13.1 概述

1）概念

网络安全漏洞又称为脆弱性，简称漏洞。

漏洞一般是致使网络信息系统安全策略相冲突的缺陷，这种缺陷通常称为安全隐患。

安全漏洞的影响主要有机密性受损、完整性破坏、可用性降低、抗抵赖性缺失、可控制性下降、真实性不保等。

根据漏洞的补丁状况，可将漏洞分为普通漏洞和零日漏洞 (zero-day vulnerability)

零日漏洞（Zero-Day Vulnerability），又称零时差攻击，是指软件或系统中未被公开、未被厂商知晓的安全漏洞。这些漏洞在被发现后，往往立即被黑客利用进行攻击，而受害者由于无法及时获得补丁或修复方案，因此难以防范。零日漏洞的存在时间极短，从发现到被利用往往只有很短的时间窗口，这也是其得名的原因。

2）威胁

攻击者基于漏洞对网络系统安全构成的安全威胁主要有：感信息泄露、非授权访问身份假冒、拒绝服务。

3）现状

国际上已经出现安全漏洞地下交易市场，将重要的零日漏洞以高价出售。

针对安全漏洞问题的研究已成为网络安全的研究热点，主要研究工作包括漏洞信息搜集分析和网络安全威胁情报服务、漏洞度量、基于漏洞的攻击图自动化生成、漏洞利用自动化、漏洞发现等。

13.2 分类与管理

1）来源

网络信息系统的漏洞主要来自两个方面：

• 一方面是非技术性安全漏洞,涉及管理组织结构管理制度、管理流程、人员管理等

  • 网络安全责任主体不明确
  • 网络安全策略不完备
  • 网络安全操作技能不足
  • 网络安全监督缺失
  • 网络安全特权控制不完备

• 另一方面是技术性安全漏洞，主要涉及网络结构、通信协议、设备、软件产品、系统配置、应用系统等。

  • 设计出错
  • 输入验证错误
  • 缓冲区溢出
  • 意外情况处置错误
  • 访问验证错误
  • 配置错误
  • 竞争条件
  • 环境错误

2）分类

• CVE 漏洞分类
  • CVE ID：年份数字+其他数字，比如 CVE-2019-1543 为一个 Open SSL 安全漏洞编号
• CVSS（通用漏洞计分系统）：由基本度量计分、时序度量计分、环境度量计分组成。
  • 基本度量计分：由攻击向量、攻击复杂性、特权要求用户交互、完整性影响、保密性影响、可用性影响、影响范围等参数决定。
  • 时序度量计分：由漏洞利用代码成熟度、修补级别、漏洞报告可信度等参数决定。
  • 环境度量计分：由完整性要求、保密性要求、可用性要求、修订基本得分等决定。
    
• 我国漏洞分类
  • 国家信息安全漏洞库（CNNVD）：配置错误、代码问题、资源管理错误、数字错误、信息泄露、竞争条件、输入验证、缓冲区错误、格式化字符串、跨站脚本、路径遍历、后置链接、SOL注入、代码注入、命令注入、操作系统命令注入、安全特征问题、授权问题、信任管理加密问题、未充分验证数据可靠性、跨站请求伪造、权限许可和访问控制、访问控制错误和资料不足
  • 国家信息安全漏洞共享平台（CNVD）
    • CNVD 根据漏洞产生原因，将漏洞分为11种类型：输入验证错误、访问验证错误、意外情况处理错误数目、边界条件错误数目、配置错误、竞争条件、环境错误、设计错误、缓冲区错误、其他错误、未知错误。此外，CNVD 依据行业划分安全漏洞，主要分为行业漏洞和应用漏洞。行业漏洞包括：电信、移动互联网、工控系统；应用洞包括Web 应用、安全产品、应用程序、操作系统、数据库、网络设备等。在漏洞分级方面，将网络安全洞划分为高、中、低三种危害级别。
• OWASP TOP 10 漏洞分类
  • 主要的漏洞类型有注入、未验证的重定向和转发、失效的身份认证、XML 外部实体(XXE)、敏感信息泄露、失效的访问控制、安全配置错误、跨站脚本(XSS)、不安全的反序列化、使用含有已知漏洞的组件、不足的日志记录和监控、非安全加密存储。

3）发布

发布内容一般包括：漏洞编号、发布日期、安全危害级别、漏洞名称、漏洞影响平台、漏洞解决建议等。

4）获取

漏洞来源：

• 网络安全应急响应机构
• 网络安全厂商
• IT 产品或系统供应商
• 网络安全组织

CERT、Security Focus Vulnerability Database、CNNVD、CNVD

5）管理过程

网络信息系统资产确认

信息采集

漏洞评估

漏洞消除和控制

漏洞变化跟踪

13.3 技术与应用

1）网络安全漏洞扫描

2）网络安全漏洞扫描应用

13.4 网络安全漏洞处置技术与应用

1）发现技术

漏洞发现技术主要有文本搜索、词法分析、范围检查、状态机检査、错误注入、模糊测试、动态污点分析、形式化验证等。

2）修补技术

补丁管理是一个系统的、周而复始的工作，主要由六个环节组成，分别是现状分析、补丁跟踪、补丁验证、补丁安装、应急处理和补丁检查。

3）防范技术

地址空间随机化技术

数据执行阻止（data execution prevention，DEP）

SEHOP（structured exception handler overwrite protection）:即结构化异常处理程序覆盖保护，是Windows操作系统中的一种安全机制，旨在防御针对覆盖Windows结构化异常处理程序的漏洞利用技术。

堆栈保护

虚拟补丁：通过入侵阻断、Web防火墙等相关技术来实现给目标系统程序“打补丁”

13.5 产品与技术指标

1）扫描器

常见技术指标：

• 漏洞扫描主机数量
• 并发数
• 速度
• 检测能力
• 检查功能
• web应用漏洞检查功能
• 口令检查功能
• 标准兼容性
• 部署环境难易程度

2）服务平台

3）防护网关

IPS（intrusion prevention system）

web 防火墙（WAF）

统一威胁管理（UTM）

常见技术指标：

• 阻断安全漏洞攻击的种类和数量
• 阻断安全漏洞攻击的准确率
• 阻断安全漏洞攻击的性能
• 支持网络带宽的能力