KaiwuDB PSIRT

接收渠道

• -专用安全邮箱：security@kaiwudb.org.cn
• -公开漏洞库监测（CVE/CNVD/CNNVD/NVD）。
• -内部安全测试与代码审计发现。
• -第三方安全机构通报。

接收处理步骤

• -登记建档：收到漏洞报告后 24 小时内，分配唯一漏洞编号，记录报告来源、时间、产品版本、漏洞描述等信息。
• -回执确认：向报告者发送确认回执，告知漏洞已受理及后续流程，建立沟通渠道。
• -信息补充：若报告信息不足（如缺少复现步骤、POC），主动与报告者沟通获取补充信息。
• -初筛过滤：排除非安全问题、重复漏洞、用户配置错误等不属于产品安全漏洞的报告。

分析内容

• -漏洞验证：在测试环境中复现漏洞，确认漏洞真实存在。
• -根因分析：定位漏洞产生的根本原因（代码缺陷、设计缺陷、配置问题等）。
• -影响范围评估：确定受影响的产品版本、组件、部署模式。
• -严重程度评分：使用 CVSS 评分标准进行评分。
• -利用难度评估：评估漏洞被利用的技术门槛和前置条件。
• -业务影响分析：评估漏洞被利用后对客户业务的实际影响。

修复策略

• -制定修复方案：由内核研发团队制定代码修复方案，PSIRT 审核方案的安全性和完整性。
• -紧急缓解措施：对于高危漏洞，在正式补丁发布前，先提供临时缓解方案（如配置变更、访问控制策略、功能关闭等）。
• -补丁开发：研发团队按修复方案进行代码修改，遵循安全编码规范。
• -多版本适配：针对所有受影响的支持版本分别开发补丁。
• -修复自检：开发完成后进行单元测试和漏洞复现验证。

披露原则

• -负责任披露：在补丁或缓解措施可用后再公开漏洞细节。
• -分级披露：高危漏洞优先通知签约客户，通用漏洞统一发布安全公告。
• -信息充分：公告包含漏洞描述、影响版本、风险评估、修复方案、缓解措施。
• -漏洞来源：漏洞从邮件提交，或公开信息收集。

披露渠道

• -客户优先通知：对签约客户，在公告发布前 48 小时通过技术支持渠道提前通知。
• -官方安全公告：在官网 安全公告 页面发布正式安全通告。

跟踪内容

• -补丁部署监控：跟踪客户补丁升级进度，识别未及时修复的高风险客户。
• -问题反馈收集：收集客户在补丁应用过程中遇到的问题。
• -漏洞利用监测：监测公开渠道是否出现漏洞利用代码或在野利用情报。
• -补丁更新：若发现补丁存在缺陷，及时发布修订版补丁。
• -根因复盘：高危漏洞修复完成后，组织复盘会议，分析漏洞产生根因，制定预防措施。
• -流程改进：将复盘结论转化为安全编码规范、测试用例、自动化检测规则。