CVEvsNIST

CVE

CVE 为每个公开的安全漏洞分配唯一编号（如 CVE-2021-44228），是安全行业沟通漏洞信息的通用语言。说「Log4Shell」别人可能不懂，说「CVE-2021-44228」全世界安全人员都知道。

NIST

NIST 发布的网络安全框架（CSF）和特别出版物（SP 800 系列）是全球最广泛采用的安全标准。NIST CSF 的五大功能：识别、保护、检测、响应、恢复。

CVE

• 格式：CVE-年份-序号
• 由 MITRE 维护，全球统一标准
• CVSS 评分衡量漏洞严重性（0-10 分）

NIST

• 美国国家标准机构
• CSF 框架是全球安全标准
• SP 800 系列覆盖各安全领域

CVE

为公开披露的安全漏洞分配唯一标识符的全球标准编号系统

NIST

美国国家标准与技术研究院发布的网络安全框架和标准体系

CVE

• 漏洞信息的标准化沟通
• 补丁管理的优先级排序
• 合规审计的漏洞追踪

NIST

• 企业安全体系的规划和建设
• 合规认证的基础框架
• 安全控制措施的选择和实施

CVE

CVE 系统由 MITRE 于 1999 年创建，为每个公开披露的安全漏洞分配唯一标识符。CVE 编号是安全行业的通用语言，用于漏洞通报、补丁管理和合规审计。每个 CVE 通常附带 CVSS（通用漏洞评分系统）评分，从 0 到 10 衡量严重性。2024 年新增 CVE 超过 30000 个，反映了软件生态的复杂性和安全研究的活跃度。CVE 的局限在于：编号分配有延迟、描述可能不够详细、且不包含未公开的漏洞。

NIST

NIST Cybersecurity Framework（CSF）提供了组织管理网络安全风险的通用框架，2024 年发布的 CSF 2.0 新增了「治理」功能。SP 800-53 定义了安全控制措施目录，SP 800-61 定义了事件响应流程。虽然 NIST 是美国标准，但因其全面性和实用性被全球企业广泛采用，也是 SOC 2、FedRAMP 等合规认证的基础。