DAY48 NVD美國國家漏洞資料庫/VANS 資通安全弱點通報系統

• 一. NVD美國國家漏洞資料庫
• 二. VANS 資通安全弱點通報系統

DAY47中講了漏洞的資訊
CVE 哪一個漏洞
CWE 哪一類弱點
CVSS 有多嚴重

NVD 就是這些資料去哪裡看

一. NVD美國國家漏洞資料庫

National Vulnerability Database
美國國家漏洞資料庫
由NIST(美國國家標準與技術研究院)維運
NVD用來查漏洞資料的地方

通常在NVD中會有：

• CVE ID (CVE識別碼)
• 漏洞描述
• 受影響的產品
• 受影響的版本
• CVSS 漏洞分數
• CWE 常見弱點列舉
• 參考連結
• 供應商安全公告
• 修補參考
• 其他弱點分析資訊

NVD負責整合這些標準資料

但NVD不是負責創造CVE的地方

2026年資訊
因為CVE近期數量增長太快
所以：
NVD改成優先處理特定高優先級的CVE
例如：

• 已知遭利用漏洞目錄中的漏洞
• 政府使用的軟體
• 關鍵軟體
• 等等

其餘的CVE也會進入NVD但不會立即獲得完整的增補分析

二. VANS 資通安全弱點通報系統

Vulnerability Analysis and Notice System
資通安全弱點通報系統
可以提交資訊資產盤點資料，取得公開揭露的安全漏洞資訊
並進行後續弱點追蹤及管理

簡易流程會是：
組織把資訊資產盤點的資料

上傳至VANS

比對已公開漏洞

回饋哪些資產可能受到影響

最後再追蹤處理

但它不是弱點掃描器
VANS要提交指定格式的資訊資產資料，來取得已公開的揭露安全漏洞
弱點掃描則是主動去掃描主機、服務、應用程式等等

IPAS 115-1 Q33
企業應定期比對資產是否存在已公開弱點，這個通報機制簡稱是什麼？
C:VANS 資通安全弱點通報系統