电信和互联网行业网络运营者漏洞管理平台技术要求.pdf

电信和互联网行业网络运营者漏洞管理平台技术要求

1范围

本文件规定了电信网和互联网行业网络运营者漏洞管理平台的功能要求、接口要求以及安全管理

要求。

本文件适用于电信网和互联网行业网络运营者漏洞管理平台。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适

用于本文件。

GB/T25069-2022信息安全技术术语

YD/T3803-2020电信网和互联网资产安全管理平台技术要求

3术语和定义

GB/T25069-2022界定的以及下列术语和定义适用于本文件。

3.1

网络运营者networkoperator

网络的所有者、管理者和网络服务提供者，包括基础电信企业集团公司、基础电信企业省分公司、

基础电信企业专业公司、增值电信企业一二级机构（有关行业关键信息基础设施运营者）等。

3.2

网络资产networkasset

构成信息系统的软件、硬件、服务等IT和IoT类资源的集合，是安全机制保护的对象，例如网络

产品、安全产品、物联网设备、办公外设、企业应用、系统软件、支撑系统，详细分类见附录。

A

3.3

产品漏洞commonvulnerability

通用脆弱性描述，包括漏洞信息、受影响资产类型范围、危险等级、修复建议等内容。

3.4

系统漏洞instancevulnerability

具备通用漏洞属性数据，以及关联到资产对象后具体资产实例维度信息的漏洞。

3.5

漏洞接收vulnerabilityreception

接收漏洞信息的过程。

3.6

漏洞验证vulnerabilityverification

对漏洞的存在性、等级、类别、影响程度等进行技术验证的过程。

1

3.7

漏洞预警vulnerabilitywarning

将漏洞信息向社会或可能受影响的用户发布预警通知的过程。

3.8

资产指纹assetproperty

用于描述网络资产的一组属性信息集合，包括设备类型、设备厂商、系统信息（如操作系统的版

本信息、设备类型信息、系统名称、厂商信息等）、端口信息（系统开放的远程端口信息）、服务信

息（系统实时运行的服务，如rsync、DHCP服务等）、中间件信息（应用程序中间件，如Tomcat、

ApacheActiveMQ等）、数据库（Mysql、Oracle、SQLServer等）、程序应用框架信息（程序开发或应

用所使用的框架，如ApacheStruts、SpringFramework等）、应用软件信息（系统正在运行的应用类软

件，如Web应用WordPress、系统应用OpenSSH等）等。

4漏洞管理平台概述

行业网络运营者漏洞管理平台是由基础电信企业在内的网络运营者建设，对于企业所掌握的安全

漏洞数据、以及监管范围内IP化实体及虚拟资产的潜在漏洞风险提供安全管理。行业网络运营者漏洞

管理平台具备行业安全漏洞信息统筹管理、资产漏洞安全监测稽查、行业漏洞信息知识库以及安全事

件预警与闭环处置响应等功能，实现行业安全漏洞态势感知、风险预警、协同处置，提升行业安全漏

洞管理能力。

电信和互联网行业网络运营者漏洞管理平台（以下简称“平台”）实现漏洞全生命周期管理、漏

洞信息管理和漏洞可视化管理功能，除此之外，还应具备系统安全管理功能和系统接口。

漏洞接收：漏洞接收功能实现对上级平台下发、扫描工具发现、漏洞情报订阅以及组织或个人上

报等多渠道漏洞信息及漏洞所关联网络资产信息的收录。

漏洞验证：漏洞验证功能实现对漏洞验证任务的管理以及对漏洞存在性、漏洞等级、验证方式、.

受影响网络资产类型和范围等验证结果的跟踪记录。

漏洞预警：漏洞预警功能实现对漏洞可能影响的相关部门或人员发布漏洞预警信息。

漏洞处置：漏洞处置功能实现对漏洞处置任务的管理和漏洞处置结果的跟踪记录。

漏洞复测：漏洞复测功能通