CAVD漏洞分级指南
一、适用范围
本标准规定了汽车信息安全漏洞危害程度的评价指标和等级划分方法。凡是被中国汽车行业漏洞库（CA VD）收录的漏洞，均适用此分级规范，包括采集的公开漏洞以及收录的未公开漏洞，通用型漏洞及汽车专有漏洞。
二、术语和定义
下列术语和定义适用于本文件。
汽车厂商（一）汽车漏洞（vehicle vulnerability）
汽车漏洞是在智能网联汽车相关的硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，可使攻击者能够在未授权的情况下以远程、短距离或接触的方式进行访问或破坏系统，造成人身、财产的危害或有价值信息的泄漏等危害。
（二）脆弱性组件（vulnerable component）
脆弱性组件指车辆中包含漏洞的组件，通常是软件应用、软件模块、驱动、甚至硬件设备等。攻击者通过利用脆弱性组件中的漏洞来发动对车辆的攻击。
（三）受影响组件（impacted component）
受影响组件指车辆的漏洞被成功利用后遭受危害的组件，如软件应用、硬件设备、网络资源等。受影响组件可以是脆弱性组件本身，可以是车辆中其他软件、硬件或网络组件。
（四）影响范围（impacted scope）
影响范围指车辆漏洞被成功利用后遭受危害的资源的范围。若受漏洞影响的资源超出了脆弱性组件的范围，则受影响组件和脆弱性组件不同；若受漏洞影响的资源局限于脆弱性组
件内部，则受影响组件和脆弱性组件相同。
三、漏洞评分要素
本标准使用三级指标对漏洞进行评分，分别是场景参数指标、威胁参数指标和影响参数指标。
（一）场景参数
场景参数指发动攻击前，对要利用的漏洞相关技术掌握情况、对影响车辆的状态及范围进行描述的相关因子，包括技术掌握、车辆工况、攻击范围等三类因子。
1、技术掌握
技术掌握指对被利用的攻击漏洞了解程度以及对技术的掌握程度的总和考量，分为低，中，高三等：
●低：模糊知悉漏洞位置，掌握攻击流程，包括攻击工具、攻击步骤等；
●中：可获取详细的漏洞资料及信息，在“低”的基础上，知悉漏洞的相关原理；
●高：在“中”的基础上，熟练掌握漏洞触发工作模式，已积累成熟的相关原理。
2、车辆工况
车辆工况指车辆被攻击时所处的状态，以行驶速度区分，分为静止、低速、中速、较高速、高速等四等：
●静止：汽车处于驻车、怠速状态，即汽车车速为0；
●低速：汽车处于0到15km/h行驶；
●中速：汽车处于16km/h到25km/h行驶；
●较高速：汽车处于26km/h到50km/h行驶；
●高速：汽车处于50km/h以上行驶
CAVD漏洞分级指南
一、适用范围
本标准规定了汽车信息安全漏洞危害程度的评价指标和等级划分方法。凡是被中国汽车行业漏洞库（CA VD）收录的漏洞，均适用此分级规范，包括采集的公开漏洞以及收录的未公开漏洞，通用型漏洞及汽车专有漏洞。
二、术语和定义
下列术语和定义适用于本文件。
（一）汽车漏洞（vehicle vulnerability）
汽车漏洞是在智能网联汽车相关的硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，可使
攻击者能够在未授权的情况下以远程、短距离或接触的方式进行访问或破坏系统，造成人身、财产的危害或有价值信息的泄漏等危害。
（二）脆弱性组件（vulnerable component）
脆弱性组件指车辆中包含漏洞的组件，通常是软件应用、软件模块、驱动、甚至硬件设备等。攻击者通过利用脆弱性组件中的漏洞来发动对车辆的攻击。
（三）受影响组件（impacted component）
受影响组件指车辆的漏洞被成功利用后遭受危害的组件，如软件应用、硬件设备、网络资源等。受影响组件可以是脆弱性组件本身，可以是车辆中其他软件、硬件或网络组件。
（四）影响范围（impacted scope）
影响范围指车辆漏洞被成功利用后遭受危害的资源的范围。若受漏洞影响的资源超出了脆弱性组件的范围，则受影响组件和脆弱性组件不同；若受漏洞影响的资源局限于脆弱性组
3、攻击区域
攻击区域指攻击汽车目标的数量与种类的总和考量，分为单车攻击、单一车型攻击、多车型攻击等三等：
●单车攻击：只对一辆车可进行漏洞攻击；
●单一车型攻击：可利用该漏洞对同一车型进行攻击；
●多车型攻击：可利用该漏洞可对超过同一车型进行攻击。
（二）威胁参数
威胁参数指对于评定的漏洞，发动攻击时而成功引发该漏洞的相关因子，分为窗口、知识技能、设备、攻击范围等四类因子。
1、窗口
窗口指发动攻击时利用该漏洞时，所采用的攻击途径，分为远程、近距离、本地、物理接触等四等：
●远程：攻击者可以通过互联网利用该漏洞对汽车发动攻击，比如4G、3G等；
●近距离：攻击者可以通过共享的物理或逻辑利用该漏洞对汽车发动攻击，比如蓝
牙、Wi-Fi、IEEE 802.11、本地IP子网等；
●本地：攻击者通过读/写操作或运行应用程序/工具来利用该漏洞，即本地需要进
行参与，该漏洞才能被利用，比如攻击者需要本地登录、需要用户去下载、接受
恶意的内容；
●物理接触：攻击者必须物理接触汽车才能发动攻击，例如通过OBD II对汽车总
线进行攻击。
2、知识技能
知识技能指发动攻击时，使用基本原理、方法、知识体受众面等综合考量，即发动攻
击时的难易程度，分为业余者、熟练操作者、汽车安全专家、多领域安全专家等四等：
●业余者：攻击者利用现有的攻击执行简单的指令来发动攻击，但不会对攻击方法
和攻击工具进行改进；
●熟练操作者：攻击者有一定的安全领域或汽车领域的相关知识，并能进行相关的
业务，知道简单和流行的攻击流程，可对所利用的攻击工具进行改善；
●汽车安全专家：熟悉汽车ECU等关键零部件底层的算法、协议、硬件、架构或
安全领域最新定义的攻击技术和工具、牢固的密码学知识、经典的攻击方法；
●多领域专家：攻击者以漏洞利用发动攻击，不同的攻击步骤上，需要不同专业领
域的知识。
3、设备
设备指发掘和利用漏洞和发动攻击所使用的设备的高级程度，分为公开的硬件设备和软件、公开的专用硬件设备和软件、定制或专有的硬件设备和软件、多种定制或专有的硬件和软件等四等：
●公开的硬件设备和软件：发动攻击时所使用的设备是已经公开可得到的，传统的
安全领域的比较常见的，比如协议分析仪、下载器、通用IT设备-笔记本等等；
●公开的专用硬件设备和软件：攻击者不容易得到的设备，但可以通过购买或者开
发攻击脚本，比如车载通信设备，vehicle spy，CANoe，USRP等；
●定制或专有的硬件设备和软件：该设备是特殊生产的或是特别复杂的软件，该设
备或软件是受控的，或者是非常昂贵的，比如某种国家机构专用的脱壳工具；
●多种定制或专有的硬件和软件：攻击者在发动攻击时，不同的攻击步骤上，需要
不同专业定制的设备或软件。
4、攻击范围
攻击范围指的是发动攻击时，利用漏洞，攻击组件目标的个数，分为单一、多个、几乎全部等三等：
发布评论