熊 琦，易 锦，刘 晖，刘 林

(中国信息安全测评中心信息资源处，北京 100085)

根据国际著名信息安全咨询师FOREMAN及相关专家给出的定义，漏洞管理是一个循环的多步骤过程［1］，面向互联网、各种信息系统及部署在其上各种软硬件中所存在的漏洞，主要包括漏洞的标识、分类、修补和缓解4个步骤，以避免漏洞被恶意利用而给信息系统用户带来损失。漏洞作为一种特殊的管控对象具有如下几种性质:

(1)时效性。漏洞信息的价值在于从被发现到被公开披露前的时间段内所涉及到的系统软硬件均处于没有任何防御措施的状态;

(2)秘密性。漏洞是一种商业机密，只有在不为大多数人所知的情况下才有价值;

(3)可利用性。漏洞可以被用来绕过涉及软硬件系统的安全机制，获得原本不能得到的安全权限，从而达到窃取用户信息，甚至控制入侵计算机的目的。

根据CNNVD［2］搜集的漏洞数据和 CNCERT发布的网络安全态势报告［3］，可以发现漏洞信息已经成为目前网络犯罪的根源，以漏洞为起点的地下产业市场已经形成。根据公安机关提供的数据［4］，2009年我国地下产业链的市值已经超过2.38亿元，其造成的损失高达76亿元。因此，漏洞作为网络犯罪的根源，对其进行严格管控尤为重要，目前各国政府和网络安全机构已经引起了重视，并采取了一系列措施，取得了一定的成效。

信息技术最发达的美国走在世界的前列，抢先发布了多个与漏洞相关的政策法规，把强化漏洞管控作为一个重要的举措［5］。……