电动汽车智能充电桩及互动响应安全漏洞危险等级评定标准.pdfVIP

DBXX/ XXXXX—XXXX 附 录 A （规范性） 安全漏洞危险等级评定标准 国标《信息安全技术-安全漏洞等级划分指南》（GB/T 30279-2013）从安全漏洞的访问路径、利用 复杂度和影响程度三个方面对安全漏洞进行评估，准确与合理的划分出安全漏洞的危险等级。 A.1 等级划分要素 1. A.1.1 访问路径 访问路径：攻击者利用安全漏洞影响目标系统的路径前提。访问路径包括本地、邻接和远程。通常 可被远程利用的安全漏洞危害程度高于可被邻接利用的安全漏洞，可本地利用的安全漏洞次之，见表 A.1。 表A.1 访问路径复制说明表 访问路径 描述 本地 利用该安全漏洞要求攻击者物理接触到受攻击的系统，或者已具有一个本地账号 邻接 利用该安全漏洞要求攻击者与受攻击系统同处于一个广播域或冲突域中 远程 不局限于本地和邻接 2. A.1.2 攻击复杂度 攻击复杂度：对于安全漏洞可被利用于影响目标系统的技术、环境等条件的难度。利用复杂度包括 简单和复杂，通常利用复杂度为简单的安全漏洞危害程度高，见表A.2. 表A.2 攻击复杂度赋值说明表 攻击复杂度 描述 简单 无需借助外部条件，如自动操作，无需授权即可完成攻击 复杂 需要借助外部条件，如人工参与或者用户授权等 3. A.1.3 影响程度 影响程度：利用安全漏洞对目标系统造成的损害程度。影响程度包括完全、部分、轻微和无。影响 程度的分级见表3。 表A.3 影响程度赋值说明表 15 DBXX/ XXXXX—XXXX 影响程度 描述 完全 安全漏洞对必威体育官网网址性、完整性和可用性的影响程度较严重 部分 安全漏洞对必威体育官网网址性、完整性和可用性的影响程度较轻 轻微 安全漏洞对必威体育官网网址性、完整性和可用性的影响程度最轻 无 安全漏洞对必威体育官网网址性、完整性和可用性的影响程度均为无 影响程度的赋值由安全漏洞对目标的必威体育官网网址性、完整性和可用性三个方面的影响共同导出，每个方面 的影响赋值为完全、部分和无，对于必威体育官网网址性、完整性和可用性三个影响因子的说明见表4。 表A.4 影响程度影响因子说明表 考量维度 描述 完整性 保证信息及信息系统不会被非授权更改或破坏的特性。包括数据完整性和系统完整性 可用性 数据或资源的特性，被授权实体按要求能访问和使用数据或资源 必威体育官网网址性 数据所具有的特性，即表示数据所达到的未提供或未泄露给非授权的个人、过程或其他实体的程度 A.2 等级划分 安全漏洞的危害程度从低至高依次为低危、中危、高危和超危，具体风险等级评估赋值见表5。