8、工业物联网系统中的漏洞管理：原理与实践

工业物联网系统中的漏洞管理：原理与实践

1. 漏洞分析

在使用网络扫描器、渗透测试等手段识别网络中的漏洞后，漏洞管理（VM）的下一步是对这些漏洞进行评估。对漏洞进行系统和战略性的评估，能够明确其实际严重程度和影响，从而制定高效的资源分配策略。

国家漏洞数据库（NVD）采用通用漏洞评分系统（CVSS）来分析漏洞，并为其分配 0 到 10 之间的严重程度分数。漏洞分析基于基本特征（如攻击复杂度、攻击向量、所需权限）、时间特征（如利用代码成熟度、修复级别、报告可信度）和环境特征。加权影响漏洞评分系统（WIVSS）被提出，以提高严重程度分数的多样性和准确性。WIVSS 使用与 CVSS 相似的因素，但对影响指标（机密性影响、完整性影响和可用性影响）采用了不同的权重。

此外，还有一些基于图论和特定假设的漏洞分析方法：
- Phillips 等人提出了基于图的漏洞分析系统，节点代表攻击阶段，边代表攻击阶段之间的转换，用于考虑内外攻击者的网络漏洞分析。该系统需要一个通用的攻击数据库，并结合网络配置和拓扑配置进行分析。不过，该方法的主要局限在于需要攻击的原子步骤，且作者仅提出了简要思路，未进行实现和可扩展性分析。
- Ammann 等人提出了可扩展的漏洞分析方法，基于单调性假设，即无论攻击者是否利用了其他漏洞，利用的前提条件保持不变。通过将攻击者的访问权限、网络连接性和漏洞结合在一个共同属性中，降低了攻击图的复杂性。

分析方法	特点	局限性
CVSS