顶会论文：深度学习检测网络安全漏洞报告的不一致性，你常用的CVE、NVD漏洞库信息可能不可靠

Usenix Security是信息安全领域“四大”顶级学术会议（此外还包括S&P，CCS，NDSS）之一，始于上世纪90年代初，每年涵盖的安全领域包含：二进制安全、固件安全、取证分析、Web安全、隐私保护、恶意分析、硬件保护、智能合约等。Usenix Security 被中国计算机学会(CCF)列为“网络与信息安全”A类会议。

 

网络安全行业已经通过建立强大的社区来发现和修补漏洞。CVE（Common Vulnerabilities and Exposures，常见漏洞和泄露）和NVD（National Vulnerability Database，国家漏洞数据库）是全球最具影响力的漏洞库，在指导漏洞缓解方面都发挥着重要作用。

其中，CVE是一个全球网络安全漏洞数据库，利用“群众的力量”对公开的漏洞进行索引。安全供应商、开发人员和研究人员等任何人都可以利用互联网共享他们在CVE上发现的漏洞。

NVD是由美国政府机构NIST主导建立的更加标准化的数据库，NVD从CVE网站接收数据提要，经过分析后分配一个CVSS分值（Common Vulnerability Severity Score, 常见漏洞严重性评分），以及其他相关元数据信息。

数据格式上，CVE使用非结构化的数据格式，NVD使用标准化的数据格式，算法可以直接处理NVD数据。

到目前为止，超过100,000个漏洞被编入索引，并且CVE和NVD漏洞库的数据流已经与全世界数百个安全供应商进行了集成。

 

01 研究背景

计算机和网络系统中的安全漏洞正对用户、组织和国家造成严重威胁，不一致的漏洞报告成为导致现实攻击的重要原因。例如，WannaCry勒索软件导致诸多医院和学校等数十万台机器宕机，Equifax数据泄露事件影响了美国人口的一半。

为了解决不一致的漏洞报告问题，防止被攻击者利用，网络安全行业建立了强大的社区，来发现和修补漏洞。

然而，在漏洞数据库积累大量数据的同时，信息质量也受到越来越多的关注。CVE和NVD上列出的信息有可能