强化一网络安全和安全情报意识共筑网络安全防(2) - 情报探索杂志社投稿_期刊论文发表|版面费|电话|编辑部|论文发表- 情报探索

一、来稿必须是作者独立取得的原创性学术研究成果，来稿的文字复制比（相似度或重复率）必须低于用稿标准，引用部分文字的要在参考文献中注明；署名和作者单位无误，未曾以任何形式用任何文种在国内外公开发表过；未一稿多投。二、来稿除文中特别加以标注和致谢之外，不侵犯任何版权或损害第三方的任何其他权利。如果20天后未收到本刊的录用通知，可自行处理(双方另有约定的除外)。三、来稿经审阅通过，编辑部会将修改意见反馈给您，您应在收到通知7天内提交修改稿。作者享有引用和复制该文的权利及著作权法的其它权利。四、一般来说，4500字（电脑WORD统计，图表另计）以下的文章，不能说清问题，很难保证学术质量，本刊恕不受理。五、论文格式及要素：标题、作者、工作单位全称(院系处室)、摘要、关键词、正文、注释、参考文献(遵从国家标准：GB\T7714-2005，点击查看参考文献格式示例)、作者简介(100字内)、联系方式(通信地址、邮编、电话、电子信箱)。六、处理流程：（1）通过电子邮件将稿件发到我刊唯一投稿信箱（2）我刊初审周期为2－3个工作日，请在投稿3天后查看您的邮箱，收阅我们的审稿回复或用稿通知；若30天内没有收到我们的回复，稿件可自行处理。（3）按用稿通知上的要求办理相关手续后，稿件将进入出版程序。（4）杂志出刊后，我们会按照您提供的地址免费奉寄样刊。七、凡向文教资料杂志社投稿者均被视为接受如下声明：（1）稿件必须是作者本人独立完成的，属原创作品（包括翻译），杜绝抄袭行为，严禁学术腐败现象，严格学术不端检测，如发现系抄袭作品并由此引起的一切责任均由作者本人承担，本刊不承担任何民事连带责任。（2）本刊发表的所有文章，除另有说明外，只代表作者本人的观点，不代表本刊观点。由此引发的任何纠纷和争议本刊不受任何牵连。（3）本刊拥有自主编辑权，但仅限于不违背作者原意的技术性调整。如必须进行重大改动的，编辑部有义务告知作者，或由作者授权编辑修改，或提出意见由作者自己修改。（4）作品在《文教资料》发表后，作者同意其电子版同时发布在文教资料杂志社官方网上。（5）作者同意将其拥有的对其论文的汇编权、翻译权、印刷版和电子版的复制权、网络传播权、发行权等权利在世界范围内无限期转让给《文教资料》杂志社。本刊在与国内外文献数据库或检索系统进行交流合作时，不再征询作者意见，并且不再支付稿酬。九、特别欢迎用电子文档投稿，或邮寄编辑部,勿邮寄私人，以免延误稿件处理时间。

强化一网络安全和安全情报意识共筑网络安全防(2)

作者:

关键词:

摘要：

表2 OWASP Top 10一览?

2.3 OWASP相关项目的运用

上述项目在网络安全科普方面进行了有益的探索和实践，尝试在网络安全技术和社会公众之间建立沟通的桥梁和通道。在2018年、2019年国家“网络安全宣传周”期间，本文研究人员多次运用上述项目的成果向校内外学生、社会人士作介绍和分享，在唤起和强化公众网络安全意识上起到极大的促进作用。

3 CNCERT相关项目与分析

个人层面强化网络安全意识，是全社会参与网络安全治理的良好开端。全面落实网络安全保护，还需要各行各业的社会组织广泛参与、共同发力。本节从国家互联网应急中心的有关项目进行分析，以期组织层面对网络安全情报给予足够的重视。

3.1 对CNCERT年度网络安全态势报告的分析

本文收集了CNCERT 2011～2018年我国互联网网络安全态势综述的年度报告[12～19]，做出了进一步的总结和数据分析。

3.1.1 对网络安全态势关键词的分析

对2015～2018年报告中网络安全年度状况进行统计发现，网络安全态势的关键词出现频率最高（3次）的是敲诈勒索、工业控制系统，拒绝服务、移动应用、高级持续性威胁（APT）、智能设备次之（2次），最后是云平台、应用软件供应链安全、信息泄露（1次）。如图2所示。

图2 网络安全态势关键词频率

CNCERT年度报告还分析了各种网络安全威胁所影响的行业，如表3所示。例如，勒索软件主要影响政府、医疗、教育、制造业等行业，在“WannaCry”勒索病毒爆发期间，一些技术管理不严的政府部门、医院首先中招，深受其害；工业控制系统主要影响电力、燃气、煤炭等行业。

表3 各种网络安全威胁影响的行业一览?

在网络和信息化程度越来越高的今天，面对越来越严峻的网络安全形势，各行各业、各种组织都难以独善其身。关注所在行业的网络安全威胁，认清面临的网络安全风险，善于收集和利用网络安全情报并进行有效应对，才是最好的解决之道。

3.1.2 对CNVD收录漏洞情况的分析

《我国互联网网络安全态势综述》年度报告中，网络安全漏洞情况分析是其中的一个重头戏。2014年以来，国家信息安全漏洞共享平台CNVD收录安全漏洞年平均增长率为15%，如表4所示。

表4 CNVD2011～2018年收录漏洞情况一览?

2018年收录漏洞总数较2017年有所下降，但高危漏洞、“零日”漏洞（CNVD收录该漏洞时还未公布补丁）数量持续走高。综合2011年至2018年的数据，如图3所示，可得收录漏洞数量的整体趋势是持续增长的。网络安全行业不断在加强网络安全漏洞管理，近年来引入“安全众测”的模式来鼓励社会各方技术力量进行漏洞挖掘，这也是CNVD收录漏洞数量增长的一方面原因。从这个角度看，收录漏洞数量增长也有其积极的意义。

我国推行的信息安全等级保护，沿用了“资产-威胁-漏洞”的安全模型，如图4所示。资产指信息资产，关注点是保密性、完整性和可用性这些安全属性。威胁可以分成人为因素（恶意和疏忽）和环境因素。漏洞，也叫脆弱性，是资产本身存在的，威胁要利用资产的漏洞才能对其造成危害。因此，安全漏洞信息是一项极其重要的网络安全情报。

图4 资产-威胁-漏洞安全模型

CNVD按应用程序漏洞、Web应用漏洞、操作系统漏洞、网络设备漏洞、安全产品漏洞和数据库漏洞六个门类对漏洞进行分类，并给出各年的统计数据，如表5所示。

表5 CNVD2015～2018年收录漏洞类型一览?

为得出2015～2018年间漏洞类型的平均占比，可做如公式（1）的计算处理。设年份为i，漏洞类型为j，某年漏洞总数为Si，该年第j项漏洞的百分比为Pij，记第j项漏洞在2015～2018年四年间的百分比为Pj。

通过上述计算方法，可得到2015～2018年四年间六种漏洞类型的平均占比，如表6所示。计算结果与2017年各种漏洞类型占比数据较为接近。

在直方图中，应用程序漏洞遥遥领先，其次为Web应用漏洞。如图5所示。

表6 CNVD2015～2018年间收录漏洞类型平均值?

图5 2015～2018年间CNVD收录漏洞类型占比

在信息安全等级保护的框架中，物理安全、网络安全、主机安全、应用安全和数据安全构成技术评估的五个基本面。对照CNVD的漏洞分类，网络设备漏洞属于网络安全领域，操作系统漏洞属于主机安全领域，而Web应用漏洞、应用程序漏洞则属于应用安全领域。根据上述分析，应用安全领域的漏洞占到76.60%（Web应用漏洞与应用程序漏洞之和）。可推断，在网络安全实践过程中，网络攻击已集中在应用安全领域。对于组织而言，重视自身信息系统的安全漏洞、关注网络安全漏洞情报，已经刻不容缓。

文章来源：《情报探索》网址: http://www.qbtszz.cn/qikandaodu/2021/0710/1445.html