28、统一漏洞信息以构建攻击图

统一漏洞信息以构建攻击图

在当今数字化时代，网络安全至关重要。为了更好地构建攻击图，需要对不同来源的漏洞信息进行统一处理。本文将介绍相关的漏洞信息来源、处理方法以及如何自动提取漏洞信息等内容。

1. 漏洞信息来源

不同的漏洞数据库提供了丰富的漏洞信息，但各有特点。

1.1 国家漏洞数据库（NVD）

NVD 提供了大部分所需的漏洞信息，具有以下优势：
- 以明确的 XML 格式提供数据，便于实现解析器。
- 明确包含广泛的通用漏洞评分系统（CVSS）信息，无需额外解析获取该数据。
- 引用开放漏洞评估语言（OVAL）描述，详细刻画了易受攻击的软件配置。

然而，其他漏洞数据库也不能被忽视，它们可用于对检索到的信息进行交叉验证。

1.2 通用漏洞评分系统（CVSS）

CVSS 解决了漏洞评估不兼容的问题。每个漏洞根据不同的指标进行评估和评分，包括基本指标、时间指标和环境指标：
| 指标类型 | 描述 |
| ---- | ---- |
| 基本指标 | 包括访问向量、访问复杂性、机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）（CIA）违规程度以及所需的认证步骤数量。 |
| 时间指标 | 例如，记录漏洞是否已被验证。 |
| 环境指标 | 特定于某个公司或组织。 |

不同的漏洞数据库供应商可能会为同一漏洞提供不同的 CVSS 分数。与其他漏洞数据库提供的信息相比，CVSS 有相似之处，如访问向量类似于范围属性，CIA 影响是其他数据库文本影响