李舟，唐聪，胡建斌，陈钟

（北京大学信息科学技术学院，北京 100871）

面向SaaS云平台的安全漏洞评分方法研究

李舟，唐聪，胡建斌，陈钟

（北京大学信息科学技术学院，北京 100871）

对不同的第三方提供的云服务进行漏洞评分是一项充满挑战的任务。针对一些基于云平台的重要因素，例如业务环境（业务间的依赖关系等），提出了一种新的安全框架VScorer，用于对基于不同需求的云服务进行漏洞评分。通过对VScorer输入具体的业务场景和安全需求，云服务商可以在满足安全需求的基础上获得一个漏洞排名。根据漏洞排名列表，云服务提供商可以修补最关键的漏洞。在此基础上开发了VScorer的原型，并且证实它比现有最具有代表性的安全漏洞评分系统CVSS表现得更为出色。

SaaS；云服务；漏洞评分系统；CVSS

1 引言

云计算越来越受欢迎，它作为大数据的下一代基础设施，应用于许多应用软件中。此外，云计算提供了一种新的商业模式，软件服务和核心计算应要求外包给第三方平台，如苹果的 iCloud和谷歌的应用平台。最近，Ristenpart等[1]指出这项新的商业模式也引入了一系列的风险。因为云平台中的软件和应用服务来自不同的服务商，在这些服务和软件中不可避免地存在许多漏洞。不幸的是，以往的研究[2,3]表明，现有的漏洞发现和风险管理技术不适用于评估和处理业务环境的情况。如图1所示，定义业务环境为某一项业务，业务间的依赖关系如箭头所示。另外，vi用于表示不同服务的漏洞，它呈现不同服务间具体依赖关系图表。……