總機(jī)：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號(hào)信源大廈3206-3211室 郵編：510660
安全公告編號(hào):CNTA-2016-0042
為進(jìn)一步肯定漏洞報(bào)送者（白帽子）在防范漏洞安全風(fēng)險(xiǎn)的積極作用，做好CNVD漏洞積分管理，為后續(xù)實(shí)施CNVD激勵(lì)機(jī)制提供客觀評(píng)價(jià)依據(jù)，現(xiàn)公布CNVD原創(chuàng)漏洞積分評(píng)分細(xì)則：
一、評(píng)分依據(jù)原則
根據(jù)客觀性、可度量的基本原則，同時(shí)要兼顧對(duì)研究發(fā)現(xiàn)漏洞新技術(shù)、利用新技巧以及發(fā)現(xiàn)重大漏洞安全威脅的權(quán)重傾斜。對(duì)客觀情況的度量采用CVSS 2.0標(biāo)準(zhǔn)的的評(píng)分原則，對(duì)單個(gè)漏洞進(jìn)行基本向量評(píng)分，并設(shè)置影響的目標(biāo)對(duì)象設(shè)置權(quán)重系數(shù)。
對(duì)于通用軟硬件漏洞以及通過較復(fù)雜技術(shù)、技巧發(fā)現(xiàn)的漏洞給予一定的額外加分。對(duì)于有可能造成國(guó)家黨政機(jī)關(guān)、重要信息系統(tǒng)部門相關(guān)系統(tǒng)運(yùn)行安全和信息泄露風(fēng)險(xiǎn)的，對(duì)于有可能造成社會(huì)公眾大規(guī)模信息泄露風(fēng)險(xiǎn)的、造成大規(guī)模攻擊威脅的，給予一定的額外加分。
二、評(píng)分計(jì)算規(guī)則
基本得分=單個(gè)漏洞CVSS評(píng)分*權(quán)重系數(shù)（0.1-1.0）
總得分=基本得分+額外加分
三、評(píng)分參考指標(biāo)
（一）權(quán)重系數(shù)參考表（按行業(yè)、通用軟硬件進(jìn)行分類）
| 黨政機(jī)關(guān) | 縣級(jí)網(wǎng)站 | 地市級(jí)網(wǎng)站 | 省廳級(jí)網(wǎng)站 | 中央部委級(jí)網(wǎng)站 |
|---|---|---|---|---|
| 系數(shù) | 0.2-0.3 | 0.4-0.5 | 0.6-0.8 | 0.9-1.0 |
| 重要行業(yè) | 互聯(lián)網(wǎng)金融、保險(xiǎn)、證券等單位 | 地方國(guó)有重要行業(yè)單位 | 中央直屬大型國(guó)有重要行業(yè)單位、地方重要行業(yè)監(jiān)管部門 | 中央或部委級(jí)重要行業(yè)監(jiān)管單位 |
|---|---|---|---|---|
| 系數(shù) | 0.5 | 0.6 | 0.6-0.8 | 0.9-1.0 |
| 教育及其他行業(yè)單位 | 一般高校 (其他行業(yè)參照高校) |
知名高校 (其他行業(yè)參照高校) |
知名高校（985或部屬知名高校\其他行業(yè)參照） |
|---|---|---|---|
| 系數(shù) | 0.2 | 0.4 | 0.5-0.6 |
| 通用軟硬件漏洞 | 一般漏洞 | 影響一定規(guī)模數(shù)量用戶 | 影響較大規(guī)模數(shù)量用戶 | 影響較大規(guī)模數(shù)量用戶（且包含政府和重要行業(yè)單位） | 互聯(lián)網(wǎng)上廣泛應(yīng)用的軟硬件產(chǎn)品 |
|---|---|---|---|---|---|
| 系數(shù) | 0.6 | 0.8 | 1.0 | 1.0+額外加分 | 1.0+額外加分 |
（二）額外加分參考表
| 加分情況 | 原創(chuàng)技術(shù)和新奇技巧 | 國(guó)家黨政機(jī)關(guān)、重要信息系統(tǒng)部門相關(guān)系統(tǒng)運(yùn)行安全和信息泄露風(fēng)險(xiǎn) | 有可能造成社會(huì)公眾大規(guī)模信息泄露風(fēng)險(xiǎn) | 影響十分廣泛的情形（含黨政機(jī)關(guān)） |
|---|---|---|---|---|
| 分值 | 10-20 | 10-20 | 20+ | 30+ |
四、相關(guān)說明
漏洞提交者可登陸CNVD網(wǎng)站，在“用戶中心”———“原創(chuàng)漏洞獎(jiǎng)金”頁面查看當(dāng)前積分情況。此前在CNVD上提交的漏洞CNVD秘書處將回溯進(jìn)打分(需要有一定時(shí)間周期才能補(bǔ)充完整)。如對(duì)漏洞評(píng)分有相關(guān)異議，可郵件向vsupport@cert.org.cn反映，CNVD秘書處將及時(shí)回復(fù)。
CNVD激勵(lì)機(jī)制待制定推出,敬請(qǐng)關(guān)注。