安全漏洞标识与描述规范的研究

文章主要介绍了中国首个安全漏洞相关国家标准《安全漏洞标识与描述规范》的制定背景及其主要内容。该标准以CVD作为安全漏洞的唯一标识,用于满足国内互联网对漏洞进行统一引用的需求,是中国有效管理安全漏洞的基础标准。

DNS系统曝重大安全漏洞!用户需警惕

近期教育网整体运行平稳,未发现影响严重的安全事件。在病毒与木马方面,又到一年一度的个人所得税申报时期,冒充个税申报的钓鱼邮件频发。目前这类钓鱼攻击已经呈现高度智能化,攻击者会针对每个攻击目标的身份特征来单独伪造与其身份相符的钓鱼内容,以此来增加欺诈内容的可信性。由于这类钓鱼攻击多数是引诱用户扫描二维码或点击伪造的URL来进行信息诈骗,并不直接攻击用户的系统,所以不会触发系统安全防护的告警。因此如何识别出钓鱼邮件的内容并加以防范,对普通用户来说是个挑战。

物联网中多源异构数据安全漏洞检测技术研究

物联网环境下,由于传感器所采集的数据不同,所以存在多源异构数据群;同时,相关数据的安全标准不同,存在较大安全隐患。为了解决现有数据安全漏洞检测技术在物联网环境下漏报率高、挖掘效果差的问题,对物联网中多源异构数据安全漏洞检测技术进行了研究。根据异构信息物联网络建立不同类型的节点模型,完成多源异构数据级融合。引入类别权重参数设置空间异构标签,通过动态调整方式使不同的异构数据按照边缘分布自适应的条件进行分布,实现域适应的动态异构特征转换;对样本降维、分类、归一化处理后,运用多层感知方式提取数据安全特征,实现多源异构数据的安全漏洞检测。实验结果表明:所提方法的检测漏报率低于4%,面对不同类型的漏洞挖掘效果均在90%以上,该方法具有良好的检测效果。

安全漏洞等级划分关键技术研究

针对安全漏洞管理过程中涉及到的威胁等级划分问题,选取了访问途径、利用复杂度和影响程度3组安全漏洞评估要素,采用层次分析法建立安全漏洞等级划分模型,将安全漏洞等级评定为超危、高危、中危和低危4个级别。最终为安全漏洞国家标准制定、安全漏洞管理、安全漏洞处理、风险评估、风险减缓等方面的工作提供参考。

基于本体的软件安全漏洞模式

针对软件缺陷与软件安全漏洞研究中存在的概念混淆问题,对DevSecOps框架下的软件安全漏洞生存期进行研究。基于软件安全漏洞生存期引入漏洞的4种情况,结合漏洞的特点提出软件安全漏洞模式定义,并采用本体方法进行表示。本体是概念化明确的规范说明,能够解决软件安全漏洞研究领域存在的二义性、不一致性、难以共享,以及由分析知识分散所导致的对人员知识和经验过度依赖的问题。以软件安全漏洞模式的分析为基础,兼顾宏观事件表现,构造漏洞分析的3层模型,即事件表示层、行为动作层和漏洞技术层。实例应用所构模型的层次结构实施渗透测试,包括安全风险分析、威胁建模、漏洞分析及渗透攻击等。实验结果表明:基于所提软件安全漏洞模式本体库的改进渗透测试具有科学性和有效性。

智能合约安全漏洞检测研究进展

智能合约是运行在区块链合约层的计算机程序,能够管理区块链上的加密数字货币和数据,实现多样化的业务逻辑,扩展了区块链的应用.由于智能合约中通常涉及大量资产,吸引了大量攻击者试图利用其中的安全漏洞获得经济利益.近年来,随着多起智能合约安全事件的发生(例如TheDAO、Parity安全事件等),针对智能合约的安全漏洞检测技术成为国内外研究热点.提出智能合约安全漏洞检测的研究框架,分别从漏洞发现与识别、漏洞分析与检测、数据集与评价指标这3个方面分析现有检测方法研究进展.首先,梳理安全漏洞信息收集的基本流程,将已知漏洞根据基础特征归纳为13种漏洞类型并提出智能合约安全漏洞分类框架;然后,按照符号执行、模糊测试、机器学习、形式化验证和静态分析5类检测技术对现有研究进行分析,并讨论各类技术的优势及局限性;第三,整理常用的数据集和评价指标;最后,对智能合约安全漏洞检测的未来研究方向提出展望.

安全漏洞库构建及应用研究综述

在以计算机和网络为基础的信息社会中,计算机和网络系统中存在的漏洞给网络信息安全带来了巨大挑战,大部分网络攻击往往都是基于漏洞发起的,并且随着近些年来漏洞数量的急剧增加以及发现速度的加快,收集、整理和利用已有漏洞就变得越来越重要.而漏洞库作为信息安全基础设施中重要的一环,不仅能够保存各类漏洞的基本信息、特征、解决方案等属性,还能快速响应漏洞信息并及时进行传播,提高公众应对信息安全威胁的能力.同时,随着机器学习、自然语言处理等技术的发展,越来越多的工作开始关注人工智能技术在智能化漏洞信息处理中的应用,漏洞库能作为其中的一个重要数据基础,在计算机领域中发挥着越来越重要的作用.漏洞库研究已成为计算机领域的一个研究热点和重点.本文首次从基础知识、背景、理论方法和创新等方面对近些年来围绕漏洞库的研究进行了全面调查,具体包括以下内容:(1)回顾了漏洞及漏洞库的背景知识,包括定义及分类;还阐述了漏洞发布与漏洞库之间的关系;(2)对漏洞库的发展现状进行介绍,同时介绍了漏洞库建设的相关标准;(3)归纳并总结了已有研究围绕漏洞库建设在漏洞信息收集、管理、字段补全以及质量评价等方面的进展;(4)归纳并总结了已有研究基于漏洞库数据分别在漏洞预测与扫描、漏洞修补、软件安全性及成分分析、网络攻击建模、安全态势分析以及漏洞特征的规律及关联性挖掘等方向的应用;(5)讨论了漏洞库研究存在的挑战和未来的研究方向.

计算机信息技术数据的安全漏洞及加密技术

数据安全漏洞可能会被黑客利用,导致数据泄露、篡改或者损坏。为提高计算机信息技术数据的安全性,在分析数据安全漏洞的基础上,本文进行关于加密技术的研究。首先,利用开放漏洞评估语言检测数据安全漏洞;其次,利用MulVAL攻击图表生成工具,根据漏洞扫描结果、网络配置信息,生成网络攻击图。最后,利用RSA加密算法,实现对计算机信息数据的加密处理。试验表明:新技术可以准确检测计数据序列中的系统漏洞和人为因素漏洞,对应用程序漏洞的检测正确率可达到99.5%,并且可以对数据有效加密,减少数据信息的泄露量,提高数据安全性。

中美网络安全漏洞披露与共享政策研究

随着计算机软件系统规模与复杂度的不断增加,针对软件和系统的漏洞攻击愈发频繁,攻击手法也愈发多样.为了避免软件和系统的相关漏洞对国家网络空间安全的威胁,各国相继公布了漏洞管理条例.安全漏洞的正确披露与共享能够帮助安全研究人员及时获悉安全威胁,并通过共享交流节约漏洞修复成本,已成为缓解漏洞安全风险的重要组成部分.介绍了公共漏洞数据库,重点总结了中国和美国网络安全漏洞披露与共享的相关政策法规,给出中国在漏洞披露与共享方面可能存在的问题与应对方法,以便安全研究人员更好地了解和获悉安全漏洞的披露流程及共享的有关规定,保证安全研究人员在法规允许的范围内研究安全漏洞.

计算机软件安全漏洞检测技术与应用路径

软件本质是一种按照特定顺序组织的计算机数据和指令的集合,通常而言软件可以分为系统软件、应用软件和支撑软件等多种类型。其中系统软件是计算机在使用过程中最基本的软件类型,而应用软件是能够实现特定功能的软件系统,支撑软件则是帮助用户进行软件开发的工具性软件。相关软件通常不可避免地会存在漏洞,而这些漏洞会对软件的使用安全性和可靠性造成威胁,本文针对当前计算机软件安全漏洞的检测与应用进行研究,期望对后续的工作有所帮助。

基于Python的通信网络安全漏洞扫描方法

常规的通信网络漏洞扫描方法只能生成安全漏洞载荷单元,不能阻止恶意载荷单元的传播,导致漏洞信息扫描量较小。为此,设计了基于Python的通信网络安全漏洞扫描方法。首先,使用专业的漏洞扫描工具来扫描通信网络漏洞信息,生成安全漏洞载荷单元,使用防火墙和入侵检测系统(IDS/IPS)来监控和阻止恶意载荷单元的传播,并过滤、检查所有入站和出站流量,确保只有授权流量可以通过。然后,使用Python编写脚本,利用常见的字典和暴力破解方法来获取弱口令,及时发现并提醒用户更换强密码,再通过发送特定的请求来扫描端口处安全漏洞。实验结果表明,该方法漏洞信息扫描量的均值为4.12 Mb,明显高于对照方法,说明该方法更符合实际应用需求。

基于依赖搜索树的即时通信网络安全漏洞识别方法

常规的即时通信网络安全漏洞识别方法,以漏洞分类与检测为主,忽略了字符串参数被污染导致的搜索过程中表现的依赖性,影响最终的识别结果。为此,设计了基于依赖搜索树的即时通信网络安全漏洞识别方法。从漏洞报告中提取通信网络安全漏洞特征,并将特征转换为向量形式,确保特征提取的完整性。基于依赖搜索树构建网络安全漏洞识别函数,根据网络安全漏洞特征划分漏洞类别,通过依赖搜索树的大小与复杂度,表达漏洞之间的依赖关系,从而避免漏洞识别错误识别。识别即时通信网络格式化字符串漏洞,对即时通信网络进行hook操作,并将格式化字符串函数中参数与控制符数量不同的漏洞识别出来,避免字符串参数被污染的问题。实验结果表明,宏查准率、宏查全率以及宏调和平均数等指标均超过了0.97,保持了较高的识别水准,甚至在FXJ识别中体现了“1”的识别水准、网络安全漏洞识别效果更佳,验证了所提出方法的网络安全漏洞识别性能。

图书馆信息安全风险及应对措施研究--基于系统安全漏洞分析

研究安全漏洞特征及漏洞引发的风险有助于制订防范对策。文章从安全漏洞演进态势、暴露面、风险面与影响面分析图书馆系统安全漏洞特征和引发的风险,并提出应对措施。研究表明,图书馆中高危险漏洞逐年递增,未修复漏洞、易攻击漏洞、可远程攻击漏洞占比长期处于高位,直接引发图书馆服务、资源、经济三重安全风险。未来,图书馆应重点提升系统安全漏洞的综合管控能力,强化图书馆服务与数字资源保障能力。

基于图神经网络的异构网络信息安全漏洞深度检测方法

受到连接设备多样性以及互操作性特点的影响,异构网络节点之间的关联关系较为复杂,因此在进行安全漏洞检测时,通常会引起缺乏对节点关联关系的有效捕捉而导致检测精度不佳。对此,提出基于图神经网络的异构网络信息安全漏洞深度检测方法。以异构网络实体作为图节点,并以不同实体之间的关联关系作为边,将异构网络转换为图表示,并分别采用邻接矩阵以及权重矩阵对节点以及边信息进行提取。采用图神经网络领域中的GraphSAGE网络模型对异构网络的节点和边进行处理,并引入注意力机制以学习节点特征表示。将异构网络中节点和边的特征向量作为数据输入,结合随机森林算法构建一个分类器,并通过对其进行训练,使其能够根据边和节点的属性信息对是否存在安全漏洞进行判断,最后结合投票法对输入样本的所属类别进行确定。在实验中,对提出的方法进行了检测精度的检验。最终的测试结果表明,采用提出的方法对异构网络安全漏洞进行检测时,漏洞风险等级的匹配度较高,具备较为理想的检测精度。

国家安全漏洞库的设计与实现

在研究国内外安全漏洞库的基础上,结合我国国情和安全保障的需求,设计了一个兼容多个漏洞标准的、并将漏洞属性划分为相应群组的漏洞库结构模型。基于此模型,开发实现了国家安全漏洞库,并将其用于国内安全预警和应急响应领域,在实际应用中取得了良好的效果。

强化全闭环漏洞管理,让安全漏洞无处遁形

在当今数字化浪潮席卷全球的背景下,随着信息技术的迅猛发展,网络安全问题日益凸显。漏洞作为网络攻击的主要入口,成为一种潜在的安全隐患,一旦被恶意行为者利用,可能导致数据泄露、系统瘫痪等严重后果,对网络安全构成严重威胁。

基于攻击流量的网络安全漏洞检测技术

网络安全漏洞的及时检测是保证计算机正常运行的重要因素之一,基于攻击流量的网络攻击是近年来威胁计算机安全的主要攻击方法,针对目前检测技术存在误识率高、检测效果不佳的问题,提出基于攻击流量的网络安全漏洞检测技术。建立网络流量模型对流量特点实行分析;在此基础上,基于类标记扩展的半监督法生成网络流量特征;结合K-奇异值分解法和匹配跟踪法至攻击流量检测方法中,完成网络安全漏洞检测。实验结果表明,所提方法的网络安全漏洞检测正确率较高、精确率较高,具有较好的应用效果。

消防通信网络安全漏洞及防护措施研究

消防通信系统在确保消防行动的高效性与可靠性方面发挥着至关重要的作用。随着信息技术的发展,消防通信系统面临的安全挑战日益严峻。近年来,网络安全领域频繁出现的各类问题,如网络攻击、数据泄露及系统漏洞等,给消防通信系统的安全运行带来前所未有的威胁。为了应对这些安全挑战,必须采取一系列防护措施,包括实施物理隔离、采用密码技术保护敏感数据、限制信息访问以及定期进行系统安全检查和更新个人密钥等。这些措施能够显著增强网络安全防御能力,有效减少潜在风险,确保消防信息传输顺畅无阻。

基于深度学习的开源软件安全漏洞预测方法研究

针对开源软件的安全漏洞,现有预测方法的召回率和预测精准率较低,预测效果不符合预期。文章研究了基于深度学习的开源软件安全漏洞预测方法,首先将漏洞描述转换成词向量,其次从词向量中学习抽象的漏洞语义特征,并适应开源软件项目和安全项目的数据分布,最终实现漏洞特征的迁移学习。其中,文章利用sigma准则对缺失的数据进行了补全处理,以识别并删除异常数据点;采用多任务学习方法,在所有任务之间共享隐藏层的特征表示,并使用特定的分类器进行漏洞预测。实验结果表明,该方法在召回率和预测精确率方面表现出色,能够更全面地学习漏洞信息并实现良好的分类效果。

曝扫地机器人成“偷窥工具”!产品质量投诉第一,科沃斯不止安全漏洞

近日,被称为“扫地机器人第一股”的科沃斯正面临一场隐私安全质疑风波。两名安全研究人员两名安全研究人员丹尼斯·吉斯(Dennis Giese)和布(Braelynn)在Def Con安全大会上表示,研究了包括扫地机器人、割草机器人和空气净化机器人等10余款产品,发现科沃斯旗下的扫地机器人产品存在安全问题:几乎任何人只要使用手机,就能通过蓝牙从450英尺(约130米)远的地方连接并控制科沃斯机器人,并且通过读取Wi-Fi凭证,读取所有保存房间的地图、摄像头、麦克风等等。