GB/T 28458-2012信息安全技術(shù)安全漏洞標(biāo)識(shí)與描述規(guī)范

ICS35040

L80.

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T28458—2012

信息安全技術(shù)安全漏洞標(biāo)識(shí)與描述規(guī)范

Informationsecuritytechnology—Vulnerabilityidentificationanddescription

specification

2012-06-29發(fā)布2012-10-01實(shí)施

中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局發(fā)布

中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

中華人民共和國(guó)

國(guó)家標(biāo)準(zhǔn)

信息安全技術(shù)安全漏洞標(biāo)識(shí)與描述規(guī)范

GB/T28458—2012

*

中國(guó)標(biāo)準(zhǔn)出版社出版發(fā)行

北京市朝陽(yáng)區(qū)和平里西街甲號(hào)

2(100013)

北京市西城區(qū)三里河北街號(hào)

16(100045)

網(wǎng)址

:

服務(wù)熱線

/p>

年月第一版

201211

*

書(shū)號(hào)

:155066·1-45668

版權(quán)專(zhuān)有侵權(quán)必究

GB/T28458—2012

前言

本標(biāo)準(zhǔn)按照給出的規(guī)則起草

GB/T1.1—2009。

請(qǐng)注意本文件的某些內(nèi)容可能涉及專(zhuān)利本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別這些專(zhuān)利的責(zé)任

。。

本標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口

(SAC/TC260)。

本標(biāo)準(zhǔn)起草單位國(guó)家信息技術(shù)安全研究中心中國(guó)科學(xué)院研究生院國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)入侵防范

:、

中心

。

本標(biāo)準(zhǔn)主要起草人張玉清宮亞峰王宏劉奇旭付安民

:、、、、。

Ⅰ

GB/T28458—2012

引言

隨著計(jì)算機(jī)及互聯(lián)網(wǎng)技術(shù)的發(fā)展信息安全環(huán)境越來(lái)越復(fù)雜信息安全隱患越來(lái)越嚴(yán)重計(jì)算機(jī)信

,,。

息系統(tǒng)安全漏洞已經(jīng)成為影響網(wǎng)絡(luò)信息安全的重要因素為規(guī)范和加強(qiáng)計(jì)算機(jī)信息系統(tǒng)安全漏洞的管

。

理制定統(tǒng)一的安全漏洞標(biāo)識(shí)與描述規(guī)范是十分必要的

,。

Ⅱ

GB/T28458—2012

信息安全技術(shù)安全漏洞標(biāo)識(shí)與描述規(guī)范

1范圍

本標(biāo)準(zhǔn)規(guī)定了計(jì)算機(jī)信息系統(tǒng)安全漏洞的標(biāo)識(shí)與描述規(guī)范

。

本標(biāo)準(zhǔn)適用于計(jì)算機(jī)信息系統(tǒng)安全管理部門(mén)進(jìn)行安全漏洞信息發(fā)布和漏洞庫(kù)建設(shè)

。

2規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

數(shù)據(jù)元和交換格式信息交換日期和時(shí)間表示法

GB/T7408—2005(ISO8601:2000)

科學(xué)技術(shù)報(bào)告學(xué)位論文和學(xué)術(shù)論文的編寫(xiě)格式

GB/T7713—1987、

出版物上數(shù)字用法

GB/T15835—2011

信息安全技術(shù)術(shù)語(yǔ)

GB/T25069—2010

3術(shù)語(yǔ)和定義

界定的以及下列術(shù)語(yǔ)和定義適用于本文件

GB/T25069—2010。

31

.

計(jì)算機(jī)信息系統(tǒng)computerinformationsystem

由計(jì)算機(jī)及其相關(guān)的和配套的設(shè)備設(shè)施含網(wǎng)絡(luò)構(gòu)成的按照一定的應(yīng)用目標(biāo)和規(guī)則對(duì)信息進(jìn)行

、(),

采集加工存儲(chǔ)傳輸檢索等處理的人機(jī)系統(tǒng)

、、、、。

定義

[GB/T25069—2010,2.1.14]

32

.

安全漏洞vulnerability

計(jì)算機(jī)信息系統(tǒng)在需求設(shè)計(jì)實(shí)現(xiàn)配置運(yùn)行等過(guò)程中有意或無(wú)意產(chǎn)生的缺陷這些缺陷以不

、、、、,。

同形式存在于計(jì)算機(jī)信息系統(tǒng)的各個(gè)層次和環(huán)節(jié)之中一旦被惡意主體所利用就會(huì)對(duì)計(jì)算機(jī)信息系統(tǒng)

,,

的安全造成損害從而影響計(jì)算機(jī)信息系統(tǒng)的正常運(yùn)行

,。

4安全漏洞標(biāo)識(shí)與描述

41原則

.

本標(biāo)準(zhǔn)的制定遵循以下原則

:

簡(jiǎn)明原則對(duì)安全漏洞信息進(jìn)行篩選提煉安全漏洞管理所需要的基本內(nèi)容保證安全漏洞描

a):,,

述簡(jiǎn)潔明確

。

客觀原則安全漏洞描述便于安全漏洞信息的發(fā)布和安全漏洞數(shù)據(jù)庫(kù)的建設(shè)

b):。

42描述項(xiàng)

.