网络安全漏洞风险级别评估示例.pdfVIP

网络安全漏洞风险级别评估示例

1示例1：XXX系统Shiro反序列化漏洞风险级别评估示例

1.1漏洞名称

XXX系统Shiro反序列化漏洞。

1.2漏洞危害描述

攻击者可以利用反序列化漏洞，在目标服务器上执行任意代码，可以完全控制受影响的系统应用服

务器，进行任意操作。

1.3漏洞风险级别评估

包括但不限于以下内容：

a）漏洞严重程度识别：

1）确定漏洞类型为：Java反序列化；

2）查漏洞分类与严重程度对应关系表，漏洞严重程度为：很高（5）。

b）资产重要性等级识别：

1）确定漏洞关联的资产类型为：应用服务器；

2）查资产分类与资产重要性等级对应关系表，资产重要性等级为：很高（5）。

c）漏洞风险级别评估：通过漏洞风险级别评估矩阵，可以判定漏洞风险为：超危（5）。

C.2示例2：XXX系统普通用户弱口令漏洞风险级别评估示例

2.1漏洞名称

XXX系统普通用户弱口令。

2.2漏洞危害描述

攻击者可以利用普通用户弱口令漏洞，直接登录用户站点，查看用户相关信息。

2.3漏洞风险级别评估

包括但不限于以下内容：

a）漏洞严重程度识别：

1）确定漏洞类型为：弱口令问题；

2）查漏洞分类与严重程度对应关系表，漏洞严重程度为：高（4）。

b）资产重要性等级识别：

1）确定漏洞关联的资产类型为：Web前端应用。

2）查资产分类与资产重要性等级对应关系表，资产重要性等级为：中等（3）。

c）漏洞风险级别评估：通过漏洞风险级别评估矩阵，可以判定漏洞风险为：高危（3.5）。

3示例3：XXX系统日志信息泄露漏洞风险级别评估示例

3.1漏洞名称

XXX系统日志信息泄露。

3.2漏洞危害描述

攻击者可以通过日志信息进行分析利用，可以利用日志信息开展进一步攻击。

3.3漏洞风险级别评估

包括但不限于以下内容：

a）漏洞严重程度识别：

1）确定漏洞类型为：日志信息泄露；

2）查漏洞分类与严重程度对应关系表，漏洞严重程度为：中等（3）。

b）资产重要性等级识别：

1）确定漏洞关联的资产类型为：配置和日志数据；

2）查资产分类与资产重要性等级对应关系表，资产重要性等级为：中等（3）。

c）漏洞风险级别评估：通过漏洞风险级别评估矩阵，可以判定漏洞风险为：中危（3）。

4示例4：XXX系统返回中间件版本信息漏洞风险级别评估示例

4.1漏洞名称

XXX系统返回中间件版本信息。

4.2漏洞危害描述

攻击者可以通过中间件版本信息开展进一步攻击。

4.3漏洞风险级别评估

包括但不限于以下内容：

a）漏洞严重程度识别：

1）确定漏洞类型为：配置或调试信息泄露；

2）查漏洞分类与严重程度对应关系表，漏洞严重程度为：低（2）；

b）资产重要性等级识别：

1）确定漏洞关联的资产类型为：Web中间件；

2）查资产分类与资产重要性等级对应关系表，资产重要性等级为：低（2）。

c）漏洞风险级别评估：

通过漏洞风险级别评估矩阵，可以判定漏洞风险为：低危（2）。