《工业互联网安全脆弱性分析与检测规范》.pdfVIP

DB 32/T XXXX—XXXX 目 次 前言III 1 范围1 2 规范性引用文件1 3 术语、定义和缩略语1 3.1 术语和定义1 3.2 缩略语2 4 总则3 5 分析与检测流程3 6 分析4 6.1 威胁分类与样本库的构建4 6.2 攻击样本库构建5 6.3 分析步骤与要求7 7 检测13 7.1 弱点脆弱性检测总体要求13 7.2 环境与封装13 7.3 API调用14 7.4 指针安全15 7.5 初始化与清理环节16 7.6 错误处理17 7.7 时间和状态17 7.8 通用安全特性19 7.9 数据处理21 7.10 代码质量26 7.11 弱点脆弱性检测列表28 7.12 安全脆弱性检测流程与方法28 8 服务29 8.1 服务机构基本能力要求29 8.2 服务流程30 附录A （资料性） 模型的建立31 I DB 32/T XXXX—XXXX 附录B （资料性） 工业互联网系统脆弱性检测记录表33 附录C （资料性） 工业互联网系统脆弱性漏洞访谈信息记录表34 附录D （资料性） 工业互联网系统脆弱性 （漏洞）检测指标及参考权重35 附录E （规范性） 工业互联网系统脆弱性检测专家打分指标值分类说明36 附录F （资料性） 判断矩阵表38 附录G （规范性） 弱点脆弱性检测列表40 附录H （资料性） 工业互联网系统漏洞严重性等级评定表43 附录I （资料性） 工业互联网系统脆弱性计算示例44 II DB 32/T XXXX—XXXX 前 言 本文件按照GB/T 1.1—2020 《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由江苏省信息安全标准化技术委员会提出并归口。 本文件起草单位：南京理工大学、南京工业职业技术大学、五邑大学、东南大学、南京航空航天大 学、江苏省工业与信息化厅、江苏省产品质量监督检验研究院、江苏大象信息技术服务有限公司、江苏 省中天互联科技有限公司、江苏三台山数据应用研究院有限公司、江苏远恒教育科技有限公司、江苏省 信息网络安全协会。 本文件主要起草人：李千目、侯君、金雷、戴晟、武斌、张建航、龙华秋、曹玖新、时宗胜、蒋剑、 练智超、韩皓、李冬成、牛博威、孟庆杰、蔡文杰、袁键、邓高见、陈彦文。 III DB 32/T XXXX—XXXX 工业互联网安全脆弱性分析与检测规范 1 范围 本文件规定了工业互联网系统威胁分类与攻击样本库构建的步骤和一般要求，以及安全脆弱性检测 流程与方法、分析与检测服务机构基本能力要求与服务流程要求。 本文件适用于工业互联网系统安全脆弱性分析与检测，脆弱性严重性综合指数计算与等级划分检测。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本 （包括所有的修改单）适用于本 文件。 GB/T 25069 信息安全技术 术语 GB/T