ICS25040

CCSN.10

江蘇省地方標準

DB32/T4274—2022

工業互聯網安全脆弱性分析與檢測規范

Industrialinternetsecurityvulnerabilityanalysisandtestingstandards

2022-05-20發布2022-06-20實施

江蘇省市場監督管理局發布

中國標準出版社出版

DB32/T4274—2022

目次

前言

…………………………Ⅲ

范圍

1………………………1

規范性引用文件

2…………………………1

術語定義和縮略語

3、………………………1

術語和定義

3.1…………………………1

縮略語

3.2………………2

總則

4………………………2

分析與檢測流程

5…………………………2

分析

6………………………3

威脅分類與樣本庫的構建

6.1…………3

攻擊樣本庫構建

6.2……………………5

分析步驟與要求

6.3……………………7

檢測

7………………………12

弱點脆弱性檢測總體要求

7.1…………12

環境與封裝

7.2…………………………12

調用

7.3API……………13

指針安全

7.4……………14

初始化與清理環節

7.5…………………14

錯誤處理

7.6……………16

時間和狀態

7.7…………………………16

通用安全特性

7.8………………………18

數據處理

7.9……………20

代碼質量

7.10…………………………25

弱點脆弱性檢測列表

7.11……………27

安全脆弱性檢測流程與方法

7.12……………………27

服務

8………………………28

服務機構基本能力要求

8.1……………28

服務流程

8.2……………28

附錄規范性弱點脆弱性檢測列表

A()…………………30

附錄資料性工業互聯網系統脆弱性檢測記錄表

B()…………………33

附錄資料性工業互聯網系統脆弱性漏洞訪談信息記錄表

C()………34

附錄資料性模型的建立

D()……………35

附錄資料性工業互聯網系統脆弱性漏洞檢測指標及參考權重

E()()………………37

Ⅰ

DB32/T4274—2022

附錄規范性工業互聯網系統脆弱性檢測專家打分指標值分類說明

F()……………38

附錄資料性判斷矩陣表

G()……………40

附錄資料性工業互聯網系統漏洞嚴重性等級評定表

H()……………42

附錄資料性工業互聯網系統脆弱性計算示例

I()……………………43

參考文獻

……………………47

Ⅱ

DB32/T4274—2022

前言

本文件按照標準化工作導則第部分標準化文件的結構和起草規則的規定

GB/T1.1—2020《1:》

起草

。

請注意本文件的某些內容可能涉及專利本文件的發布機構不承擔識別專利的責任

。。

本文件由江蘇省信息安全標準化技術委員會提出并歸口

。

本文件起草單位南京理工大學南京工業職業技術大學五邑大學東南大學南京航空航天大學

:、、、、、

江蘇省工業與信息化廳江蘇省產品質量監督檢驗研究院江蘇大象信息技術服務有限公司江蘇省中

、、、

天互聯科技有限公司江蘇三臺山數據應用研究院有限公司江蘇遠恒教育科技有限公司江蘇省信息

、、、

網絡安全協會

。

本文件主要起草人李千目侯君金雷戴晟武斌張建航龍華秋曹玖新時宗勝蔣劍練智超

:、、、、、、、、、、、

韓皓李冬成牛博威孟慶杰蔡文杰袁鍵鄧高見陳彥文

、、、、、、、。

Ⅲ

DB32/T4274—2022

工業互聯網安全脆弱性分析與檢測規范

1范圍

本文件規定了工業互聯網系統威脅分類與攻擊樣本庫構建的步驟和一般要求以及安全脆弱性檢

,

測流程與方法分析與檢測服務機構基本能力要求與服務流程要求

、。

本文件適用于工業互聯網系統安全脆弱性分析與檢測脆弱性嚴重性綜合指數計算與等級劃分

,

檢測

。

2規范性引用文件

本文件沒有規范性引用文件

。

3術語定義和縮略語

、

31術語和定義

.

下列術語和定義適用于本文件

。

311

..

工業互聯網industrialinternet

通過對人數據與機器等的全面連接激發工業化生產力的新型基礎設施應用模式和工業生態

、,、。

注屬于泛互聯網的目錄分類

:。

312

..

工業互聯網系統industrialinternetsystem

面向工業全生命周期依托工業互聯網在傳感網絡技術大數據技術云計算技術邊緣計算技術

,,、、、、

自動化技術人工智能等基礎上通過智能化的感知人機交互決策和執行技術實現設計過程制造過

、,、、,、

程和制造裝備智能化信息技術智能技術與裝備制造技術深度融合與集成的系統

,、。

313

..

漏洞vulnerability

計算機信息系統在需求設計實現配置運行等過程中有意或無意產生的缺陷

、、、、,。

注這些缺陷以不同形式存在于計算機信息系統的各個層次和環節之中一旦被惡意主體所利用就會對計算機信

:,,

息系統的安全造成損害