国内外漏洞概念网络安全漏洞又称为脆弱性简称漏洞(图)

网络安全漏洞概念

网络安全漏洞又称为脆弱性，简称漏洞。

漏洞一般是致使网络信息系统安全策略相冲突的缺陷安全工程师论坛，这种缺陷通常称为安全隐患。

#

安全漏洞的影响:有机密性受损、完整性破坏、可用性降低、抗抵性缺失、可控制性下降、真实性不保

#

根据漏洞的补丁状况，可将漏洞分为普通漏洞和零日漏洞（zero-）。 #

网络安全漏洞威胁 #

网络信息系统漏洞的存在是网络攻击成功的必要条件之一，攻击者成功的关键在于早发现和利用目标的安全漏洞

根据 CC 标准，威胁主体利用漏洞（脆弱性）实现攻击的示意图如图所示。

#

攻击者基于漏洞对网络系统安全构成的安全威胁主要有： #

解决漏洞问题的技术方法:

网络安全漏洞问题现状

#

网络信息系统的产品漏洞已是普遍性的安全问题。国内外漏洞数据库综计显示，商业操作系统、商业数据库以及开源软件都不同程度地存在安全漏洞。由于软件及网络信息系统的复杂性，网络信息产品的安全漏洞问题还远未能解决。人工智能(AI)、区块链、5G 等新领域的漏洞问题将成为研究重点和热点。网络安全漏洞分析与管理技术正向智能化方向发展。国内外网络安全专家正在开展基于机器学习和大数据来分析网络信息系统安全漏洞的研究。

安全漏洞分析及漏洞管理是网络安全的基础性工作

美国的 MITRE 公司开发通用漏洞披露( and ， CVE) 来统一规范漏洞命名。 #

MITRE 还建立了一个通用缺陷列表( ，CWE)安全工程师论坛， 用于规范化地描述软件架构、设计以及编码存在的安全漏洞。

针对安全漏洞的危害性评估，事件响应与安全组织论坛(FIRST)制定和发布了通用漏洞评分系统( Vuner Sc orig ，CVSS) 。CVSS 采用十分制的方式对安全漏洞的严重性进行计分评估，分数越高则表明漏洞的危害性越大。CVSS 的最新版本是 v3.0。

我国相关部门针对安全漏洞管理问题，建立起国家信息安全漏洞库 CNN VD、国家信息安全漏洞共享平台 CNVD，制定和颁发了一系列漏洞标准规范，主要有《信息安全技术安全漏洞分类(GB/--2022)》《信息安全技术安全漏洞等级划分指南(GB/--2013)》《信息安全技术安全漏洞标识与描述规范(GB/--2012)》《信息安全技术信息安全漏洞管理规范(GB/ 一 2013)》。 #

针对安全漏洞问题的研究工作： #

软考-信息安全工程师学习笔记43——网络安全审计系统组成与类型 #

原创2022-03-24 03:23·包家三少 #

网络安全审计系统组成

网络安全审计系统组成 #

针对对不同的审计对象,安全审计系统的组成部分各不相同,审计细粒度也有所区分,例如操作系统的安全审计可以做到对进程活动、文件操作的审计；网络通信安全审计既可以对 IP包的源地址、目的地址进行审计,又可以对 IP 包的内容进行深度分析,实现网络内容审计。

网络安全审计系统类型

审计对象类型分类

#

操作系统审计一般是对操作系统用户和系统服务进行记录,主要包括用户登录和注销、系统服务启动和关闭、安全事件等 #

数据库审计通常是监控并记录用户对数据库服务器的读、写、查询、添加、修改以及删除等操作,并可以对数据库操作命令进行回放。 、 MySQL、 MS SQL、DB2、达梦、人大金仓等数据库都具备自审计功能。管理人员对数据库的审计功能进行配置,可实现对数据库的审计, 默认对特权操作进行审计,例如 ALTER ANY 、 ANY 、 DROP ANY TABLE,详细情况参考 手册。

#

网络通信安全审计一般采用专用的审计系统,通过专用设备获取网络流量,然后再进行存储和分析。网络通信安全审计的常见内容为 IP 源地址、IP 目的地址、源端口号、目的端口号、协议类型、传输内容等。

#

按照审计范围安全审计可分为 #

单个审计系统主要针对独立的审计对象,审计数据来源单一,缺少多源审计对象的关联分析,常见的是 IT 系统或产品自带的审计功能。 #

学习参考资料： #

信息安全工程师教程（第二版）

#

建群网培信息安全工程师系列视频教程 #

信息安全工程师5天修炼 #