4.1.2 漏洞評估

漏洞評估的概念

漏洞( Vulnerability)也被稱為脆弱性，1947年馮。諾依曼建立計算機系統結構理論時認為，計算機系統也有天生的類似基因的缺陷，也可能在使用和發展過程中產生意想不到的問題。20世紀七十至八十年代，早期黑客的出現和第一個計算機病毒的產生，軟件漏洞逐漸引起人們的關注。1970年中期，美國啟動的PA計劃(Protection Analysis Projec,t)和RISOS( Research in Secured Operating Systems)計劃開啟了信息安全漏洞研究工作的序幕。

在各種產品、主機、網絡和復雜信息系統中，安全漏洞以不同形式存在，而且數量逐年增加，利用漏洞造成的各類安全事件層出不窮。攻擊行為或網絡安全事件的發生正越來越多的受到利益驅動的影響，這種“黑色產業鏈”的興起，導致越來越多的網絡終端受害，大量機密信息被竊取，敏感數據信息在互聯網上傳播，并在黑市中待價而沽。工業控制領域以及新技術新應用的安全漏洞、特別是基礎核心系統的安全漏洞已經成為危害國家經濟和發展安全的重要因素。

在三十多年的研究過程中，學術界、產業界以及政策制定者對漏洞給出了很多定義，漏洞本身也隨著信息技術的發展而具有不同的含義與范疇，從最初的基于訪問控制的定義逐步發展到涉及系統安全流程、設計、實施、內部控制等全過程的定義。

1982年，Dennin從系統狀態、訪問控制策略的角度給出了漏洞定義。他認為，系統中主體對對象的訪問是通過訪問控制矩陣實現的，這個訪問控制矩陣就是安全策略的具體實現， 應該明確描述系統中的每一個主體可以執行什么操作、不可以執行什么操作。當系統的操作和安全策略之間相沖突時，就產生了安全漏洞。因此，信息安全漏洞就是指導致訪問控制矩陣所定義的安全策略和系統操作之間沖突的所有因素因此，導致和系統操作。