清理 NVD：综合质量评估、改进与分析
密码学与安全
2020-06-29 v1
摘要
漏洞数据库是关于新兴软件安全问题的重要信息来源。从系统管理员到开发人员再到研究人员，安全专业人员严重依赖这些数据库来跟踪漏洞并分析安全趋势。然而，这些数据库的可靠性和准确性如何？在本文中，我们以国家漏洞数据库（NVD）——美国政府的漏洞信息存储库，堪称行业标准——为对象探讨这一问题。通过系统性调查，我们揭示了 NVD 中存在不一致或不完整的数据，可能影响其实际用途，涉及漏洞发布日期、受影响的供应商与产品名称、漏洞严重度评分以及漏洞类型分类等信息。我们探究了这些差异的程度并确定了自动纠正的方法。最后，我们通过比较使用原始 NVD 与我们使用修正版 NVD 的分析，展示了这些数据问题可能造成的影响。最终，我们对 NVD 的调查不仅产生了改进的漏洞信息源，也为安全社区在此类数据源的整理与使用上提供了重要见解与指导。
引用
@article{arxiv.2006.15074,
title = {Cleaning the NVD: Comprehensive Quality Assessment, Improvements, and Analyses},
author = {Afsah Anwar and Ahmed Abusnaina and Songqing Chen and Frank Li and David Mohaisen},
journal= {arXiv preprint arXiv:2006.15074},
year = {2020}
}
备注
13 pages, 5 figures, 16 tables