CNNVD兼容性服务白皮书-国家信息安全漏洞库.PDFVIP

编号：JR-001[2016] 国家信息安全漏洞库 兼容性服务白皮书 目录 第 1 章 引言 1 第2 章 CNNVD 兼容性服务业务介绍 2 2.1 服务定义 2 2.2 服务特点 2 2.3 服务作用 3 第3 章 CNNVD 兼容性服务内容 4 3.1 服务对象 4 3.2 申请流程 4 3.3 服务要求 7 3.4 证书续期 8 3.5 服务费用 8 3.6 数据同步 9 第4 章 兼容性服务监督机制 10 4.1 监督要求 10 4.2 监督流程 10 CNNVD 兼容性服务白皮书v2. 1 第1章 引言 国家信息安全漏洞库（“China National Vulnerability Database of Information Security”，简称“CNNVD” ），是中国信息安全测评中心为切实履行漏洞分析和风 险评估的职能，负责建设运维的国家信息安全漏洞库，为我国信息安全保障提供 基础服务。通过自主挖掘、社会提交、协作共享、网络搜集以及技术检测等方式， 经过多年的收录工作，CNNVD 已收录信息技术产品漏洞信息8 万余条，信息系 统相关漏洞信息6 万余条，漏洞信息覆盖国内外主流的应用软件、操作系统和网 络设备等，涉及国内外各大厂商上千家，涵盖政府、金融、交通、工控、卫生医 疗等多个行业。随着CNNVD 漏洞库漏洞数量不断扩大、影响力逐步提升，目前 成为收录漏洞数目最多、漏洞属性最全、内容质量最高的国家级信息安全漏洞库。 CNNVD 作为国家信息安全漏洞库，通过多年建设经验积累，对国内信息安 全技术国家标准，及国际通用标准进行了分析与研究，并以国家标准为基础，参 考国际通用标准，完成了国内外主流漏洞库的漏洞信息资源规范化的整合，建立 了规范统一漏洞数据标准，包括：《CNNVD 漏洞编码规范》、《CNNVD 漏洞命名 规范》、《CNNVD 漏洞分级规范》、《CNNVD 漏洞内容描述规范》、《CNNVD 漏 洞分类描述规范》、《CNNVD 漏洞影响实体描述规范》。 CNNVD 漏洞库对所收录的漏洞信息给予统一的编码标识 （即：CNNVD-ID 标识），建立了与国内外主流漏洞库的映射关系，同时对漏洞详细属性特征进行 统一的、详细的、标准化的描述（如：漏洞命名、内容描述、分类、分级等）， 基本涵盖了国内外主流软硬件产品和信息系统。 以丰富标准的漏洞数据为依托，规范详实的漏洞描述为基础，国家信息安全 漏洞库（CNNVD ）对国内外信息安全厂商及用户推出兼容性服务，为漏洞挖掘、 应用、验证与规避等技术研究提供基础支持，为开发更安全的信息产品或软件系 统提供理论和技术支撑，进一步满足国家重要信息系统安全保障的需求。 1 CNNVD 兼容性服务白皮书v2. 1 第2章 CNNVD 兼容性服务业务介绍 2.1 服务定义 CNNVD 兼容性是指通过使用CNNVD 标识，在各类安全工具、漏洞数据存 储库及信息安全服务之间，以及与其他漏洞披露平台之间，实现漏洞信息交叉关 联的方式。CNNVD 兼容性服务是CNNVD 面向国内外信息安全从业单位，对其 产品/服务等涉及的漏洞信息进行规范性评估与认证的服务。通过 CNNVD 兼容 性服务的信息安全产品/服务，可实现其漏洞信息拥有统一的规范性命名与标准 化描述，从而提高和加强国内信息安全行业漏洞信息资源的共享与服务能力。 通过 CNNVD 兼容性服务的产品/服务，应满足 CNNVD 兼容性的要求：第 一，检索要求，通过CNNVD 标识可检索到对应的漏洞信息；第二，输出要求， 在输出的漏洞信息中应包含CNNVD 标识；第三，更新要求，存储数据库需定期 更新CNNVD 漏洞数据，并与CNNVD 更新速度保持基本一致；第四，标准文档 要求，产品/服务标准说明文档中需包含CNNVD 兼容性的说明。 2.2 服务特点