ICS 35.020 CCS L70 YD 中华人民共和国通信行业标准 YD/T 2388—20XX 代替 YD/T 2388-2011 网络脆弱性指数评估方法 Index assessment methods for network vulnerability （报批稿） [点击此处添加本稿完成日期 ] [××××] -[××]-[××]发布 [××××] -[××]-[××]实施 中华人民共和国工业和信息化部 发 布 YD/T 2388—20XX I 目　　次 前　　言 ............................................................................................................................................................ II 1 范围 ................................................................................................................................................................. 1 2 规范性引用文件 ............................................................................................................................................. 1 3 术语和定义 ..................................................................................................................................................... 1 4 网络脆弱性指数评估体系 ............................................................................................................................. 2 4.1 网络脆弱性指数建立原则 ...................................................................................................................... 2 4.2 网络脆弱性指数评估计算体系 .............................................................................................................. 2 4.3 网络脆弱性评价 ...................................................................................................................................... 4 5 网络脆弱性特征定义 ..................................................................................................................................... 4 5.1 特征定义原则 .......................................................................................................................................... 4 5.2 脆弱性特征定义 ...................................................................................................................................... 4 6 网络脆弱性分类 ............................................................................................................................................. 6 6.1 分类指导原则 .......................................................................................................................................... 6 6.2 具体分类 .................................................................................................................................................. 6 附录 A（资料性）网络脆弱性指数计算方法 ................................................................................................. 8 YD/T 2388—20XX II 前　　言 本文件按照 GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本文件代替 YD/T 2388—2011《网络脆弱性指数评估方法》，与 YD/T 2387—2011相比，除结构调 整和编辑性改动外，主要技术变化如下： ——更改了术语和定义； ——更改了网络脆弱性指数建立原则； ——更改了2011年版中网络脆弱性指数评估计算体系为网络脆弱性指数评估计算方法 ，修改了部 分内容； ——更改了2011年版中脆弱性特征定义为具体特征定义，修改了部分内容； ——新增了附录中网络脆弱性指数计算示例。 本文件由中国通信标准化协会提出并归口。 本文件牵头起草单位：国防科技大学计算机学院、广州大学网络空间先进技术研究院 、国家计算 机网络应急技术处理协调中心、 鹏城实验室 。 本文件参与起草单位： 中国信息通信研究院、 湖南星汉数智科技有限公司、西北工业大学、山东 中创软件商用中间件股份有限公司、中国科学院计算技术所、湖南蚁坊软件有限公司、四川亿览态势 科技有限公司、恒安嘉新（北京）科技有限公司、北京天融信网络安全技术有限公司、西安邮电大学、 上海数据分析与处理技术研究所。 本文件主要起草人：贾焰、杨行、韩伟红、周斌、李树栋、李爱平、张伟哲、江荣、亓玉璐、王 震、赵晓娟、朱争、刘海天、谢浩程、钟浩成、于晗、崔婷婷、何文杰 本文件于 2011年首次发布，本次为第一次修订。 YD/T 2388—20XX 1 1　范围 本文件规定了 网络脆弱性指数评估方法 。 本文件适用于计算机网络应急响应组织评估 网络设计 、实现、配置等方面的脆弱性，也可供其他 相关部门参考使用。本文件不适用于评估网络管理方面脆弱性，比如人员安全、物理环境安全等。 2　规范性引用文件 本文件没有规范性引用文件。 3　术语和定义 下列术语和定义适用于本文件。 3.1 资产 asset 对组织具有价值的信息资源，是安全策略保护的对象。 3.2 可用性 availability 信息对授权实体可访问和可使用的特性。 3.3 保密性 confidentiality 信息对未授权的实体不可用和不泄露的特性。 3.4 完整性 integraty 信息对未授权的实体不可更改和不可破坏的特性。 3.5 脆弱性 vulnerability 单个或一组资产（ 3.1）存在的可以被多个攻击利用的弱点。 3.6 网络脆弱性 network vulnerability 被监控网络在相同的攻击环境中易于遭受攻击的程度。 3.7 脆弱性指数 vulnerability index 反映网络脆弱性程度的指示数据。在设定的取值范围内，数值越大，说明该网络越脆弱。 网络脆弱性指数评估方法 YD/T 2388—20XX 24　网络脆弱性指数评估体系 4.1　网络脆弱性指数建立原则 网络脆弱性指数选取建立宜遵循以下的原则： a) 真实性。即网络脆弱性指数应真实反映出被评估网络存在的安全隐患的大小； b) 广泛性。即网络脆弱性指数能够为不同的网络、系统及数据环境服务； c)