脆弱性严重性动态综合量化评估方法

高妮, 贺毅岳, 常言说, 王孟阳

(1.西安财经学院 信息学院，陕西 西安 710100；2.西北大学 经济管理学院, 陕西 西安 710127；3.中国人民银行西安分行, 陕西 西安 710075 )

脆弱性严重性动态综合量化评估方法

高妮1, 贺毅岳2, 常言说1, 王孟阳3

(1.西安财经学院 信息学院，陕西 西安 710100；2.西北大学 经济管理学院, 陕西 西安 710127；3.中国人民银行西安分行, 陕西 西安 710075 )

针对CVSS(common vulnerability scoring system)方法很少考虑随时间改变的动态指标对脆弱性严重性评估的动态影响，提出一种脆弱性严重性动态综合量化评估方法(dynamic vulnerability severity assessment，DVSA).在CVSS评分的基础上，引入脆弱性代码可利用性和补丁修复等级2个动态指标.安全影响、静态脆弱性可利用性和动态脆弱性可利用性3个脆弱性指标被选取，并进行脆弱性指标量化.该方法可获得每个脆弱性从0到10的严重性量化值，并将脆弱性严重性等级评定为高危、中危和低危3个严重等级.实验结果表明DVSA方法可提高脆弱性严重性评估结果的多样性和准确性.

脆弱性；脆弱性严重性评估；脆弱性代码可利用性

计算机网络系统面临的网络安全问题形式日益严峻，然而脆弱性是网络系统面临安全问题的一个非常重要的影响指标.2009—2016年的脆弱性统计数据表明，中国国家信息安全漏洞库(CNNVD)[1]每年新增5 000个左右的脆弱性数量，脆弱性成为首要的安全威胁指标.当前脆弱性出现更为智能化的利用工具、被利用危害网络范围越来越大等新特性，那么将会出现影响更为恶劣的网络攻击事件[2].随着脆弱性数量的……