CWE 4.7中的新视图：工业控制系统的安全漏洞类别

已于 2024-01-20 14:16:46 修改
阅读量260 收藏
点赞数
文章标签： ios ui iphone python pygame
于 2023-01-10 12:00:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Innocence_0/article/details/128623069
版权

《CWE 4.7中的新视图 – 工业控制系统的安全漏洞类别》

1. CWE 4.7的变化

CWE今年的第一个版本在5/1前发布了，做为软件安全的重要分类标准，我们来看下这个版本有那些变化。

变化类型Version 4.6Version 4.7
弱点924926
分类326351
视图4647
废弃6162
汇总13571386

从汇总图可以看出，新增了3个弱点，废弃了一个弱点；新增1个视图，25分类。从这些数字的变化，我们不难看到，又有新视图了，到底这个新视图是关于什么的方面的缺陷呢？

下面我们来的看下具体弱点的变动。

1.1. 新增的CWE弱点

1.1.1. CWE-1357: 依赖不受控制的组件

  • 弱点类型：类(Class)这个弱点的类型是类(Class)。具体的弱点的类型介绍可参见《话说CWE 4.2的新视图》中关于弱点类型的介绍部分。* 弱点的描述许多硬件和软件产品是通过多个较小的组件组合成一个较大的实体来构建的。这些组件可能由外部供货商提供或无法修改，即这里指出的的“不受控制”。例如，硬件组件可能由单独的制造商构建，或者产品可能使用由与产品供应商没有正式合同的人开发的开源库。或者，组件的供应商由于不再营业，导致无法提供组件的更新或更改。这种对“不受控制”组件的依赖，意味着如果在不受控制的组件中发现安全风险，产品供应商不一定能够修复它们。* 弱点间的关系在研究者视图(CWE-1000)中，此弱点被放在编程规范违背(CWE-710)下，并包含已有的两个CWE:使用未维护的第三方组件( CWE-1104)和依赖不可更新的组件(CWE-1329)进行了归类。* 缺陷举例* CVE-2020-9054IoT设备在发生命令注入问题后，因为产品已经终止服务而不能及时完成补丁的修复。* 消减措施通过维护软件物料清单(SBOM), 掌握软件组件和依赖项清单、以及有关这些组件的信息以及它们的层次关系。持续监控每个产品组件的变化，特别是当出现新的漏洞、服务终止 (EOL) 时，及早采取措施。### 1.1.2. CWE-1384: 极端物理环境条件处理不当
  • 弱点的描述 在极端物理环境下，产品无法正确检测和处理，例如温度、辐射、湿度、功率或其他物理现象。
  • 注 属于硬件导致的问题，不做过多的分析。

1.1.3. CWE-1385: WebSockets 中缺少来源验证

  • 弱点的描述WebSockets在客户端和服务器之间提供双向低延迟通信（接近实时）。WebSockets 与 HTTP 的不同之处在于连接是长期存在的，因为通道将保持打开状态，直到客户端或服务器准备好发送消息，而在 HTTP 中，一旦发生响应（通常立即发生），事务完成。WebSocket可以在端口80和443上利用现有的HTTP协议（不限于 HTTP）。WebSockets可以发出不受基于浏览器的保护机制限制的跨域请求，例如同源策略(SOP)或跨域资源共享(CORS)。如果没有明确的来源验证，这会使 CSRF攻击的危害更大。

  • 弱点间的关系在研究者视图(CWE-1000)中，此弱点被放在访问控制不恰当(CWE-284)，以及保护机制失效(CWE-693)下的对数据真实性的验证不充分(CWE-345) 下的源验证错误(CWE-346)下面。* 缺陷举例* CVE-2020-25095LogRhythm 的管理平台(PM) 7.4.9的Web 界面如果登录PM的用户在同一浏览器会话中访问恶意站点，则该站点可以执行 CSRF 攻击以创建从受害者客户端到易受攻击的PM服务器的WebSocket。一旦创建了套接字，恶意站点就可以在登录用户的上下文中与易受攻击的Web 服务器进行交互。这可以包括导致命令执行的 WebSocket，从而造成跨站点 WebSocket劫持(CSWH)。* 消减措施* 通过在 WebSocket 握手期间验证“Origin”标头来保护类似跨域资源共享(CORS)的访问限制；* 在建立 WebSocket 连接之前对用户身份验证。例如使用WS库中的“verifyClient”函数。1.2. 删除的CWE弱点

1.2.1. CWE-365: 废弃: Switch中的条件竞争

  • 删除原因此条目可能最初是基于对原始源材料的误解而创建的。最初的来源旨在解释在使用线程时，switch控制表达式使用的数据或变量可能会在不同线程的执行之间发生变化，那么切换是如何不可预测的。 另外CWE-367 已经涵盖了这个弱点。注：CWE 一样会出现理解歧义，随着认识的统一会形成新的统一，所以不纠结，这是人类认知的进化过程。

2. CWE的新视图

2.1. CWE-1358视图: 安全能源基础设施执行工作组（SEI EFT）给出的工业控制系统（ICS）中存在的安全缺陷分类

该视图中的CWE条目是参照美国安全能源基础设施执行工作组(Securing Energy Infrastructure Executive Task Force (SEI ETF))在2022年3月发布的《工业控制系统(ICS)中存在安全缺陷类别(Categories of Security Vulnerabilities in ICS)》。 可见该视图聚焦在工业控制系统(ICS)中存在弱点问题上。但由于CWE以前一直强调的是企业IT软件的弱点，并未涵盖工业控制中的弱点问题，所以该视图中的弱点是基于“相近的IT弱点”的方式建立的，在未来的CWE版本中，这些关系可能会发生变化。

该视图包含5个大类，20个小类。

2.2. 背景介绍

制造商一直在寻找提高生产效率、降低成本、提升监控质量以确保符合标准的方法。因此，全球的制造工厂采用和部署了越来越多的资产和设备连接到网络的技术，用于收集生产过程的数据，并通过分析这些数据来发现生产流程趋势或者对设备故障能够进行预测。

2.2.1. 工业控制系统(IndustrialControl Systems(ICS))

工业控制系统通常用于描述硬件和软件与网络连接的集成，以支持关键基础设施。ICS技术包括但不限于监控和数据采集（SCADA）和分布式控制系统（DCS）、工业自动化和控制系统（IACS）、可编程逻辑控制器（PLC）、可编程自动化控制器（PAC）、远程终端单元（RTU）、控制服务器、智能电子设备（IED）和传感器。通常出现在工业部门和关键基础设施中。

ICS主要用于电力，水利，石油，天然气和数据等行业。基于从远程站点获取的数据，自动化或者操作者驱动的监控命令可以推送到远程站点的控制设备，这种设备通常被称为现场设备。现场设备控制诸如开闭阀和断路器的本地操作，从传感器系统收集数据，并监测本地环境的报警条件。

2.2.2. 运营技术(Operational Technology(OT))

运营技术可定义为：对企业的各类终端、流程和事件进行监控或控制的软硬件技术，含数据采集和自动控制技术。OT 既包括硬件设施（如机器人、电机、阀门、数控机床等），也包括对这些设施进行控制的各种软件技术。运营技术实质为电子、信息、软件与控制技术的综合运用。

OT 应用于各种行业，包括制造业、石油和天然气、发电和配电、航空、海事、铁路和公共事业。

2.2.3 运营技术安全

OT安全主要是由Gartner提出，Gartner将OT安全定义为, 借助实践和技术来：

  • (a) 保护人员、资产和信息;
  • (b) 监视和/或控制物理设备、流程和事件;
  • © 发起企业 OT 系统状态更改。 使用软硬件来监视和控制物理流程、物理设备和基础设施。运营技术系统存在于许多资产密集型产业中，可以执行从监视关键基础设施 (CI) 到控制生产车间机器人等各种任务。

2.2.4. ICS/OT和IT安全的差别

  • IT和ICS/OT网络差别
  • IT和OT造成的影响差别
IT 事件潜在影响ICS/OT 事件潜在影响
业务应用程序不可用（商业/组织）关键基础设施不可用（可能造成区域中断）
数字数据损坏物理操作过程失去控制
数字数据丢失人员安全，生命损失

2.2.5 信息技术(IT)、运营技术(OT)的融合趋势

在工业 3.0 时代，运营技术(OT)和信息技术(IT) 具有相互独立的界面，二者没有融合的倾向。进入工业 4.0 时代，运营技术(OT)和信息技术(IT)的融合趋势正成为工业数字化转型和制造业高质量发展的关键，特别是计算技术的融合成为了工业数字化转型与升级的重要方向。运营技术(OT)和信息技术(IT)以及通信技术（CT）正在深度融合，使得工业互联网初步实现了数据和实体的全面联接，推动服务与数据创新，促进数据价值实现，也使实时决策成为可能。目前，工业物联网（IIoT）、工业互联网、基于云的部署等方面是 OT 和 IT 融合的研究重点。

  • IT、OT的融合趋势

2.3. 对ICS/OT的攻击

互联网带动着各行各业的快速发展。万物互联乃至智能化的发展对工业领域也带来了极大的便捷，与之伴随的则是互联网的传统弊病，网络安全问题。工业领域由闭塞的环境走向互联，因为攻击面的增加，更容易发生网络安全问题。

2.3.1. 震网事件

2006-2010年美、以情报和军情领域的软件和网络专家，工业控制和核武器的专家编制震网病毒，经历了5年的持续开发和改进，对伊朗纳坦兹铀离心设施的可编程逻辑控制器（PLC）控制系统进行攻击，修改了离心机压力参数、离心机转子转速参数，导致大量离心机瘫痪，铀无法满足武器要求，几乎永久性迟滞了伊朗核武器计划。 震网被认为是第一个以现实世界中的关键工业基础设施为目标的恶意代码，并达到了预设的攻击目标，这是第一个“网络空间”意义上的重大攻击事件，而非传统的网络攻击事件。

2.3.2. 乌克兰电力部门遭受到恶意代码攻击

2015年12月23日，乌克兰电力部门遭受到恶意代码攻击，乌克兰新闻媒体TSN在24日报道称：至少有三个电力区域被攻击，并于当地时间15时左右导致了数小时的停电事故； 攻击者入侵了监控管理系统，超过一半的地区和部分伊万诺-弗兰科夫斯克地区断电几个小时。因遭到入侵，导致7个110KV的变电站和23个35KV的变电站出现故障，导致80000用户断电。

2.3.3. 奥尔德斯马水处理设施安全事故

2021年2月5日，有黑客未经授权远程访问了位于佛罗里达州奥尔德斯马的Bruce T. Haddock水处理厂的操作员工作站，该工厂位于佛罗里达州坦帕市西北约15英里处。根据皮涅拉斯县警长办公室描述，身份不明的网络攻击者当天在两个不同的场合访问了操作员工作站，时间相隔大约五小时。

  • 在当天上午大约 8 点的第一次非法入侵期间，工厂操作员观察到鼠标光标在操作员站的屏幕上移动，并认为可能是管理员正在监视系统（因为过去发生过这种情况）。
  • 当天下午 1 点半左右，操作员观察到有人再次访问了系统，这次操作员终于可以确定异常。攻击者操控了鼠标，将指针挪到了控制水处理的软件上，并展开了持续 3~5 分钟的操作。网络攻击者将氢氧化钠（碱液）的设定值从100 ppm更改成11,100 ppm，然后退出系统。操作员看到了变化，立即将氢氧化钠的设定值改回了100 ppm。

2.3.4. Claroty的《ICS风险及漏洞报告 2H:2021》

Claroty被著名的研究机构和咨询公司FORRESTER评为2021年第四季度工业控制系统安全解决方案（Industrial Control Systems (ICS) Security Solutions）的领导者。Claroty研究部门最近发布的2021下半年《ICS风险及漏洞报告》，报告全面分析了2021年下半年公开披露的工业控制系统漏洞，包括供应商、安全研究人员、以及其他组织的专家发现的漏洞。

  • 2021年共计披露了1439个ICS漏洞，比2020年的942个增加了53%。
  • 2021年漏洞影响147家ICS供应商，比2020年的102家增加了44%。

2.4. NIST SP800-82 OT网络安全指南

美国国家标准与技术研究院 (NIST)4月26日发布了NIST SP 800-82和3版的一份初步公开草案，该草案指导如何提高运营技术(OT) 系统的安全性，同时满足其性能、可靠性和安全要求。更新后的NIST SP 800-82文档提供了OT和典型系统拓扑的概述，识别了OT支持的组织使命和业务功能的典型威胁，描述了OT中的典型漏洞，并提供了推荐的安全保护措施和应对措施来管理相关风险。

  • 草案中OT典型的漏洞包括：* 表 15：体系结构和设计漏洞* 表 16：配置和维护漏洞* 表 17：物理漏洞* 表 18：软件开发漏洞* 表 19：通信和网络配置漏洞* 表 20：传感器、最终元件和资产管理漏洞
  • 其中软件开发造成的漏洞，如下：
缺陷描述
不正确的输入校验OT 软件可能无法正确验证用户输入或接收的数据确保有效性。无效数据可能导致许多漏洞，包括缓冲区溢出、命令注入、跨站点脚本和路径遍历
默认情况下未启用已安装的安全功能随产品一起安装的安全功能如果它们未启用或被标识为已禁用
软件中的身份验证、特权和访问控制不足未经授权访问配置和编程软件可能会提供损坏设备的能力
  • 注：这些漏洞，也是目前软件安全危害最大的漏洞类型。

3. 结论

  • 随着供应链攻击的加剧，人们已经提高了对供应链问题的防范, CWE以加入了相关的缺陷分类；
  • 随着IT和OT的融合，企业在数字化转型中，需要对工业控制中可能造成的网络攻击引起足够的重视和防范；
  • OT的安全会对基础设施造成影响更为广泛的灾害，特别是供电、供水、运输等基础设施的破坏；
  • 美国通过SP800-82 OT网络安全指南来提升运营技术(OT) 系统的性能、可靠性和安全要求；
  • CWE 4.7版本的工业控制系统（ICS）中存在的安全缺陷分类，为我们提供了发现OT领域的安全问题和防范提供了系统的视角。

4. 参考

程序员负总裁
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
CWE：通病总结
mzhan017的博客
12-16 4896
文章目录网站398686 网站 https://cwe.mitre.org/data/definitions/686.html 398 风格问题，如果一个局部变量，可以放在一个更小的区域，而且满足使用，最好是将作用域缩小。但是需要注意不要搞错。检查工具有点时候，检查有问题。 [STYLE] (cwe=398, variableScope): The scope of the variable ‘left’ can be reduced., The scope of the variable ‘left’ c
CWE（Common Weakness Enumeration，通用缺陷枚举
m0_61369523的博客
04-07 536
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！
「 网络安全常用术语解读 」通用缺陷枚举CWE详解
所有成功的背后，都是痛苦的坚持，所有的痛苦，都是傻瓜般的不放弃!
02-26 6943
Common Weakness Enumeration，简称CWE，它是由MITRE公司维护的一个开放的、可扩展的通用语言，用于描述软件及硬件缺陷。CWE可以让安全研究人员、开发人员和安全管理人员能够更好地理解和解决安全问题。CWE本质就是一个软件和硬件缺陷类型列表，当前最新版本为4.10。本文中所提到的缺陷指软件、固件、硬件或服务组件中的一种状态，在某些情况下，可能导致漏洞的引入。
安全测试基础：了解 OWASP 和 CWE
禅与计算机程序设计艺术
12-27 475
1.背景介绍 安全测试是一种针对软件系统的测试方法，旨在评估系统的安全性。在现代软件开发中，安全性是一个至关重要的方面，因为软件系统通常包含敏感信息和处理高度关键的任务。因此，了解如何进行安全测试以及相关概念和技术是至关重要的。 在本文中，我们将讨论两个与安全测试相关的关键概念：OWASP(Open Web Application Security Project)和CWE(Common We...
认识CWE和CVE
热门推荐
manok的专栏
05-18 1万+
在源代码安全领域工作的朋友都知道CWE和CVE，但是还是有一些朋友不太了解这两个词语。这里我根据网络资料和经验整理一下，供刚进入该领域人员的参考。 CWE（Common Weakness Enumeration，通用缺陷枚举）。是由美国国土安全部国家计算机安全部门资助的软件安全战略性项目。 CVE （Common Vulnerabilities & Exposures，常用漏洞和风险）...
工业控制系统安全标准
securitypaper的博客
10-27 3650
标准概述在国内，自 2010 年前后已陆续开展工业控制系统信息安全相关标准的研究制定工作。截至目前， 全国已有多个相关标委会开展了该领域标准执行工作。全国工业过程测量和控制标准化技术委员会 从自 动化领域入手，借鉴 IEC62443 等系列标准，研究制定了《工业通信网络 -网络和系统安全 -第 2-1 部分： 建立工业自动化和控制系统信息安全程序》、《工业控制系统信息安全 第 1 部分：评估规范》、《工 业控制系统信息安全第 2 部分：验收规范》等工业控制系统的安全标准。全国信息安全标准化技术委员会（TC2
信息安全_数据安全_cwe_checker：Hunting Binary Code .pdf
08-21
信息安全_数据安全_cwe_checker：Hunting Binary Code 安全可信 安全设计 数字取证 云安全 安全风险
处理Java程序中的内存漏洞
02-04
最近碰到一个棘手的问题，在已经展开的稳定性测试中。频繁出现Was宕机等问题，于是在征询了研发组意见后。决定对Was发生宕机前后，进行内存快照。最初的方案是在，Was启动后和发生死机时，使用HeapDump来分析具体...
cwe_checker：cwe_checker在二进制可执行文件中找到易受攻击的模式
02-06
cwe_checker 注意：最近，我们将默认分析后端从BAP更改为较新的Ghidra后端。 该开关会在命令行界面和docker映像界面中引起一些更改。 请确保相应地更新脚本！ 或者，稳定版本仍使用旧界面。什么是cwe_checker？ cwe_...
cwe-tool:基于常见弱点枚举的OWASP CAPSEC数据库的命令行CWE发现工具
05-23
安装可通过Node.js工具执行如果您具有Node.js环境，则可以使用cwe-tool调用cwe-tool tool，如下所示： npx cwe-tool [...command-line options...]码头工人从Docker Hub提取图像docker pull lirantal/cwe-tooldocker...
工业控制系统安全指南_NIST SP800-82.pdf
04-25
工业安全 工业控制协议
《工业控制系统安全指南》（NIST-SP800-82)
01-05
美国国家标准与技术研究院（NIST）以特别出版物形式发布的关于工业控制系统信息安全的一个指南。目的是为工业控制系统（ICS）的安全保障提供指导，包括监控和数据采集（SCADA）系统、分布式控制系统（DCS）及其他执行控制功能的系统。范围包括通常在电、水和污水处理、石油和天然气、化工、制药、纸浆和造纸、食品和饮料以及离散制造（汽车、航空航天和耐用品）等行业应用的工业控制系统。
NIST SP800-82-中文版
07-03
《工业控制系统安全指南》 此文件提供建立安全的工业控制系统（ ICS ）的指导。这些 ICS 包括监控和 包括监控和 数据采集（ 数据采集（ SCADA ）系统，分布式控制（ ）系统，分布式控制（ ）系统，分布式控制（ ）系统，分布式控制（ ）系统，分布式控制（ DCS ），和其他控制系统 ），和其他控制系统 ），和其他控制系统 ），和其他控制系统 ，如在工业 部门和关键基础设施中经常可以看到的撬装式 部门和关键基础设施中经常可以看到的撬装式 部门和关键基础设施中经常可以看到的撬装式 部门和关键基础设施中经常可以看到的撬装式 部门和关键基础设施中经常可以看到的撬装式 部门和关键基础设施中经常可以看到的撬装式 的可编程逻辑控制器（ 的可编程逻辑控制器（ 的可编程逻辑控制器（ PLC ）。 ICS 通常用于诸如电力、水和污处理石油天然气化工交运输制药纸 通常用于诸如电力、水和污处理石油天然气化工交运输制药纸 通常用于诸如电力、水和污处理石油天然气化工交运输制药纸 通常用于诸如电力、水和污处理石油天然气化工交运输制药纸 通常用于诸如电力、水和污处理石油天然气化工交运输制药纸 通常用于诸如电力、水和污处理石油天然气化工交运输制药纸 通常用于诸如电力、水和污处理石油天然气化工交运输制药纸 通常用于诸如电力、水和污处理石油天然气化工交运输制药纸 通常用于诸如电力、水和污处理石油天然气化工交运输制药纸 通常用于诸如电力、水和污处理石油天然气化工交运输制药纸 浆和造纸、食品饮料以及离散制（如汽车航空天耐用）等行业。这 浆和造纸、食品饮料以及离散制（如汽车航空天耐用）等行业。这 浆和造纸、食品饮料以及离散制（如汽车航空天耐用）等行业。这 浆和造纸、食品饮料以及离散制（如汽车航空天耐用）等行业。这 浆和造纸、食品饮料以及离散制（如汽车航空天耐用）等行业。
漏洞扫描工具（weakscan）V1.3
05-27
漏洞集合以CWE为参照，检查了百余条代码中存在的常见且严重的安全漏洞。既能够基于静态分析检查数据无关的漏洞，也能够基于路径遍历检查数据相关的漏洞。既能够对单个文件扫描，也能够扫描整个工程文件夹。
CWE（Common Weakness Enumeration，通用缺陷枚举），2024年最新靠着这份900多页的PDF面试整理
最新发布
2301_78146994的博客
04-15 461
总的来说，CVE是用于标识和命名特定漏洞的标准，而CWE则是用于分类和描述可能导致漏洞的弱点类型的标准。它是一个完整的缺陷数据库，为组织技术堆栈的基于软件和硬件的安全性的弱点识别和修复提供了基线。CVE则是一个由企业界、政府界和学术界综合参与的国际性组织，采取一种非盈利的组织形式，其使命是为了能更加快速而有效地鉴别、发现和修复软件产品的安全漏洞。以上只是一部分常见的 CWE 类型，实际上 CWE 数据库对超过600类和基本级别的弱点进行分类，最严重的类型列在CWE Top 25。【完整版领取方式在文末！
CWE学习（一）
qq_44370676的博客
04-28 4388
CWECWE-20: Improper Input Validation示例代码1示例代码2CWE-22: Improper Limitation of a Pathname to a Restricted Directory示例代码1CWE-78: Improper Neutralization of Special Elements used in an OS Command示例代码1CWE-119: Improper Restriction of Operations within the Bound
工业控制系统的安全研究与实践引言
m0_73803866的博客
10-30 708
不管攻击者的目的 是出于经济的目的（比如南美某国电网被攻击者敲诈勒索[Event2008]）、意识形态的纷争[stuxnet1] （比如：燕子行动[LHP2013-1]）甚至是国家间网络战对抗[News2012]的需要，我们必须深入研究工 业控制系统的安全性及其可能遭受到的各种威胁，并提供切实有效的安全防护措施，以确保 这些时刻关系到国计民生的工业控制系统的安全运营。此外，CVE 漏洞库也对工业控制系统相关的漏洞非常重视，目前公开的工业控制系统漏 洞数以百计，并提供相关漏洞的修补信息。
基于社区发现算法对CWE的划分实践
四维创智
07-22 980
但划分结果，也仅仅只能在研究漏洞攻击收益、攻击效果等领域进行应用，并由于CAPEC标准中定义的攻击收益种类过于单调（过滤重复后，攻击收益仅有34种），且大量CAPEC没有标注攻击收益，从而导致使用该方法划分的CWE簇，若数量保持在10-20个，则导致簇中会出现在图谱中无连通性的节点，大量存在于同一簇中的现象，若数量增加，则又会导致簇与簇之间，重叠度过高。而这其中，同一社区的CWE，在攻击向量的选择上，应保持一定的一致性，对于作用组件类型和攻击载荷发送方式，则会存在差异。基于模块度的社区发现算法。...
CWE-通用弱点枚举简介
plstudio1的博客
03-19 3985
对于软件来说，安全是航空、航天、军工、电力、金融等关键行业极为重视的特性之一。因此，保证软件尽量安全是软件研发人员的重要责任。可以说，软件安全漏洞是软件研发者的一大死敌。古语有云：知彼知己，百战不殆。要想取得战争的胜利，就要尽可能充分认识软件安全漏洞。CWE就是认识它们的一个窗口。从今天开始，我通过把CWE中的内容逐步翻译出来，同大家一起认识和了解软件漏洞，进而找到制服它们的方法。 CWE是社区...
"CVE-CWE概念与理解简介：漏洞披露与安全缺陷评分标准介绍
通过将CVE和CWE结合起来使用，安全专家和开发人员能够更好地了解特定的漏洞实例，并将它们归纳到更广泛的漏洞类型中。这种综合的方法有助于更全面地理解软件安全的挑战，并为它们提供更有效的解决方案。 除了关联...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值