NIST 提出新型安全指标：识别潜在被利用漏洞
我要评论美国国家标准与技术研究院（NIST）近日公布了一项突破性的提出安全指标 ，旨在评估哪些软件漏洞可能已被利用——即使相关组织尚未察觉 。新型
这项由前NIST专家Peter Mell和网络安全与基础设施安全局（CISA）Jonathan Spring共同完成的安全研究成果《可能被利用的漏洞 ：漏洞利用概率的拟议指标》（NIST CSWP 41）于2025年5月19日发布 ，填补了漏洞管理领域的指标关键空白。研究显示 ，识别已知漏洞中仅有约5%会被实际利用 ，潜被而企业通常每月仅能修复16%的服务器租用利用漏洞漏洞 ，新方法将帮助安全团队更有效地确定修复优先级 。提出
当前漏洞管理主要依赖两种存在明显缺陷的方法 ：
漏洞利用预测评分系统（EPSS） ：预测未来30天内漏洞被利用的可能性 ，但其模型"刻意排除了历史漏洞利用数据作为输入参数" ，安全导致"无法识别过去已被利用的指标漏洞，造成评分失准" 。识别已知被利用漏洞清单（KEV） ：记录确认被利用的源码库潜被漏洞 ，但"可能不够全面 ，利用漏洞且在此研究之前缺乏衡量其覆盖范围的提出计量方法" 。这种预测与确认之间的脱节形成了漏洞优先级排序的关键缺口 ，而新型LEV指标正是为解决这一问题而生。
可能被利用漏洞（LEV）指标详解LEV指标建立在数学模型基础上 ，通过累加EPSS分数随时间的源码下载变化来计算累积利用概率 。研究提出了两种计算变体：LEV和LEV2 。
基础公式LEV(v, d₀, dₙ) ≥ 1 – ∏(1-epss(v, dᵢ) × weight(dᵢ, dₙ, 30))将EPSS分数作为30天窗口预测因子 ，计算资源需求较低 。更精细的LEV2变体将EPSS分数除以30视为单日覆盖值 ，对分数变化响应更灵敏 ，但需要显著更强的处理能力。两种方法都提供随着数据点增加而改进的下限估计值 。模板下载
四大突破性管理能力LEV指标为安全团队提供了前所未有的四种关键能力 ：
通过Expected_Exploited()方程首次实现被利用CVE预期比例的量化测量通过KEV_Exploited()方程开创性地评估KEV清单的全面性识别当前未列入KEV清单的高风险CVE ，实证数据显示存在"数百个概率接近1.0却未被列入清单"的漏洞提供融合"预测数据 、已知信息和统计推断"的复合方法 ，建立更具防御性的优先级策略对行业实践的香港云服务器深远影响LEV指标标志着漏洞管理数学方法的重大进步 ，其设计初衷并非取代而是补充现有工具 。NIST甚至提供了将LEV与现有方法整合的复合方程 ，使组织能更全面地掌握漏洞态势 。
面对漏洞数量远超修复能力的现实困境（组织通常仅能处理16%的漏洞 ，而真正关键的高防服务器漏洞仅占5%），这一新型数学方法有望帮助弥合两者间的巨大鸿沟。
相关文章
Black Basta 勒索软件团伙出道以来至少“赚取” 1.07 亿美元
Security Affairs 网站消息，Black Basta 勒索软件团伙自 2022 年初“出道”以来，成功“感染”了 300 多个受害目标，累计收获赎金超过 1.07 亿美元。按12月4日人2025-12-07
工具往往可以决定网络安全渗透测试或红队演练活动的成败。虽然Kali中的许多工具都已经过验证且稳定可靠，但并不能适合所有渗透测试场景。对于安全红队而言，需要在不同测试需求下，确保有足够的装备来实现测试目2025-12-07
DDoS攻击是一种安全威胁，其目的是破坏应用程序、网站、服务器和路由器等网络资源，从而给受害者造成重大损失。但是，可以通过实施安全最佳实践和提前准备来预防，例如强化网络、配置资源、部署强大的保护措施、2025-12-07
SOC安全运营中心）在组织防护中扮演着重要角色，它保护着组织免受网络攻击和威胁。然而，SOC正面临着诸多问题，如技能短缺、IT环境复杂性增加、警报疲劳等。AI应运而生，正在SOC中发挥着越来越重要的作2025-12-07
随着企业越来越依赖数据，保护数据免遭丢失、破坏和盗窃的重要性已成为C级优先事项。恶意软件是数据丢失的主要原因，而勒索软件是最常见的恶意软件形式之一，它用无法破解的加密方式锁定数据，使其无用。现在，大多2025-12-07
Linux USB 音频驱动漏洞正被恶意 USB 设备在野利用
漏洞概述Linux内核中的USB音频驱动存在一个可能导致内存越界读取的关键漏洞，该漏洞已由SUSE公司的Takashi Iwai通过最新补丁修复。攻击者若获得系统物理访问权限，可利用恶意USB设备实现2025-12-07
最新评论