资产维度分类之全球数据库漏洞大盘点

新闻

1天前

1、漏洞以资产维度分类管理是一个普遍性的需求

漏洞管理生命周期过程中，在漏洞修复阶段，基于管理权限和职责分工，普遍会按照漏洞的资产分类指派修复任务。典型的漏洞资产分类如操作系统、数据库、中间件、业务应用等，不同分类的漏洞由不同的人、服务商、部门来负责，分权分责通过协同完成漏洞修复任务。

2、当前需求实现存在的问题

目前采用较多的方法是使用NVD CPE（漏洞影响产品）数据中的o（操作系统）、a（应用）、h（硬件）来进行分类识别。NVD CPE（漏洞影响产品）存在问题是：

1) 只有三种分类。分类较粗，数据库、中间件都归到a（应用）里，没有办法满足细粒度管理要求；

2) 存在分类错误问题。例如o（操作系统）中存在非操作系统产品，可能会把修复任务指派给错误的修复人；

3) 存在漏洞未提供NVD CPE（漏洞影响产品）数据、漏洞的NVD CPE（漏洞影响产品）未及时更新问题，导致漏洞无法分类、无法正确进行归类。

部分行业用户为部分解决上述问题，对NVD CPE中a、o、h分类进行了扩展，如增加m（中间件）分类等，并对分类进行枚举值列举。存在的问题是：

1) 与NVD CPE分类冲突、重合；

2) 分类枚举值不够丰富，难以覆盖行业用户的资产产品类型；

3) 新扩展的产品分类与漏洞的关联度不足，出现漏洞归属不清或错误问题。

长期以来，这一看似简单的需求，在实际管理过程中却难以得到很好的实现。可以看到，完全依赖开源数据、本地数据或本地知识库进行简单的分类，同时又缺少漏洞分类数据的动态更新，传统方案难以支撑对效率和成本要求日益趋高的漏洞管理过程。

3、摄星玄猫的最佳实践

为解决传统方案存在的问题，完美满足用户管理需求，首先要有一个完整的动态更新的覆盖全球产品的资产库、全面的产品和漏洞关联的数据库。才能避免漏洞分类不全、不准确、不及时的问题。

摄星科技以玄猫漏洞情报数据底座为分类基础，提出贴合日用习惯的创新性分类方法，并通过API数据接口为各类资产和漏洞风险管理系统赋能。

1) 以摄星玄猫数据底座为分类基础

l 覆盖全球产品的基础字典库

摄星玄猫对标CPE字典，形成不断迭代、持续更新的覆盖全球产品的高质量基础字典库。进而能够覆盖用户的资产类型，并能够提供丰富的、兼容常用名的资产分类标准枚举值。

l 产品和漏洞关联数据库

摄星玄猫对标NVD CPE，形成覆盖国产产品、开源组件、厂家安全公告的更加丰富、更加准确的动态更新的漏洞影响产品库。保障漏洞在进行资产分类时更加全面、更加准确、更加及时。

2) 创新性的漏洞的资产分类方法

依托摄星科技基于DeepSeek的数据治理和数据标准化智能体，以习惯和实用为原则，遵循如下分类方法：

l 兼容并重新审视NVD CPE数据，修正NVD CPE中的错误分类；

l 摆脱NVD CPE的分类束缚，以业界熟知的、习惯的方法进行分类；

l 全球视野的分类枚举值穷举，使得能够覆盖用户的所有资产类型；

3) 通过情报服务API接口赋能

通过API对接漏洞管理平台、资产安全平台、安全运营平台、态势感知平台等，将玄猫漏洞情报的分类应用到本地漏洞管理过程中，本地和云端联动，可具备最新最全的动态更新的漏洞资产分类能力，满足运营者在漏洞生命周期管理过程中多角色、多部门分权分责协同的需要。

4、数据库及其漏洞分类

数据库是按照特定结构组织、存储和管理数据的系统，经历了从早期文件系统到现代多样化数据库的演进过程。20世纪60年代出现的层次型和网状型数据库为第一代系统，70年代关系型数据库（如Oracle、MySQL）凭借二维表结构和SQL语言成为主流。随着互联网和大数据时代的到来，非关系型数据库（NoSQL）如MongoDB、Redis应运而生，解决了海量异构数据的处理问题。当前数据库技术正向多模型融合、云原生、AI自治等方向发展，同时兼顾传统事务处理与新兴的时序、图数据等场景需求，形成了包括NewSQL、分布式数据库、内存数据库等在内的多元化技术生态。