通用安全漏洞评级研究

论文摘要

Internet的开放性和商业化在促进网络技术迅速发展的同时也带来了各种网络安全问题,而漏洞是网络安全问题的最大隐患,是网络安全事件的根源。漏洞的大量存在以及它们所带来的不同程度危害,使得漏洞评级变得尤为重要。本文的主要工作有以下几方面:1.研究了安全漏洞的收集与发布系统,主要包括漏洞信息的来源、提取漏洞信息的方法、漏洞的发布方式以及良好的检索功能。2.深入研究了国内外的安全漏洞评级标准,其中重点分析了通用缺陷评估系统(CVSS)。3.总结出了理想的漏洞评级标准应该满足的原则,对照该原则分析了现有评级标准的特点以及它们所存在的问题。4.针对它们所存在的问题,研究并确定了新的度量标准及其属性值、评估过程、严重等级的划分,并通过一些实例说明了该方法的有效性和优越性。5.用C#实现了漏洞评级系统和重大漏洞评选系统。本文在对现有评级标准分析研究的基础上,结合著名生产厂商和权威安全机构评级方法的优点,在CVSS的基础上提出了一种更完善的评级方法,并软件实现了该评级系统和重大漏洞评选系统。

论文目录

• 摘要
• ABSTRACT
• 目录
• 第一章 引言
• 1.1 安全漏洞的概念与危害
• 1.1.1 安全漏洞的概念
• 1.1.2 安全漏洞的危害
• 1.2 安全漏洞收集与发布的必要性
• 1.3 安全漏洞评级的必要性
• 1.4 课题背景
• 1.5 章节安排
• 第二章 安全漏洞的收集与发布
• 2.1 安全漏洞的收集
• 2.1.1 漏洞信息来源
• 2.1.2 提取漏洞信息方法
• 2.2 安全漏洞的发布
• 2.2.1 漏洞发布方式
• 2.2.2 提供良好的检索功能
• 2.3 收集与发布的具体实现
• 2.4 本章小结
• 第三章 漏洞评级的现状
• 3.1 NVD
• 3.1.1 NVD漏洞库简介
• 3.1.2 NVD漏洞评级标准
• 3.2 FRSIRT
• 3.2.1 FrSIRT漏洞库简介
• 3.2.2 FrSIRT漏洞评级标准
• 3.3 US-CERT
• 3.3.1 US-CERT漏洞库
• 3.3.2 US-CERT漏洞评级标准
• 3.4 SANS
• 3.4.1 SANS Institute简介
• 3.4.2 SANS漏洞评级标准
• 3.5 SECUNIA
• 3.5.1 Secunia简介
• 3.5.2 Secunia漏洞评级标准
• 3.6 ISS X-FORCE
• 3.6.1 ISS X-Force简介
• 3.6.2 X-Force漏洞评级标准
• 3.7 CA
• 3.7.1 CA简介
• 3.7.2 CA漏洞评级标准
• 3.8 SYMANTEC
• 3.8.1 Symantec简介
• 3.8.2 Symantec评估要素
• 3.8.3 Symantec漏洞评级标准
• 3.9 RED HAT
• 3.9.1 Red Hat简介
• 3.9.2 Red Hat漏洞评级标准
• 3.9.3 混合威胁（Blended threats）
• 3.10 MICROSOFT
• 3.10.1 Microsoft简介
• 3.10.2 Microsoft评估要素
• 3.10.3 Microsoft漏洞评级标准
• 3.11 通用缺陷评估系统（CVSS）
• 3.11.1 CVSS产生背景
• 3.11.2 CVSS发展状况
• 3.11.3 CVSS度量标准
• 3.11.4 CVSS矢量
• 3.11.5 CVSS评估过程
• 3.11.6 CVSS评估实例
• 3.12 本章小结
• 第四章 一种更完善的漏洞评级方法（CVRS）
• 4.1 漏洞评级原则
• 4.2 漏洞评级存在的问题
• 4.3 CVRS产生背景
• 4.4 CVRS度量标准
• 4.4.1 基本群
• 4.4.2 暂时群
• 4.4.3 环境群
• 4.5 CVRS评估过程
• 4.5.1 基本评价方程式
• 4.5.2 暂时评价方程式
• 4.5.3 环境评价方程式
• 4.6 CVRS等级划分
• 4.7 CVRS评估实例
• 4.7.1 CVE-2002-0392
• 4.7.2 CVE-2007-3613
• 4.7.3 CVE-2007-1497
• 4.7.4 CVE-2007-3509
• 4.7.5 CVE-2007-1754
• 4.7.6 CVE-2007-1748
• 4.7.7 CVE-2007-2242
• 4.7.8 CVE-2007-3338
• 4.8 本章小结
• 第五章 CVRS的软件实现
• 5.1 相关知识
• 5.1.1 MyODBC
• 5.1.2 访问数据库的方法
• 5.2 实现界面
• 5.3 实现功能
• 5.4 本章小结
• 第六章 结束语
• 致谢
• 参考文献
• 研究成果