YD_T 2388-2022 网络脆弱性指数评估方法.docx

ICS 35.020 CCS L70 中 华 人 民 共 和 国 通 信 行 业 标 准 YD/T 2388—2022 代替 YD/T 2388—2011 网络脆弱性指数评估方法 Index assessment methods for network vulnerability 2022-04-08发布 2022-07-01 实施 中华人民共和国工业和信息化部 发布 I YD/T 2388—2022 目 次 前言 Ⅱ 1 范围 1 2 规范性引用文件 1 3 术语和定义 1 4 网络脆弱性指数评估体系 2 4.1 网络脆弱性指数建立原则 2 4.2 网络脆弱性指数评估计算方法 2 4.3 网络脆弱性评价 4 5 网络脆弱性特征定义 4 5.1 特征定义原则 4 5.2 具体特征定义 4 6 网络脆弱性分类 7 6.1 分类指导原则 7 6.2 具体分类 7 附录A(资料性)网络脆弱性指数计算方法 9 Ⅱ YD/T 2388—2022 前 言 本文件按照GB/T1.1—2020 《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本文件代替 YD/T2388—2011 《网络脆弱性指数评估方法》,与 YD/T 2387—2011 相比，除结构调 整和编辑性改动外，主要技术变化如下： 更改了术语和定义： ——更改了网络脆弱性指数建立原则； 更改了2011 年版中网络脆弱性指数评估计算体系为网络脆弱性指数评估计算方法，修改了部 分内容； ——更改了2011年版中脆弱性特征定义为具体特征定义，修改了部分内容； ——新增了附录中网络脆弱性指数计算示例。 本文件由中国通信标准化协会提出并归口。 本文件牵头起草单位：国防科技大学计算机学院、广州大学网络空间先进技术研究院、国家计算机 网络应急技术处理协调中心、鹏城实验室。 本文件参与起草单位：中国信息通信研究院、湖南星汉数智科技有限公司、西北工业大学、山东中 创软件商用中间件股份有限公司、中国科学院计算技术所、湖南蚁坊软件有限公司、四川亿览态势科技 有限公司、恒安嘉新(北京)科技有限公司、北京天融信网络安全技术有限公司、西安邮电大学、上海 数据分析与处理技术研究所。 本文件主要起草人：贾焰、杨行、韩伟红、周斌、李树栋、李爱平、张伟哲、江荣、亓玉璐、王震、 赵晓娟、朱争、刘海天、谢浩程、钟浩成、于晗、崔婷婷、何文杰。 本文件于2011年首次发布，本次为第一次修订。 YD/T 2388—2022 网络脆弱性指数评估方法 1 范围 本文件规定了网络脆弱性指数评估方法。 本文件适用于计算机网络应急响应组织评估网络设计、实现、配置等方面的脆弱性，也可供其他相 关部门参考使用。本文件不适用于评估网络管理方面脆弱性，比如人员安全、物理环境安全等。 2 规范性引用文件 本文件没有规范性引用文件。 3 术语和定义 下列术语和定义适用于本文件。 3.1 资产 asset 对组织具有价值的信息资源，是安全策略保护的对象。 3.2 可用性 availability 信息对授权实体可访问和可使用的特性。 3.3 必威体育官网网址性 confidentiality 信息对未授权的实体不可用和不泄露的特性。 3.4 完整性 integraty 信息对未授权的实体不可更改和不可破坏的特性。 3.5 脆弱性 vulnerability 单个或一组资产(3.1)存在的可以被多个攻击利用的弱点。 2 YD/T 2388—2022 3.6 网络脆弱性 network vulnerability 被监控网络在相同的攻击环境中易于遭受攻击的程度。 3.7 脆弱性指数 vulnerability index 反映网络脆弱性程度的指示数据。在设定的取值范围内，数值越大，说明该网络越脆弱。 4 网络脆弱性指数评估体系 4.1 网络脆弱性指数建立原则 网络脆弱性指数选取建立宜遵循以下原则： a) 真实性。即网络脆弱性指数应真实反映出被评估网络存在的安全隐患的大小； b) 广泛性。即网络脆弱性指数能够为不同的网络、系统及数据环境服务； c) 可操作性。即网络脆弱性指数面向应用服务，要依托于真实、可靠、稳定的数据和科学合理的 量化计算方法。 4.2 网络脆弱性指数评估计算方法 为了对网络中存在的脆弱性进行合理科学的计算，本标准提供了一种基于脆弱性特征的网络脆弱性 指数计算模型，如图1所示，该模型采用分层分级计算原理，按照网络拓扑的规模，先算出基础网络的 网络脆弱性指数，再通过基础网络的脆弱性指数计算高一级的网络脆