2025年漏洞数据关键问题研究报告（英文版）-CSA云安全联盟

报告主要探讨了当前漏洞数据管理面临的挑战、现有系统的缺陷、替代方案以及未来发展趋势。随着网络安全形势日益复杂，漏洞数据管理的有效性至关重要，报告旨在揭示问题并提出改进方向。

1. 漏洞数据的现状与挑战：随着网络安全行业发展，漏洞管理愈发重要。CVE和CVSS作为核心系统，在数据质量、处理能力等方面面临诸多挑战。CVE存在数据质量和准确性问题，部分缺乏关键元数据，信息更新不及时 ，且存在企业隐匿漏洞、数据检索困难、通知维护者不及时、数据库缺乏互操作性、争议解决流程繁琐以及报告复杂等问题。CVSS则在风险优先级排序、情境感知和评分系统的静态性上存在缺陷，难以准确评估漏洞风险。

2. 实际案例与定制解决方案：以cURL的CVE - 2025 - 19909漏洞事件为例，凸显了CVE和CVSS系统在沟通、评分准确性和信息审核方面的不足。为应对这些问题，许多公司开发定制解决方案，如Ruby Advisory Database、VulnDB和GitHub Advisory Database，它们分别通过完善信息、改进评分和加强与开发流程的集成，提升了漏洞管理的效率和准确性。

3. CVSS的替代方案：EPSS通过逻辑回归预测漏洞被利用的概率，能更精准地帮助组织分配资源；SSVC利用决策树为不同利益相关者提供定制化的决策流程，强调定性输入和情境相关性；VPR结合技术影响和实时威胁情报进行动态评分，有效缩小关键漏洞范围 。这些替代方案从不同角度弥补了CVSS的缺陷，为漏洞管理提供了更有效的途径。

4. 威胁建模框架：介绍多种威胁建模框架。STRIDE从常见安全威胁分类出发，助力在设计阶段发现漏洞；LINDDUN专注于隐私威胁识别；PASTA以风险为核心，通过多阶段流程保障系统安全；VAST强调可扩展性、自动化和集成性，适用于大型企业；TRIKE基于风险管理进行安全审计；DREAD则通过对五个维度的分析评估漏洞影响 。它们在不同场景下各有优势，为全面识别和应对威胁提供了有力支持。

5. 未来方向与新兴趋势：随着技术发展，漏洞数据面临大数据规模和多样性的挑战。预计到2025年，CVE数量将大幅增长，软件漏洞种类也显著增多。AI和机器学习在漏洞管理中的应用愈发重要，可用于漏洞评分、检测和集成到系统中，提升漏洞管理的效率和准确性。但同时，使用历史数据进行评分可能会受到CVSS旧版本静态性的影响。

展开全文

免责声明：我们尊重知识产权、数据隐私，只做内容的收集、整理及分享，报告内容来源于网络,报告版权归原撰写发布机构所有，通过公开合法渠道获得，如涉及侵权，请及时联系我们删除，如对报告内容存疑，请与撰写、发布机构联系