2.4 思考与实践

1.试述软件漏洞的概念，谈谈软件漏洞与软件错误、软件缺陷、软件Bug的区别与联系。

2.为什么说安全缺陷或者说Bug是一个需要考虑具体环境、具体对象的概念？

3.试分析软件漏洞的成因。

4.软件漏洞如何分类分级管理？

5.软件漏洞管理应当遵循怎样的标准？

6.软件漏洞买卖合法吗？软件漏洞应当如何管控？

7.厂商发布漏洞信息的标准过程是怎样的？

8.知识拓展：目前已有的漏洞库可以划分为国家级漏洞库、行业和民间级、软件厂商漏洞库3类。请访问以下漏洞库，试从所属机构、漏洞库名称、漏洞数据类型及数量、漏洞类型和相关产品等方面进行比较。

［1］中国国家信息安全漏洞库（China National Vulnerability Database of Information Security，CNNVD），http://www.cnnvd.org.cn。

［2］美国国家漏洞库（National Vulnerability Database，NVD），https://nvd.nist.gov。

［3］日本漏洞通报（Japan Vulnerability Notes，JVN），http://www.jpcert.or.jp/english/vh/project.html。

［4］印度计算机应急响应小组漏洞通告（Cert-In Vulnerability Note，CIVN），http://www.cert-in.org.in。

［5］国家信息安全漏洞共享平台（China National Vulnerability Database，CNVD），http://www.cnvd.org.cn。

［6］国家计算机网络入侵防范中心漏洞库（National Computer Network Intrusion Protection Center，NCNIPC），http://www.nipc.org.cn。

［7］开源漏洞库（Open Sourced Vulnerability Database，OSVDB），http://osvdb.com。

［8］BugTraq漏洞库，http://www.securityfocus.com/archive/1。

［9］Secunia漏洞库，http://secunia.com。

［10］安全内容自动化协议（Security Content Automation Protocol，SCAP）中文社区，http://www.scap.org.cn。

［11］FreeBuf漏洞盒子，https://www.vulbox.com。

［12］Seebug漏洞平台，https://www.seebug.org。

［13］威客安全众测平台，http://www.secwk.com。

［14］微软漏洞公告，https://technet.microsoft.com/zh-cn/security/bulletins。

［15］补天漏洞响应平台，http://butian.360.cn。

9.读书报告：请阅读以下安全漏洞披露的报告，了解并分析漏洞披露过程中应当遵循的原则、应当注意的问题，以及一些最佳实践。

［1］美国国防部发布的《安全漏洞披露政策》（Vulnerability Disclosure Policy）https://www.defense.gov/News/News-Releases/News-Release-View/Article/1009956/dod-announces-digital-vulnerability-disclosure-policy-and-hack-the-army-kick-off/。

［2］美国司法部发布的《在线系统漏洞披露计划框架》（A Framework for a Vulnerability Disclosure Program for Online Systems）。

［3］美国卡内基梅隆大学软件工程研究所CERT部门发布的《CERT漏洞协同披露指南》（The CERT Guide to Coordinated Vulnerability Disclosure）。

10.读书报告：请访问CWE官网（http://cwe.mitre.org）和OWASP官网（https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project），比较分析CWE Top25和OWASP Top10对漏洞的划分有什么不同。 OaWOgm5Rpc9PnjSd+SnWl5uTtdgxUQugD/ghBuvWAK3nR3HOWm0A+9xar0YUniKk