软件安全备考--CVE标准

软件安全备考–CVE标准

通用漏洞及暴露（CVE）

• 为每个漏洞和暴露确定了唯一的名称
• 给每个漏洞和暴露一个标准化的描述 不是一个数据库，而是一个字典
• 任何完全迥异的漏洞库都可以用同一个语言表述
• 由于语言统一，可以使得安全事件报告更好地被理解，实现更好的协同工作
• 可以成为评价相应工具和数据库的基准 非常容易从互联网查询和下载， 通过“CVE编辑部”体现业界的认可

CVE开始是由MITRE Corporation负责日常工作的。
但是随着漏洞数量的增加，MITRE将漏洞编号的赋予工作转移到了其CNA（CVE NumberingAuthorities）成员。
CNA涵盖5类成员。目前共有69家成员单位。
1.MITRE：可为所有漏洞赋予CVE编号；
2.软件或设备厂商：如Apple、Check Point、ZTE为所报告的他们自身的漏洞分配CVE ID。该类成员目前占总数的80%以上。
3.研究机构：如Airbus，可以为第三方产品漏洞分配编号；
4.漏洞奖金项目：如HackerOne，为其覆盖的漏洞赋予CVE编号；
5.国家级或行业级CERT：如ICS-CERT、CERT/CC，与其漏洞协调角色相关的漏洞。

通用漏洞评分系统（CVSS）

漏洞的最终得分最大为10，最小为0。
得分在7~10的漏洞通常被认为比较严重，
得分在4~6.9之间的是中级漏洞，
得分在0~3.9的则是低级漏洞。