
| 26 | 鄰接 | 低 | 高 | 不需要 | |
| 27 | 本地 | 低 | 高 | 不需要 | 2 |
表A.1 （續(xù)）
| 序號 | 訪問路徑 | 觸發(fā)要求 | 權限需求 | 交互條件 | 被利用性評級 |
|---|---|---|---|---|---|
| 28 | 本地 | 高 | 無 | 需要 | |
| 29 | 物理 | 低 | 無 | 不需要 | |
| 30 | 網絡 | 高 | 高 | 需要 | |
| 31 | 鄰接 | 高 | 高 | 不需要 | |
| 32 | 鄰接 | 高 | 低 | 需要 | |
| 33 | 本地 | 低 | 高 | 需要 | |
| 34 | 物理 | 低 | 無 | 需要 | |
| 35 | 物理 | 低 | 低 | 不需要 | |
| 36 | 本地 | 高 | 高 | 不需要 | |
| 37 | 本地 | 高 | 低 | 需要 1 | |
| 38 | 鄰接 | 高 | 高 | 需要 | |
| 39 | 物理 | 高 | 無 | 不需要 | |
| 40 | 物理 | 低 | 高 | 不需要 | |
| 41 | 物理 | 低 | 低 | 需要 | |
| 42 | 物理 | 高 | 低 | 不需要 | |
| 43 | 本地 | 高 | 高 | 需要 | |
| 44 | 物理 | 高 | 無 | 需要 | |
| 45 | 物理 | 高 | 高 | 需要 | |
| 46 | 物理 | 高 | 高 | 不需要 | |
| 47 | 物理 | 高 | 低 | 需要 | |
| 48 | 物理 | 低 | 高 | 需要 |
備注 按照“訪問路徑”、“觸發(fā)要求”、“權限需求”、“交互程度”的不同，可分為48種組合情況，按照每種組合的被利用程度的差異，從高到低可分為9個級別。
附 錄 B（規(guī)范性附錄）影響程度評級表
表B.1 影響程度評級表
附 錄 C（規(guī)范性附錄）環(huán)境因素評級表
表C.1 環(huán)境因素評級表
附 錄 D（規(guī)范性附錄）漏洞技術評級表
表D.1 漏洞技術評級表
附 錄 E（規(guī)范性附錄）漏洞綜合評級表
表E.1 漏洞綜合評級表
附 錄 F（規(guī)范性附錄）漏洞評級示例
示例一 OpenSSL 緩沖區(qū)溢出（CVE-2014-0160）漏洞分級示例
1、漏洞名稱
OpenSSL 緩沖區(qū)溢出（CVE-2014-0160）
2、漏洞簡介
OpenSSL的TLS和DTLS實現(xiàn)過程中的d1_both.c和t1_lib.c文件中存在安全漏洞，該漏洞源于當處理Heartbeat Extension數(shù)據(jù)包時，缺少邊界檢查。遠程攻擊者可借助特制的數(shù)據(jù)包利用該漏洞讀取服務器內存中的敏感信息(如用戶名、密碼、Cookie、私鑰等)。
3、漏洞評級：
表F.1 CVE-2014-0160漏洞評級表
4、漏洞分級
通過上述表格，CVE-2014-0160漏洞的被利用性為9級、影響程度為4級，因此技術評級為高危；同時，該漏洞的環(huán)境因素為7級，結合技術評級為高危，可知該漏洞的綜合評級為高危。
示例二 開源軟件 Plait plaiter 文件覆蓋（CVE-2008-4085）漏洞分級示例
1、漏洞名稱
開源軟件 Plait plaiter 文件覆蓋（CVE-2008-4085）
2、漏洞簡介
Plait是一款命令行方式的音樂播放軟件。
Plait 1.6之前版本的plaiter存在文件覆蓋漏洞。本地用戶可通過在cut.
,
h
e
a
d
.
, head.
,head., awk.
,
p
s
.
, ps.
,ps. 的臨時文件中使用symlink，覆蓋任意文件。
3、漏洞評級：
表F.2 CVE-2008-4085漏洞評級表
4、漏洞分級
通過上述表格，CVE-2008-4085漏洞的被利用性為6級、影響程度為3級，因此技術評級為中危；同時，該漏洞的環(huán)境因素為3級，結合技術評級為中危，可知該漏洞的綜合評級為低危。文章來源：http://www.zghlxwxcb.cn/news/detail-636160.html
參?考?文?獻
[1]Common Vulnerability Scoring System v3.1: Specification Document
[2]Common Weakness Enumeration List Version 3.1文章來源地址http://www.zghlxwxcb.cn/news/detail-636160.html
到了這里，關于信息安全技術 網絡安全漏洞分類分級指南（GB/T 30279-2020 ）的文章就介紹完了。如果您還想了解更多內容，請在右上角搜索TOY模板網以前的文章或繼續(xù)瀏覽下面的相關文章，希望大家以后多多支持TOY模板網！
