DB21 T 4170-2025 网络安全漏洞风险级别评估指南.pdf

1、ICS91.120.25CCS L 7021辽宁省地方标准DB21/T 41702025网络安全漏洞风险级别评估指南Guidelines for cybersecurity vulnerability risk classifiedassessment2025-08-30 发布2025-09-30 实施辽宁省市场监督管理局发 布DB21/T 41702025I目次前言.III1 范围.12 规范性引用文件.13 术语和定义.14 风险级别评估框架及流程.15 漏洞分类.26 资产分类.27 风险级别评估.37.1 漏洞风险严重程度识别.37.2 资产重要性等级识别.37.3 漏洞风险级别评估.

2、4附录 A（资料性）网络安全漏洞风险及网络安全资产三级分类示例表.5附录 B（资料性）网络安全漏洞风险与严重程度对应关系及资产重要性等级识别示例表.10附录 C（资料性）网络安全漏洞风险级别评估示例.17DB21/T 41702025III前言本文件按照GB/T 1.12020标准化工作导则第1部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由辽宁省工业和信息化厅提出并归口。本文件起草单位：北方实验室（沈阳）股份有限公司、辽宁鲲鹏生态创新中心有限公司、辽宁省通信管理局、辽宁省福利彩票中心、东北大学。本文件主要起草人：张

3、健楠、袁洪朋、张建宇、刘文志、韩晓娜、隋大智、王海涛、段晓祥、李琳、王继宏、王明俊、石绍群、刘兴华、马超、牛晓雷、何永建、闫丽杰、孙辉航、蒋绪军、任铭、李成、姚羽。本文件发布实施后，任何单位和个人如有问题和意见建议，均可以通过来电和来函等方式进行反馈，我们将及时答复并认真处理，根据实际情况依法进行评估及复审。归口管理部门通讯地址：辽宁省工业和信息化厅（沈阳市皇姑区北陵大街45-2号），联系电话：024-86893258。标准起草单位通讯地址：北方实验室（沈阳）股份有限公司（辽宁省沈阳市浑南区智慧三街199号），联系电话：400-664-5588。DB21/T 417020251网络安全漏洞风险

4、级别评估指南1 范围本文件提供了网络安全漏洞风险级别评估指南的术语和定义、网络安全漏洞分类、网络安全资产分类、网络安全漏洞风险定义和网络安全漏洞风险级别评估的建议。本文件适用于网络产品和服务的提供者、网络运营者、网络安全评估机构在产品生产、技术研发、网络运营、检测评估、漏洞管理等相关活动中进行的漏洞风险级别评估。2 规范性引用文件下列文件中的内容通过文中的规范性引用而构成本指南必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本指南；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本指南。GB/T 209842022信息安全技术 信息安全风险评估方法GB/T 250692

5、022信息安全技术 术语GB/T 284582020信息安全技术 安全漏洞标识与描述规范GB/T 302762020信息安全技术 信息安全漏洞管理规范GB/T 302792020信息安全技术 网络安全漏洞分类分级指南3 术语和定义GB/T 250692022、GB/T 209842022、GB/T 284582020、GB/T 302762020、GB/T 302792020界定的术语和定义适用于本文件。4 风险级别评估框架及流程网络安全漏洞风险级别评估基本要素包括漏洞严重程度和资产重要性等级两方面，基于这两方面要素开展漏洞风险级别评估，基本要素的关系见图 1。图 1 漏洞风险级别评估要素及其

6、关系DB21/T 417020252开展网络安全漏洞风险级别评估时，要素之间的关系和评估流程如下：a)网络安全的核心是资产，资产存在漏洞。漏洞包括漏洞风险类别和关联资产两个属性；b)确认漏洞对应的漏洞风险分类及关联资产分类；c)根据上述两个分类属性确认结果，建立漏洞风险分类与漏洞严重程度关系表、网络安全资产分类与资产重要性等级关系表；d)根据漏洞严重程度和关联资产重要性等级的结果，通过漏洞风险级别评估矩阵计算出漏洞风险分值；e)根据漏洞风险分值结果判定漏洞最终风险。5 漏洞分类本指南引用 GB/T 302792020 中 5.1 漏洞分类，通过技术特征提取、影响范围关联、结构化命名，进一步细化

7、扩展第三级网络安全漏洞子类。技术特征提取、影响范围关联、结构化命名三者联动形成“技术路径清晰、危害可评估、命名标准化”的网络安全漏洞三级分类方法，具体步骤如下：a)枚举技术特征列表：针对每个二级分类，梳理其涉及的具体技术缺陷或攻击手法（如“输入验证错误”下的“缓冲区溢出”“正则表达式注入”等）；b)匹配影响范围：为每个技术特征明确对应的直接安全影响（基于保密性、完整性、可用性维度），如“目录遍历”对应“敏感文件读取（保密性）”“恶意文件上传（完整性）”，同一技术特征可能涉及多个影响需全部标注；c)命名三级子类：采用“技术特征+影响结果/场景限定”模式命名，包括单一影响型（如“缓冲区溢出漏洞”）

8、多影响型（如“路径遍历-任意文件下载”）、场景限定型（如“API接口-未授权访问”），确保名称唯一且标准化。依据网络安全漏洞三级分类方法，具体细化扩展出的网络安全漏洞风险三级分类示例见附录 A.1。6 资产分类本指南引用 GB/T 209842022 中 5.2.1.4 资产分类，通过功能维度解析、形式特征提取、组件结构划分，进一步细化扩展第三级网络安全资产子类。功能维度解析、形式特征提取、组件结构划分三者联动形成“业务定位清晰、形态特征明确、架构层级标准化”的网络安全资产三级分类方法，具体步骤如下：a)功能维度解析：针对每个二级资产分类，分析其承载的业务用途或技术功能，梳理出具体功能属性（

9、如“数据存储”“网络通信”“业务支撑”），并映射到具体资产类型。例如，在“存储设备”中，按功能维度可区分“主磁盘阵列”（生产环境数据存储）与“备份磁盘阵列”（数据备份专用）；b)形式特征提取：从资产的物理形态、技术架构或终端类型等形式维度，提取差异化特征（如“便携性”“传输介质”“架构分层”）。例如，“便携计算机”基于物理形态的便携性归类，“Web前端应用”基于技术架构的分层特性归类；c)组件结构划分：根据资产在系统架构中的角色或组成部分（如“核心层组件”“边界防护组件”“基础设施组件”）进行层级划分。例如，“核心路由器”属于网络架构核心层组件，“入侵防御系统”属于安全防护边界组件，“云计算平

10、台”属于基础设施支撑组件。依据网络安全资产三级分类方法，具体细化扩展出的网络安全资产三级分类示例见附录 A.2。DB21/T 4170202537 风险级别评估7.1 漏洞风险严重程度识别定义网络安全漏洞风险严重程度，将细化扩展出的网络安全漏洞与漏洞风险严重程度建立对应关系。a)参考GB/T 209842022，依据漏洞风险对业务信息和系统服务所造成的侵害程度，分5个级别对漏洞风险严重程度进行定义，见表1；表 1 漏洞风险严重程度定义表等级标识定义1很低无法利用但影响使用的安全方面缺陷，对业务信息和系统服务基本不造成侵害2低轻微信息泄露漏洞、配置错误和解析漏洞、资源管理错误，对业务信息和系统服

11、务造成一般侵害3中等一般数据泄露漏洞、逻辑设计缺陷或安全功能缺陷、完整性破坏或调试信息泄露漏洞，对业务信息和系统服务造成侵害4高重要业务敏感数据泄露漏洞、重要业务逻辑漏洞、重要业务功能未授权漏洞，对业务信息和系统服务造成严重侵害5很高直接获取权限的漏洞、直接导致严重的信息泄露漏洞、直接导致严重影响的逻辑漏洞，对业务信息和系统服务造成特别严重侵害b)对细化扩展出的网络安全漏洞风险，基于漏洞利用的难易程度、漏洞对数据及系统造成的影响等因素，通过维度等级划分、关联矩阵构建、判定规则定义、数据验证校准四个环节，形成漏洞风险与严重程度的系统化映射体系，建立网络安全漏洞风险与严重程度的对应关系表，具体步骤

12、如下：1)划分维度等级：将“利用难易程度”划分为很低、低、中等、高、很高五级（如“很低”表示无需特殊条件即可利用，“很高”表示需复杂攻击链或特殊权限）；将“影响程度”划分为轻微、一般、中等、严重、很高五级（如“轻微”对应非敏感数据泄露，“很高”对应核心业务系统瘫痪或大规模敏感数据泄露），形成标准化五级评估体系；2)构建关联矩阵：以“利用难易程度”为横轴（5 级）、“影响程度”为纵轴（5 级），建立二维矩阵，通过交叉组合形成 25 个评估单元，每个单元对应唯一的风险等级（如“利用难度低+影响程度一般”对应“低风险”，“利用难度很高+影响程度很高”对应“很高风险”）；3)定义判定规则：参照表 1

13、漏洞风险严重程度定义表，为每个风险等级（1-5 级）制定具体映射规则。依据漏洞风险严重程度识别方法，参照网络安全漏洞风险三级分类示例，形成网络安全漏洞风险所对应的严重程度关系示例表见附录 B.1。7.2 资产重要性等级识别定义网络安全资产重要性等级，将细化扩展出的网络安全资产与重要性等级建立对应关系。a)参考GB/T 209842022，分5个级别对资产重要性等级进行定义，见表2；表 2 资产重要性等级定义表等级标识定义1很低资产遭到破坏后，对被测组织的业务对象造成很小的影响，甚至忽略不计2低资产遭到破坏后，对被测组织的业务对象造成较低的影响DB21/T 417020254表 2 资产重要性等

14、级定义表（续）等级标识定义3中等资产遭到破坏后，对被测组织的业务对象造成中等程度的影响4高资产遭到破坏后，对被测组织的业务对象造成比较严重的影响5很高资产遭到破坏后，对被测组织的业务对象造成非常严重的影响b)从资产保密性、完整性、可用性三方面，通过要素赋值与加权计算，对网络安全资产重要性等级进行识别和赋值。依据资产重要性等级定义表，结合加权计算结果，形成网络安全资产重要性等级识别示例见表 B.2。7.3 漏洞风险级别评估7.3.1 漏洞风险级别评估矩阵基于漏洞严重程度和资产重要性等级，建立漏洞风险级别评估矩阵，见表 3。表 3 漏洞风险级别评估矩阵表资产重要性等级漏洞严重程度很低（1）低（2）

15、中等（3）高（4）很高（5）很低111.522.53低21.522.533.5中等322.533.54高42.533.544.5很高533.544.557.3.2 漏洞风险级别评估准则依据漏洞风险级别评估矩阵所定义的风险值，制定如下漏洞风险级别评估准则，见表 4。表 4 漏洞风险级别评估准则风险等级判定准则超危经漏洞严重程度和资产重要性等级两项综合评估，矩阵判定结果为 4.5 分及以上的漏洞风险高危经漏洞严重程度和资产重要性等级两项综合评估，矩阵判定结果为 3.5 或 4 分的漏洞风险中危经漏洞严重程度和资产重要性等级两项综合评估，矩阵判定结果为 2.5 或 3 分的漏洞风险低危经漏洞严重程度

16、和资产重要性等级两项综合评估，矩阵判定结果为 1、1.5 或 2 分的漏洞风险DB21/T 417020255附 录 A（资料性）网络安全漏洞风险及网络安全资产三级分类示例表A.1 网络安全漏洞风险三级分类示例表网络安全漏洞风险三级分类示例表见表 A.1。表 A.1 网络安全漏洞风险分类示例表序号漏洞大类漏洞小类漏洞子类1代码问题资源管理错误资源管理问题不可控的内存分配2内存泄露3敏感信息存储于上锁不正确的内存空间4关键资源路径错误5输入验证错误缓冲区错误栈缓冲区溢出漏洞6堆缓冲区溢出漏洞7缓冲区越界读8注入格式化字符串错误使用外部控制的格式化字符串9FastJson 反序列化漏洞10跨站脚本

17、存储 xss 漏洞11反射 xss 漏洞12Dom 型 xss 漏洞13命令注入shell 命令注入14远程命令执行漏洞15本地命令执行漏洞16代码注入模板注入17木马文件上传18YAML 远程代码注入19LDAP 注入20表达式注入21XML 外部实体注入22Java 反序列化漏洞23XPath 注入24NoSQL 注入25SQL 注入报错注入26联合查询 sql 注入27盲注28二次 SQL 注入29堆叠注入30排序注入31路径遍历不可信的搜索路径32绝对路径遍历漏洞DB21/T 417020256表 A.1 网络安全漏洞风险分类示例表（续）序号漏洞大类漏洞小类漏洞子类33路径遍历相对路径

18、遍历漏洞34任意文件下载漏洞35后置链接重定向36暗链或外链37跨站请求伪造未验证的 CSRF 令牌38无 CSRF 令牌保护的敏感操作39数字错误数字错误整数溢出错误40除零错误41未经验证的输入数据42竞争条件问题竞争条件问题验证码不失效43验证码重放攻击44处理逻辑错误处理逻辑错误手机验证码返回前端45任意密码重置漏洞46任意用户登录漏洞47支付逻辑漏洞48加密问题加密问题使用过时的加密算法49硬编码密钥50不安全的加密模式51加密密钥泄露52缺乏加密53授权问题信任管理问题会话永不过期54Http 拆分55权限许可和访问控制问题垂直越权漏洞56平行越权漏洞57未授权访问漏洞58弱口令问

19、题59数据转换问题数据转换问题字符串转数字错误60数组转换错误61对象转换错误62未声明功能未声明功能内置或匿名用户63残留功能64预留后门65配置错误配置错误配置错误关键参数篡改错误66空闲会话超时错误67配置错误引起的系统崩溃68环境问题信息泄露信息泄露敏感信息泄露69日志信息泄露70配置或调试信息泄露DB21/T 417020257表 A.1 网络安全漏洞风险分类示例表（续）序号漏洞大类漏洞小类漏洞子类71侧信道信息泄露72故障注入故障注入拒绝服务攻击73错误处理不足74其他其他其他其他A.2 网络安全资产三级分类示例表网络安全资产三级分类示例表见表 A.2。表 A.2 网络安全资产三级

20、分类示例表序号资产大类资产小类资产子类1计算机设备大型机大型机应用服务器2大型机数据库服务器3大型机消息服务器4大型机计算服务器5大型机虚拟化服务器6大型机备份或测试服务器7小型机小型机应用服务器8小型机数据库服务器9小型机消息服务器10小型机计算服务器11小型机虚拟化服务器12小型机备份或测试服务器13服务器应用服务器14数据库服务器15消息服务器16计算服务器17虚拟化服务器18运维管理服务器19备份或测试服务器20工作站管理员站21工程师站22操作员站23台式计算机运维管理台式计算机24用户台式计算机25开发台式计算机DB21/T 417020258表 A.2 网络安全资产三级分类示例表

21、续)序号资产大类资产小类资产子类26计算机设备便携计算机运维管理便携计算机27用户便携计算机28开发便携计算机29存储设备磁带机磁带机30磁盘阵列主磁盘阵列31备份磁盘阵列32磁带磁带33光盘光盘34软盘软盘35移动硬盘移动硬盘36智能终端设备感知节点设备（物联网感知终端）物联网感知终端和摄像头37智能终端38移动终端移动终端39网络设备路由器接入路由器40汇聚路由器41核心路由器42无线路由器43网关认证网关44物联网网关45多媒体网关46应用网关47交换机核心交换机48汇聚交换机49接入交换机50管理交换机51传输线路光纤裸光纤52数字专线53互联网专线54光纤宽带55双绞线办公局域网络

22、56数据中心网络57安全设备防火墙互联网出口防火墙58区域边界防火墙DB21/T 417020259表 A.2 网络安全资产三级分类示例表(续)序号资产大类资产小类资产子类59安全设备入侵检测/防护系统入侵检测60入侵防御61应用安全防护62终端管理63威胁感知64日志审计65上网行为管理66防病毒网关网络防病毒67服务器防病毒68终端防病毒69VPNIPSec VPN70SSL VPN71应用系统应用系统管理服务端应用72Web 前端应用73App 应用74应用系统应用系统小程序应用75公众号76应用软件办公软件办公软件77各类工具软件各类工具软件78移动应用软件移动应用软件79系统软件操作

23、系统服务器操作系统80工作站操作系统81终端操作系统82其他操作系统83数据库管理系统业务数据库84日志数据库85配置数据库86中间件Web 中间件87消息中间件88服务总线89其他中间件90开发系统开发系统91语句包语句包92支撑平台云计算平台云计算平台93大数据平台大数据平台94服务接口服务接口服务接口95数据资料源代码源代码96数据库数据业务数据DB21/T 4170202510表 A.2 网络安全资产三级分类示例表（续）序号资产大类资产小类资产子类97数据资料数据库数据日志和调试数据98配置数据99系统文档系统文档100运行管理规范运行管理规范101计划计划102报告报告103用户手册

24、用户手册104办公设备打印机打印机105复印机复印机106扫描仪扫描仪107传真机传真机108保障设备UPSUPS109变电设备变电设备110空调空调111保险柜保险柜112保障设备文件柜文件柜113门禁门禁114消防设施消防设施DB21/T 4170202511附 录 B（资料性）网络安全漏洞风险与严重程度对应关系及资产重要性等级识别示例表B.1 网络安全漏洞风险与严重程度对应关系示例表网络安全漏洞风险与严重程度对应关系示例表见表 B.1。表 B.1 网络安全漏洞风险与严重程度对应关系示例表序号漏洞分类漏洞严重程度1不可控的内存分配很低2内存泄露低3敏感信息存储于上锁不正确的内存空间很低4关

25、键资源路径错误低5栈缓冲区溢出漏洞很高6堆缓冲区溢出漏洞高7缓冲区越界读中等8使用外部控制的格式化字符串低9FastJson 反序列化漏洞中等10存储 xss 漏洞高11反射 xss 漏洞低12Dom 型 xss 漏洞低13shell 命令注入很高14远程命令执行漏洞很高15本地命令执行漏洞高16模板注入很高17木马文件上传很高18YAML 远程代码注入高19LDAP 注入高20表达式注入高21XML 外部实体注入中等22Java 反序列化漏洞很高23XPath 注入中等24NoSQL 注入中等25报错注入高26联合查询 sql 注入高27盲注高28二次 SQL 注入中等29堆叠注入高30排序

26、注入中等31不可信的搜索路径中等DB21/T 4170202512表 B.1 网络安全漏洞风险与严重程度对应关系示例表（续）序号漏洞分类漏洞严重程度32绝对路径遍历漏洞高33相对路径遍历漏洞低34任意文件下载漏洞中等35重定向很低36暗链或外链很低37未验证的 CSRF 令牌很低38无 CSRF 令牌保护的敏感操作低39整数溢出错误低40除零错误低41未经验证的输入数据低42验证码不失效中等43验证码重放攻击中等44手机验证码返回前端高45任意密码重置漏洞高46任意用户登录漏洞高47支付逻辑漏洞高48使用过时的加密算法低49硬编码密钥中等50不安全的加密模式低51加密密钥泄露低52缺乏加密低5

27、3会话永不过期低54Http 拆分很低55垂直越权漏洞高56平行越权漏洞中等57未授权访问漏洞中等58弱口令问题高59字符串转数字错误很低60数组转换错误低61对象转换错误很低62内置或匿名用户中等63残留功能低64预留后门高65关键参数篡改错误中等66空闲会话超时错误低67配置错误引起的系统崩溃中等68敏感信息泄露高69日志信息泄露中等DB21/T 4170202513表 B.1 网络安全漏洞风险与严重程度对应关系示例表（续）序号漏洞分类漏洞严重程度70配置或调试信息泄露低71侧信道信息泄露很低72拒绝服务攻击低73错误处理不足低74其他很低B.2 网络安全资产重要性等级识别示例表网络安全资

28、产重要性等级识别示例表见表 B.2。表 B.2 网络安全资产重要性等级识别示例表序号资产分类保密性赋值完整性赋值可用性赋值综合计算资产重要性等级1大型机应用服务器3555很高2大型机数据库服务器5555很高3大型机消息服务器3544高4大型机计算服务器3544高5大型机虚拟化服务器5545很高6大型机备份或测试服务器3223中等7小型机应用服务器3555很高8小型机数据库服务器5555很高9小型机消息服务器3544高10小型机计算服务器3544高11小型机虚拟化服务器5545很高12小型机备份或测试服务器3223中等13应用服务器3555很高14数据库服务器5555很高15消息服务器3544高

29、16计算服务器3544高17虚拟化服务器5545很高18运维管理服务器4434高19备份或测试服务器3223中等20管理员站3344高21工程师站3344高22操作员站2233中等23运维管理台式计算机2233中等24用户台式计算机1111很低25开发台式计算机2122低26运维管理便携计算机2233中等DB21/T 4170202514表 B.2 网络安全资产重要性等级识别示例表（续）序号资产分类保密性赋值完整性赋值可用性赋值综合计算资产重要性等级27用户便携计算机1111很低28开发便携计算机2122低29磁带机2212低30主磁盘阵列5455很高31备份磁盘阵列5434高32磁带2212

30、低33光盘2112低34软盘1111很低35移动硬盘2112低36物联网感知终端和摄像头等1111很低37智能终端1111很低38移动终端1111很低39接入路由器1111很低40汇聚路由器1132低41核心路由器3454高42无线路由器1111很低43认证网关3454高44物联网网关1454高45多媒体网关1454高46应用网关1454高47核心交换机3555很高48汇聚交换机1333中等49接入交换机1111很低50管理交换机1111很低51裸光纤1353中等52数字专线3454高53互联网专线1353中等54光纤宽带1111很低55办公局域网络1111很低56数据中等心网络3454高57

31、互联网出口防火墙4455很高58区域边界防火墙1333中等59入侵检测1333中等60入侵防御1333中等61应用安全防护1333中等62终端管理3444高63威胁感知1333中等DB21/T 4170202515表 B.2 网络安全资产重要性等级识别示例表（续）序号资产分类保密性赋值完整性赋值可用性赋值综合计算资产重要性等级64日志审计4455很高65上网行为管理1333中等66网络防病毒1333中等67服务器防病毒2454高68终端防病毒1333中等69IPSec VPN1343中等70SSL VPN1333中等71管理服务端应用3454高72Web 前端应用1243中等73App 应用1

32、243中等74小程序应用1243中等75公众号1232低76办公软件1111很低77各类工具软件1111很低78移动应用软件1111很低79服务器操作系统3454高80工作站操作系统1333中等81终端操作系统1222低82其他操作系统1222低83业务数据库5555很高84日志数据库3454高85配置数据库4344高86Web 中等间件1142低87消息中等间件1132低88服务总线3333中等89其他中等间件1132低90开发系统1322低91语句包1111很低92云计算平台5555很高93大数据平台5555很高94服务接口2243中等95源代码3413中等96业务数据5555很高97日志

33、和调试数据3223中等98配置数据3333中等99系统文档2112低100运行管理规范1111很低DB21/T 4170202516表 B.2 网络安全资产重要性等级识别示例表（续）序号资产分类保密性赋值完整性赋值可用性赋值综合计算资产重要性等级101计划1111很低102报告1111很低103用户手册1111很低104打印机1111很低105复印机1111很低106扫描仪1111很低107传真机1111很低108UPS1142低109变电设备1153中等110空调1153中等111保险柜1132低112文件柜1132低113门禁1153中等114消防设施1153中等DB21/T 417020

34、2517附 录 C（资料性）网络安全漏洞风险级别评估示例C.1 示例 1：XXX 系统 Shiro 反序列化漏洞风险级别评估示例C.1.1 漏洞名称XXX 系统 Shiro 反序列化漏洞。C.1.2 漏洞危害描述攻击者可以利用反序列化漏洞，在目标服务器上执行任意代码，可以完全控制受影响的系统应用服务器，进行任意操作。C.1.3 漏洞风险级别评估包括但不限于以下内容：a）漏洞严重程度识别：1）确定漏洞类型为：Java 反序列化；2）查漏洞分类与严重程度对应关系表，漏洞严重程度为：很高（5）。b）资产重要性等级识别：1）确定漏洞关联的资产类型为：应用服务器；2）查资产分类与资产重要性等级对应关系表

35、资产重要性等级为：很高（5）。c）漏洞风险级别评估：通过漏洞风险级别评估矩阵，可以判定漏洞风险为：超危（5）。C.2 示例 2：XXX 系统普通用户弱口令漏洞风险级别评估示例C.2.1 漏洞名称XXX 系统普通用户弱口令。C.2.2 漏洞危害描述攻击者可以利用普通用户弱口令漏洞，直接登录用户站点，查看用户相关信息。C.2.3 漏洞风险级别评估包括但不限于以下内容：a）漏洞严重程度识别：1）确定漏洞类型为：弱口令问题；2）查漏洞分类与严重程度对应关系表，漏洞严重程度为：高（4）。b）资产重要性等级识别：1）确定漏洞关联的资产类型为：Web 前端应用。2）查资产分类与资产重要性等级对应关系表，资

36、产重要性等级为：中等（3）。c）漏洞风险级别评估：通过漏洞风险级别评估矩阵，可以判定漏洞风险为：高危（3.5）。C.3 示例 3：XXX 系统日志信息泄露漏洞风险级别评估示例C.3.1 漏洞名称XXX 系统日志信息泄露。C.3.2 漏洞危害描述攻击者可以通过日志信息进行分析利用，可以利用日志信息开展进一步攻击。C.3.3 漏洞风险级别评估DB21/T 4170202518包括但不限于以下内容：a）漏洞严重程度识别：1）确定漏洞类型为：日志信息泄露；2）查漏洞分类与严重程度对应关系表，漏洞严重程度为：中等（3）。b）资产重要性等级识别：1）确定漏洞关联的资产类型为：配置和日志数据；2）查资产分类

37、与资产重要性等级对应关系表，资产重要性等级为：中等（3）。c）漏洞风险级别评估：通过漏洞风险级别评估矩阵，可以判定漏洞风险为：中危（3）。C.4 示例 4：XXX 系统返回中间件版本信息漏洞风险级别评估示例C.4.1 漏洞名称XXX 系统返回中间件版本信息。C.4.2 漏洞危害描述攻击者可以通过中间件版本信息开展进一步攻击。C.4.3 漏洞风险级别评估包括但不限于以下内容：a）漏洞严重程度识别：1）确定漏洞类型为：配置或调试信息泄露；2）查漏洞分类与严重程度对应关系表，漏洞严重程度为：低（2）；b）资产重要性等级识别：1）确定漏洞关联的资产类型为：Web 中间件；2）查资产分类与资产重要性等级对应关系表，资产重要性等级为：低（2）。c）漏洞风险级别评估：通过漏洞风险级别评估矩阵，可以判定漏洞风险为：低危（2）。