SSVC，美国政府及关键信息基础设施漏洞优先级技术

新闻

10天前

漏洞优先级排序是网络安全管理的核心环节，对于有效管理和防御网络安全威胁至关重要。旨在解决资源有限性与漏洞数量庞大之间的矛盾，避免“清零漏洞”思维，降低安全风险，保障业务连续性，满足合规性要求。
当前，优先级技术较多，影响优先级的因素也较多。采用何种技术、需要考虑哪些因素、是否需要采用统一的标准、如何进行技术落地，是各组织共提供关心的话题。
尤其是政府和关键信息基础设施在激烈的、高强度的网络安全对抗中，面对有限修复资源与庞大漏洞数量矛盾时应该如何做？行业性、区域性、集团性的大型组织应该如何做？他山之石，可以攻玉，可以从SSVC中获得一定借鉴。

一、什么是SSVC

SSVC(Stakeholder-Specific Vulnerability Categorization)，特定利益相关者漏洞分类)是由美国网络安全与基础设施安全局（CISA）联合卡耐基梅隆大学软件工程研究所（SEI）共同开发的一种漏洞优先级分类框架。其核心思想是结合技术影响、自动化利用可行性、任务关键性及公共福祉影响等因素，为不同机构提供针对性的漏洞管理策略。

SSVC旨在帮助美国政府（USG）、州、地方、部落和领土（SLTT）政府以及关键基础设施（CI）实体优先处理漏洞响应。帮助不同组织根据自身业务需求和风险容忍度，动态调整漏洞修复的优先级。

二、SSVC的演进

SSVC于2022年11月份发布了第一版。后续每年都进行决策点细化、技术改进和优化，引入新的标准和决策点，并与机器学习、人工智能技术结合，扩展应用范围，支持更多组织和行业。

三、SSVC技术介绍

3.1 SSVC的评估因素

SSVC框架通过以下五个关键因素来评估漏洞的优先级：

01 Exploitation（利用状态）

评估漏洞是否已被实际利用或存在利用条件。

None：没有证据表明漏洞正在被利用，也没有公开的概念验证（PoC）代码。
PoC（概念验证）：存在公开的概念验证代码（PoC），但未观测到实际攻击。
Active（主动利用）：有共享的、可观察的、可靠的证据表明该漏洞正在被真实攻击者利用，并且有可信的公开报告。

02 Technical Impact（技术影响）

评估漏洞对系统机密性、完整性、可用性的破坏程度，例如是否可能导致系统完全失控或仅泄露信息。

Partial（部分）：攻击者对包含漏洞的软件的行为具有有限的控制权或信息泄露；或者提供了低随机性的完全控制机会。意味着攻击者无法合理地做出足够的尝试来克服基于物理或安全的障碍，以实现完全控制。
Total（全部）：攻击者能够完全控制软件的行为，或者完全泄露包含漏洞系统上的所有信息。

03 Automatability（自动化程度）

评估漏洞是否可通过自动化工具（如蠕虫、扫描器）大规模利用。

No（否）：杀伤链（侦察、武器化、交付和利用） 1-4步骤无法可靠自动化。例如：（1）易受攻击的组件在网络上不可搜索或枚举；（2）武器化可能需要对每个目标进行人工指导；（3）交付可能需要广泛部署的网络安全配置阻止渠道；(4) 默认情况下启用的足够的漏洞利用预防技术可能会阻止利用（如地址空间布局随机化 [ASLR] ）；
Yes（是）：杀伤链（侦察、武器化、交付和利用） 1-4步骤能够可靠的实现自动化。

04 Mission Prevalence（任务普遍性）

评估漏洞影响的系统在组织任务中的普遍程度，例如是否广泛部署在关键业务系统中。

05 Public Well-being Impact（公共福祉影响）

评估漏洞对公共安全或社会稳定的的潜在威胁。