NVD、漏洞库CVE、漏洞库CNVD、漏洞库CNNVD——这四个名字你大概率在安全圈里都听过。漏洞库但真要问它们之间什么关系、漏洞库各自管什么，漏洞库不少人还是漏洞库含糊的。我在这行干了几年，漏洞库面试过的漏洞库新人里十个有八个说不清楚CNNVD和CNVD的区别，更别提CVE和NVD之间的漏洞库从属关系了。

先从这个最常被搞混的漏洞库说起。CVE是漏洞库Common Vulnerabilities and Exposures的缩写，由MITRE公司维护，漏洞库本质上是漏洞库给每个漏洞发一张“身份证号”。格式就是漏洞库CVE-2024-XXXXX这种。它不提供漏洞的技术细节，只负责编号和简要描述。你可以把它理解成一本书的ISBN号，知道编号能定位到书，但书里写了什么它不管。

NVD（National Vulnerability Database）是NIST在CVE基础上做的增强版。每个CVE编号进了NVD之后，会被打上CVSS评分、CWE分类、受影响产品列表这些结构化数据。说白了，CVE告诉你“有这么个漏洞”，NVD告诉你“这个漏洞有多严重、影响什么、怎么利用”。做漏洞管理的人日常查得最多的就是NVD，因为它的API好用，数据也规范。但NVD有个老问题——富化速度跟不上CVE发布速度。2024年初那阵子积压了几千个漏洞没打分，圈子里骂声一片。

国内这边，CNVD（国家信息安全漏洞共享平台）归国家互联网应急中心管，CNNVD（国家信息安全漏洞库）归中国信息安全测评中心管。两个都是国家级漏洞库，但定位有差异。CNVD更偏向应急响应和行业协调，CNNVD更侧重漏洞分析和等级评定。实际工作中，厂商报送漏洞有时两个平台都要走一遍流程，挺折腾的。我接触过的一个路由器固件漏洞，厂商先在CNVD提交了，过了一周CNNVD那边又要求补充材料，两边格式还不一样。

除了这四个“正规军”，还有一些垂直领域的漏洞库值得关注。比如Exploit-DB，专门收集漏洞利用代码，渗透测试的人离不开它。Packet Storm Security也是个老牌站点，漏洞公告和工具都有。GitHub上有个叫CVEProject/cvelist的仓库，MITRE官方维护的CVE列表，做自动化分析的人经常直接拉这个库。

厂商自己的漏洞库也不能忽略。微软的Security Update Guide、Adobe的Security Bulletins、Oracle的Critical Patch Updates——这些是补丁管理的源头。很多企业安全团队每天的工作就是从这些地方抓更新，然后推送到内部漏洞管理平台。我之前待过的一家公司，运维同事手动盯着微软的补丁日，每个月的第二个周二跟过节似的。

开源社区这边，OSV（Open Source Vulnerabilities）数据库这两年用得越来越多。它专门针对开源软件包，跟GitHub的Dependabot打通了。你项目里用了哪个有漏洞的npm包，OSV能直接告诉你。这个思路比传统CVE更贴近开发者的实际需求——毕竟开发者关心的是“我用的这个库有没有问题”，而不是“CVE-2024-12345是什么”。

还有一类容易被忽视的：区域性和行业性漏洞库。日本的JVN、德国的CERT-Bund、工业控制系统方面的ICS-CERT，这些在特定场景下比通用漏洞库更管用。做工控安全的如果只盯NVD，很多西门子、施耐德的设备漏洞根本覆盖不到。

漏洞库这东西，数量多不等于好用。关键还是看你的使用场景——做合规检查用CNNVD，做技术分析用NVD，做渗透测试用Exploit-DB，做开发安全用OSV。搞清楚每个库的定位和短板，比背下来一堆名字有用得多。

(责任编辑：热点)