服务器、存储、网络产品购买热线：400-860-6708 ERP、管理软件购买热线：400-018-7700云服务产品销售热线：400-607-6657
浪潮集团

如何购买

浪潮官方商城

浪潮云官方商城

天元数据网

云ERP官方商城

集团简介

新闻公告

市场活动

联系我们

加入我们

漏洞响应策略

简介 如何报告漏洞 漏洞响应流程 漏洞修复信息发布 答谢机制 漏洞接收范围


首页 > 产品安全通告 > 漏洞响应策略

简介

浪潮致力于提供安全可靠的产品和服务，我们的目标是及时为客户提供处理漏洞所需的信息、指导意见和风险缓解方案。浪潮认为与安全研究人员建立关系并促进安全研究是我们安全第一承诺的重要组成部分。我们鼓励安全研究人员与我们合作，将与浪潮产品相关的安全漏洞主动报告给浪潮产品安全事件响应团队 (PSIRT)，浪潮PSIRT负责协调相关的响应和披露事项。

如何报告漏洞

安全漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，可以使攻击者能够在未授权的情况下访问或破坏系统。 如果您在浪潮云数据中心产品中发现安全漏洞，请立即向我们报告。 安全研究人员、行业组织、供应商和其他无法获得技术支持的用户应通过电子邮件直接向浪潮PSIRT发送漏洞报告。请使用我们的PGP公钥（key ID0xC483FD05)加密邮件内容，并发送邮件至sec@inspur.com，邮件内容应尽量详细，包括： (1)受影响的产品及其版本； (2)漏洞类型，可选择使用CWE等分类法; (3)漏洞等级和影响; (4)潜在漏洞的发现方式，请尽量详细填写，包括流程/步骤/截图/重现方法等； (5)潜在漏洞的利用证明及POC； (6)可能的漏洞披露计划。 浪潮PSIRT依据漏洞响应流程对上报的潜在安全漏洞进行处理，有关浪潮如何解决安全问题的更多信息，请参阅：漏洞响应流程

漏洞响应流程

漏洞接收：主动监控和接收漏洞上报者上报的潜在安全漏洞和问题，浪潮PSIRT会在收到漏洞的7个自然日内对漏洞上报者给予答复。

漏洞确认：验证潜在安全漏洞和问题是否影响公司产品安全，并评估风险，确定漏洞等级。 浪潮PSIRT使用通用漏洞评分系统（CVSS）对漏洞评分，CVSS 3.1 用户指南。

漏洞修复：制定漏洞风险缓解和修复方案，验证漏洞修复效果，关闭漏洞，给出产品升级包或补丁。

漏洞披露：在规避和补丁可用（或发布新版本）的情况下，披露漏洞信息。

漏洞反馈：漏洞披露后，监控补救措施的有效性，收集客户反馈的问题和建议，必要时对补丁包/升级包更新。

在整个漏洞处理的过程中，浪潮PSIRT会严格控制漏洞信息的范围，将之限制在仅处理漏洞的相关人员之间传递；同时也要求漏洞上报者对此漏洞进行保密，直到浪潮公司对外公开SA。

漏洞修复信息发布

通常，我们会通过浪潮安全通告（如果适用）向客户传达补救措施，包括如下两种形式：

安全公告（Security Notice，简称SN）：提供安全主题相关的general信息，当外界发现并关注浪潮产品漏洞信息，但浪潮尚未确认任何技术信息；

安全预警（Security Advisory，简称SA）：提供经确认的相关技术信息，包括但不限于规避方案、解决方案。

答谢机制

为了表达我们对外部漏洞报告者的诚挚谢意，INSPUR PSIRT设立了漏洞发现奖励计划，对外部漏洞报告者进行奖励。欢迎全球安全研究人员上报安全漏洞。

漏洞接收范围

服务器

服务器管理软件

人工智能管理套件

存储

云海平台

大数据

安全产品

关于浪潮

集团简介 企业文化 董事长致辞 加入我们 联系我们 关注我们

新闻与活动

新闻公告 市场活动 科技战“疫”

如何购买

需求工单 售前咨询 查找经销商

探索浪潮

通用服务器 存储 人工智能 爱城市网 浪潮云 浪潮云ERP

支持与服务

支持下载 视频中心 服务进度查询 安全通告

快速链接

合作伙伴生态 电子采购平台 投行项目 投资者关系 道德遵从

在社交媒体上关注我们

©1996 - 2020 INSPUR Co., Ltd. 鲁ICP备05019369号

鲁公网安备 37010202001184号
隐私政策
浪潮集团

拨打咨询电话