搜索

[4467] 2017-10-25_中国网络安全漏洞披露效率远超美国

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2017-10-25_中国网络安全漏洞披露效率远超美国 中 国 网 络 安 全 漏 洞 披 露 效 率 远 超 美 国 原 创   E 小 编   E 安 全   2 0 1 7 - 1 0 - 2 5 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 0 月 2 5 日 讯   网 络 安 全 公 司 R e c o r d e d   F u t u r e 发 布 的 研 究 报 告 显 示 ， 中 国 国 家 信 息 安 全 漏 洞 库 （ C N N V D ） 的 平 均 效 率 比 美 国 计 算 机 应 急 响 应 小 组 （ U . S . - C E R T ） 高 出 近 两 倍 。 软 件 漏 洞 公 开 披 露 后 ， 美 国 C E R T 平 均 花 费 3 3 天 时 间 完 成 编 目 程 序 ， 并 在 美 国 国 家 漏 洞 库 （ N V D ） 创 建 条 目 ， 而 中 国 C N N V D 完 成 这 些 流 程 的 平 均 时 间 仅 为 1 3 天 。 美 国 美 国 N V D 和 和 C N N V D 漏 洞 披 露 速 度 差 距 多 大 ？ 漏 洞 披 露 速 度 差 距 多 大 ？ R e c o r d e d   F u t u r e 分 析 了 N V D 和 C N N V D 两 年 的 漏 洞 报 告 数 据 。 研 究 人 员 写 到 ， 7 5 % 初 次 披 露 的 漏 洞 6 天 内 被 C N N V D 收 录 ， 而 美 国 N V D 得 花 2 0 天 时 间 。 9 0 % 的 漏 洞 在 初 次 披 露 后 的 1 8 天 内 被 C N N V D 收 录 ， 而 N V D 则 要 用 9 2 天 。
协 调 披 露 的 情 况 下 （ 只 有 向 N V D 报 告 后 才 公 开 发 布 ） ， C N N V D 也 只 稍 微 比 美 国 滞 后 。 当 厂 商 未 与 N V D 密 切 协 调 时 ， N V D 要 花 3 8 天 时 间 报 告 7 5 % 的 公 开 漏 洞 ， 1 2 5 天 收 录 9 0 % 的 漏 洞 ， 而 C N N V D 分 别 花 费 的 时 间 为 7 天 和 2 3 天 。 研 究 人 员 列 举 了 两 大 案 例 ， 例 如 提 权 漏 洞 “ 脏 牛 ” （ C V E - 2 0 1 6 - 5 1 9 5 ） 。 研 究 人 员 发 现 该 漏 洞 后 于 2 0 1 6 年 1 0 月 1 9 日 披 露 ， 2 天 内 ， 多 个 信 息 安 全 来 源 也 立 即 披 露 漏 洞 ， 最 初 的 报 告 被 翻 译 为 俄 语 发 布 在 俄 罗 斯 犯 罪 论 坛 上 。 6 天 之 后 ， P o C 代 码 出 现 在 P a s t e b i n 上 。 1 1 月 1 0 日 ， N V D 初 步 公 开 此 漏 洞 ， 而 在 这 两 周 之 前 就 已 出 现 可 能 的 漏 洞 利 用 代 码 。 C N N V D 在 初 次 披 露 后 两 天 便 披 露 了 该 漏 洞 ， 比 N V D 超 前 2 0 天 。 哪 怕 几 天 时 间 高 危 漏 洞 都 可 能 带 来 重 大 影 响 。 黑 客 在 E q u i f a x 数 据 泄 露 中 利 用 的 漏 洞 C V E - 2 0 1 7 - 5 6 3 8 ， 其 最 初 公 开 （ A p a c h e S o f t w a r e   F o u n d a t i o n ） 时 间 为 2 0 1 7 年 3 月 7 日 ， 多 个 来 源 很 快 披 露 了 此 漏 洞 。   N V D 于 3 月 1 0 日 收 录 了 该 漏 洞 ， 而 3 月 7 日 至 3 月 1 0 日 这 三 天 ， 就 已 在 各 处 披 露 了 数 百 次 。 C N N D V 披 露 此 漏 洞 的 时 间 为 3 月 7 日 。
C N N V D 主 动 搜 索 漏 洞 信 息 主 动 搜 索 漏 洞 信 息 R e c o r d e d   F u t u r e 通 过 分 析 后 总 结 称 ， 之 所 有 出 现 如 此 大 的 差 距 是 因 为 C N N V D 主 动 搜 索 网 络 和 其 它 信 息 来 源 ， 查 找 漏 洞 信 息 ， 而 N V D 则 会 等 待 厂 商 的 报 告 通 过 通 用 漏 洞 披 露 （ C V E ， 由 M I T R E 公 司 管 理 ） 数 据 库 进 行 处 理 。 N V D 网 站 写 到 ， N V D 会 分 析 已 在 C V E 字 典 中 发 布 的 C V E 。 研 究 人 员 发 现 ， 中 国 通 过 网 络 上 广 泛 的 漏 洞 信 息 来 源 及 时 优 先 披 露 ， 并 不 依 赖 行 业 自 愿 报 告 。 相 较 而 言 ， 美 国 系 统 太 过 死 板 。 研 究 总 结 称 ， N V D 之 所 以 延 迟 数 周 、 数 月 ， 其 原 因 在 于 N I S T 和 M I T R E 等 待 厂 商 自 愿 提 交 漏 洞 相 关 信 息 。 M I T R E 负 责 管 理 进 程 ， 但 不 会 强 制 及 时 提 交 到 C V E 字 典 。 N V D 将 C V E 字 典 作 为 唯 一 来 源 ， 其 最 终 结 果 是 美 国 政 府 根 本 不 具 备 全 面 的 网 络 安 全 漏 洞 数 据 库 。 报 告 全 文 ： h t t p s : / / w w w . r e c o r d e d f u t u r e . c o m / c h i n e s e - v u l n e r a b i l i t y - r e p o r t i n g / 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 2 6 1 7 9 8 9 5 3 . s h t m l 推 荐 阅 读 ： 全 球 工 控 系 统 遭 攻 击 比 例 排 名 ， 中 国 第 五 亚 太 市 场 网 络 安 全 调 查 报 告 ： 中 国 安 全 预 算 投 入 排 第 二 如 何 利 用 U 盘 传 送 恶 意 软 件 实 施 无 文 件 攻 击 全 球 网 络 安 全 合 作 计 划 （ E p i c ） 正 式 启 动 “ 无 文 件 攻 击 ” ： 企 业 需 要 知 道 的 五 大 知 识 点 解 密 黑 客 组 织 F I N 7 ： 加 速 创 新 ， 不 断 变 换 技 术 如 何 利 用 U 盘 传 送 恶 意 软 件 实 施 无 文 件 攻 击
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理