欧洲网络与信息安全局《漏洞披露经济学》介绍

欧洲网络与信息安全局于2018年12月发布了《漏洞披露经济学》报告,在漏洞披露行为主体、流程类型、市场、性质等相关概念的基础上,将经济学概念和特征应用到信息安全领域,并进一步详细分析了漏洞披露流程中,个人、组织、结构和规范等不同层面对漏洞披露行为的激励作用,继而提出漏洞披露生态环境建设。中国在漏洞披露领域的法律保障、制度建设以及具体实践都存在可改进空间,该报告对中国建立出更合乎国情的漏洞披露机制具有借鉴意义。     

漏洞多方协同披露机制研究

当前漏洞的数量快速增长,危险级别不断提升.为了有效降低用户面临的风险,应深入研究美国国家电信和信息管理局和FIRST(公共漏洞披露平台的管理者)颁布的《漏洞多方协同披露指南与实践》,从机制、举措方面总结指南与实践在不同情况下对漏洞协同披露的流程,归纳产生的原因及有效的应对措施,并结合我国的实际情况提出相应建议.     

行业漏洞披露

漏洞(Vulnerability)的定义是软件中的缺陷,这些缺陷使攻击者能够危害软件的完整性、可用性或机密性。某些最严重的漏洞使攻击者能够在受害的系统上运行任意代码。要了解关于漏洞的更多信息,请参阅安全研究报告网站参考指南部分的"行业漏洞披露"。本节中的信息是根据发布在美国国家漏洞数据库(National Vulnerability Database,http://nvd.nist.gov)的漏洞披露数据整理,其中美国政府基于标准的漏洞管理数据库采用的是安全内容自动化协议(Security Content Automation Protocol,SCAP)。     

第11章行业漏洞披露

漏洞(Vulnerability)的定义是软件中的缺陷,这些缺陷使攻击者能够危害软件的完整性,可用性或机密性.某些最严重的漏洞使攻击者能够在受害的系统上运行任意代码.本报告的这一节分析了在lH09披露的新漏洞,以及自2004年以来漏洞披露的发展趋势.本报告中使用的披露(Disclosure)一词,是指将存在的漏洞的详细信息告之公众.披露不包括任何形式的针对私人的公布或仅仅针对有限人群的公布.披露的信息可以有各种来源,例如软件供应商本身、安全软件厂商、独立安全研究人员,甚至是恶意软件作者.     

基于人工鱼群算法的网络信息加密漏洞检测系统

随着信息技术水平的不断进步,网络信息出现的漏洞问题对网络的安全环境造成了严重的威胁。由于大多数的网络信息在传输过程中对内容的过滤不够严格,造成网络信息出现漏洞,传统的网络信息加密漏洞检测系统存在着效率低、漏检率高、误报率高等问题。针对这一问题,提出一种基于人工鱼群算法的网络信息加密漏洞检测系统,通过实验证明,新的检测系统具有高效率、低漏检率以及低误报率等优势,因此更适用于在网络环境中,对信息加密泄漏的检测,能够有效提升计算机网络的安全性。     

计算机网络漏洞扫描技术的应用

由于网络的开放性,计算机网络技术应用中还存在着网络漏洞,如信息泄露、信息篡改等,威胁到用户的财产安全。本文简单分析了计算机网络漏洞,以及阐述了漏洞修复扫描技术的应用,从而提高计算机网络的安全性。     

合作主义:网络安全漏洞治理的范式转型

利用网络安全漏洞实施攻击的安全事件频发,使网络安全漏洞治理成为保障国家网络安全的重要议程.当前,囿于在漏洞评级指标、漏洞披露政策以及"白帽子"法律责任层面缺乏整体性考量,我国网络安全漏洞治理框架亟待面向"合作主义"转型.为此,需通过行政与司法的合作明晰"白帽子"法律责任的边界,通过行政部门之间的合作搭建网络安全漏洞协同...     

电力企业网络信息安全漏洞管理分析

漏洞作为网络威胁的根源之一,管理好漏洞做好安全防护措施,构建网络安全系统,是电力企业网络信息安全的基本要求。电力企业网络安全技术的应用和发展,需要明确考虑在安全系统设计中针对漏洞跟管理的缺陷,从漏洞情报收集、检测、危害评估和处置多个方面入手,设计新的漏洞管理系统,以满足漏洞管理工作的需要。本文在新型漏洞与攻击的不断增长的背景下,探究并研究现阶段防御与风险监控管理的要求,从漏洞管理现状入手,分析如何优化电力企业网络信息安全漏洞管理,综合提高电力企业网络信息安全漏洞管理水平。     

第12章微软产品漏洞报告

图63统计了自1H04以来披露的微软产品的漏洞情况.一般来说,披露的微软产品漏洞能够反映整个软件行业的安全漏洞情况,是整个行业软件漏洞形势的一个缩影.微软产品的漏洞披露从2H08的143个独占漏洞下降到1H09的1 15个,这与行业内的整体下降趋势是一致的.尽管自2H08以来所披露的微软产品漏洞绝对数量有所减少,但H09微软产品漏洞在全部的漏洞披露中所占比例呈小幅上升的趋势,这是由于全行业披露的漏洞数量急剧下降所致.     

探讨如何应对基于PHP技术开发的Web应用程序漏洞

目前在网络技术开发当中已经广泛应用Web应用程序,然而该程序在应用期间存在漏洞问题,因此需要借助PHP技术为Web应用程序提供服务端脚本语言,全面加强网络信息安全性。此次研究主要分析了Web应用程序漏洞问题,并且研究了PHP文件上传技术的应用,在此基础之上提出避免文件上传漏洞的有效措施,希望可以为Web应用程序的开发研究提供重要依据。     

浅谈网络安全技术与管理

网络信息安全对企业用户的数据安全维护有着重要的作用,如今,网络安全信息漏洞越来越多,这就要求我们加强对网络安全信息的安全防范。鉴于此,笔者分析了网络安全风险,并对加强网络安全技术进行了探讨,旨在加强网络安全管理。     

微软产品漏洞报告

图23统计了自2H06以来披露的微软产品和非微软产品的漏洞情况. (1)1H10披露的微软产品的漏洞数稍微有所增长,但是在过去几个时期内基本保持稳定. (2)微软产品漏洞占1H10披露的所有漏洞数的6.5%.这个百分比相对2H09的5.3%有所上升,主要是因为那个时期整个行业披露的漏洞数整体下降的原因.     

面向网络资产漏洞评估的设备指纹搜索引擎构建方法

网络资产漏洞评估技术对于梳理互联网资产、实现网络资产漏洞安全管理起到十分重要的作用.已有方法因无法有效获取设备指纹信息而产生评估结果准确度低、功能单一等问题.为此,本文提出一种面向网络资产漏洞评估的设备指纹搜索引擎构建方法,具有多接口、交互性强、减少网络冗余探测的优势.本文通过统计和评估真实网络中的服务器类型、HTTPS协议漏洞来验证方法的高效性.     

校园网络中信息安全及保密问题浅析

校园网在担负着高等学校对外沟通与信息交流工作的同时,也面临着漏洞隐患、防护性弱、负荷过载、信息保护难及网上泄密等安全问题。针对高校信息安全的现状及存在的各种问题,深入分析了校园网络的特殊性及其中的安全隐患,探讨了学校数据信息泄密的几种途径,提出了加强校园网络的防火墙技术、及时安装补丁程序和杀毒软件、物理安全策略、定期备份、加强校园网安全管理政策建设和加强安全组织建设6种防护措施。只有网络安全技术与网络安全意识相结合,才能真正实现高等学校校园网络安全及信息保密。     

大数据技术在网络安全分析中的应用研究

针对误用检测方法和异常检测方法缺少对网络风险因素分析,导致网络漏洞检出率较低的问题,提出了基于大数据H adoop技术检测网络安全漏洞研究.构建标准化直接关系矩阵、生成总关系矩阵确定网络风险元素属性,由此分析网络风险.构建Hadoop框架,采集入侵行为漏洞信息,搭建核心装置,处理网络漏洞.避免外力干扰情况下,评估网络漏...     

基于路由交换数据的网络链路漏洞检测方法

针对当前网络链路漏洞检测方法对于路由数据的分析能力较差,导致漏洞检测结果误报率较高且检测周期较长的问题,提出基于路由交换数据的网络链路漏洞检测方法。应用人工智能技术,完成网络链路中的信息进行初步处理。用数据在线分析算法预测路由交换输的复杂程度,并实现路由数据的数据序列信号重塑。根据免疫原理,生成数据包检查码。应用功率累积尺度提取网络链路复用特征函数,设计网络链路漏洞检测算法。构建实验环节,实验结果证实：此方法的路由数据分析能力较强,可进一步降低检测误报率,缩减检测周期,提高网络信息安全性。     

基于大数据技术的片上网络静态漏洞检测系统研究

为减轻静态漏洞体对计算机片上网络造成的序列化运行危害,设计一种基于大数据技术的片上网络静态漏洞检测系统。利用Hadoop检测框架,定向规划片上网络漏洞处理模块、静态漏洞评估模块的物理运行位置,实现新型检测系统的硬件运行环境搭建。在此基础上,采集漏洞信息的入侵行为,并以此为标准编写大数据检测函数,在相关组织设备的促进下,构建片上网络的静态漏洞行为链,实现新型检测系统的软件运行环境搭建。结合基础硬件条件,完成基于大数据技术的片上网络静态漏洞检测系统研究。对比实验结果显示,与hook系统相比,应用新型漏洞检测系统后,计算机片上网络的平均容错率达到90%,单位时间内出现的漏洞总量不超过3.0×109TB,序列化运行危害得到有效缓解。     

新形势下计算机网络漏洞的防范

在新形势下计算机信息技术得到快速发展,人类已经进入了计算机网络信息社会。计算机网络信息安全关系着人们的正常生活和个人隐私,甚至关系到国家军事安全。本文首先对计算机网络漏洞定义进行了介绍,并分析和总结了目前常见的计算机网络漏洞攻击类型和原理,最后提出了一些计算机网络漏洞的防范措施,本文的研究结果有望提高日常计算机网络使用的安全性,避免因为计算机网络攻击造成损失。     

构筑高效的网络设备安全入网验收工作体系

1 引言 随着网络和通信技术的快速发展,网络互联与开放、信息共享带来了日益增长的安全威胁。为了企业乃至国家的网络与信息安全,保障客户利益,加强各方面的安全工作刻不容缓。为了防止设备＂带病入网＂,必须加强设备入网安全接入管理,落实安全配置基线要求和修补漏洞,从而在设备入网前减少或消除安全隐患,有效预防和规避安全事故的发生。安全入网验收工作必不可少。     

移动通信系统安全功能的实现和演进

本文通过对比GSM、GPRS、WCDMA系统对安全功能的实现机制来分析安全演进过程,按照分析网络结构、找出网络漏洞和潜在威胁、提出安全措施的思路进行对比分析.重点对影响信息保密性、信息完整性和信息可用性原则来评估第三代通信网络安全功能实现.通过分析网络存在的安全漏洞及安全威胁来得到安全功能的需求,从而得到第三代通信网络安全功能实现的比较.尤其是对WCDMA中使用的关键安全措施进行较为完整的描述.