NVD 美国国家漏洞数据库翻译站点

一、网站简介

NVD（National Vulnerability Database，美国国家漏洞数据库）是全球最权威、最全面的信息安全漏洞数据库之一。由美国国家标准与技术研究院（NIST）于2005年创建并持续维护，NVD基于CVE（通用漏洞披露）标准，为每一条漏洞记录提供深度增强信息，包括CVSS（通用漏洞评分系统）风险评分、影响范围分析、修复建议以及CPE（通用平台枚举）产品映射。作为安全研究者每日必查的权威数据源，NVD支撑着全球数以万计的安全工具与漏洞管理平台的数据同步。

二、公司背景

NVD由美国国家标准与技术研究院（NIST）下属的信息技术实验室负责建设与运营，受美国国土安全部（DHS）国家网络安全分部及US-CERT的联合赞助支持。NIST作为全球顶级的标准化研究机构，在度量衡、信息技术、网络安全等领域享有极高权威。NVD于2005年正式上线，至今已收录超过20万条CVE漏洞记录，并与SCAP（安全内容自动化协议）深度整合，成为全球漏洞管理生态的事实标准。

三、核心功能

• CVE漏洞详情检索：支持通过CVE编号、关键词、CPE产品名称、厂商名称等多种方式精确检索漏洞，每条记录包含漏洞描述、影响版本、严重等级、参考链接等完整信息。
• CVSS风险评分体系：为每条CVE漏洞提供CVSS v2.0和v3.x两套评分，从攻击向量、复杂度、权限要求、用户交互、影响范围等多维度量化漏洞风险，帮助安全团队精准排定修复优先级。
• CPE产品映射：通过通用平台枚举（CPE）标准，将漏洞精确关联到受影响的具体软件产品、版本和厂商，方便企业和开发者快速确认自身资产是否受漏洞影响。
• 数据Feeds同步：提供JSON、XML等多种格式的漏洞数据Feeds，支持按年份增量下载，全球安全厂商和安全工具（如Nessus、Qualys、OpenVAS等）均通过Feeds机制实时同步NVD数据。
• 漏洞趋势与统计仪表盘：提供可视化Dashboard，展示漏洞数量趋势、严重等级分布、常见漏洞类型统计等宏观数据，帮助安全管理者把握整体安全态势。
• CWE弱点分类关联：将每条CVE漏洞关联到对应的CWE（通用弱点枚举），揭示漏洞产生的根本原因，帮助开发者从代码层面消除安全隐患。

四、网站特点

• 全球权威性：由美国政府国家级标准机构NIST背书，是全球漏洞管理领域无可争议的金标准，几乎所有商业安全产品的漏洞库均以NVD为基准。
• 完全免费开放：所有漏洞数据、API接口和数据Feeds均向全球公众免费开放，无需注册即可使用全部功能，极大降低了安全研究的门槛。
• 数据标准统一：严格遵循SCAP协议框架，确保CVE、CPE、CVSS、CWE等安全标准之间的互操作性，实现了漏洞数据的自动化、标准化流转。
• 更新及时性强：与MITRE CVE系统保持实时同步，通常在CVE编号分配后的24-48小时内即可在NVD中查询到增强分析数据。

五、适用人群

• 安全研究员：需要获取最权威的漏洞基础数据，作为漏洞分析、漏洞复现和学术研究的起点，NVD是最可靠的参考来源。
• 企业安全团队/安全运营中心（SOC）：依赖NVD的CVSS评分和CPE映射来评估自身资产风险，制定漏洞修复优先级策略。
• 安全产品开发者：通过NVD的Feeds API将漏洞情报集成到SIEM、漏洞扫描器、威胁情报平台等安全产品中，实现自动化漏洞管理。
• 渗透测试工程师：在进行渗透测试前查阅NVD了解目标系统已知漏洞，辅助制定攻击路径和测试用例。
• 合规审计人员：依据NVD数据评估系统安全状态，满足ISO 27001、PCI-DSS等合规要求中对漏洞管理的规定。

六、应用场景

• 漏洞风险评估：企业安全团队在日常漏洞管理中，以NVD的CVSS评分作为漏洞严重性的首要评判标准，结合资产重要性确定修复优先级，避免盲目修补。
• 安全产品数据源集成：漏洞扫描器（如Nessus）和SIEM平台通过NVD Feeds自动同步最新漏洞信息，确保扫描规则库和告警策略始终处于最新状态。
• 学术研究与论文引用：安全领域的学术论文中，漏洞的权威引用来源几乎都指向NVD或CVE，研究人员通过NVD获取结构化的漏洞数据集进行实证分析。
• 供应链安全评估：企业采购第三方软件时，先在NVD中检索该软件的历史漏洞记录，评估供应商的安全响应能力和产品质量。

七、常见问题（FAQ）

Q：国内能否直接访问NVD网站？
A：可以。NVD（nvd.nist.gov）为美国政府官方网站，在中国大陆网络环境下可以正常直接访问，无需借助任何特殊工具。但由于服务器位于美国，访问速度可能略慢于国内网站。

Q：NVD与CVE是什么关系？
A：CVE是由MITRE维护的漏洞编号系统，提供漏洞的唯一标识符和基本描述；NVD则是在CVE基础上的增强数据库，为CVE条目补充CVSS评分、CPE产品映射、CWE弱点分类和修复建议等深度信息。两者相互独立但紧密协作，可以简单理解为：CVE是词典，NVD是详尽的百科全书。

Q：NVD的数据是否可以商用？
A：NVD的所有数据属于美国政府公共领域资源，完全免费且可自由用于商业用途，不受版权或许可限制。全球众多商业安全产品均直接使用NVD数据。

Q：如何通过API批量获取NVD漏洞数据？
A：NVD提供RESTful API（服务地址：services.nvd.nist.gov/rest/json/cves/2.0），支持按CVE编号、关键词、CPE名称、CVSS评分范围等参数进行查询和批量下载，建议配合API密钥使用以提高请求频率上限。

八、类似网站

• CVE（cve.org）：CVE漏洞编号系统的官方门户，提供漏洞标识符的搜索和分配管理功能。
• CNNVD（cnnvd.org.cn）：中国国家信息安全漏洞库，面向国内用户提供中文漏洞信息服务。
• Vulners（vulners.com）：聚合多源漏洞数据的综合搜索引擎，整合了NVD、Exploit-DB等多个漏洞库。