在安全厂商大肆营销的被滥势头下，用户很容易将一些术语混为一谈。网络例如，安全经常混淆漏洞、术语威胁和攻击。被滥如果不同的网络安全厂商或从业者使用不同的词语来传达同一件事，难免会造成困惑，安全导致合作伙伴之间很难有效协同工作，术语最终效果大打折扣。被滥本文介绍了七个被滥用的网络网络安全术语，并举例说明它们如何使用，安全供从业者参考。术语

缺陷(flaw)

又名：弱点

定义：缺陷是被滥应用程序中的任何非预期功能。缺陷可能成为漏洞，网络但并非所有缺陷都是安全漏洞。该术语常用于应用程序安全。

正确使用该术语的例子：该应用程序存在一个让用户可以访问客户数据的缺陷。

错误使用该术语的例子：该缺陷是开发人员有意设计的。

漏洞(vulnerability)

定义：漏洞是设备、应用程序或安全软件等资产中可以被利用的缺陷。源码库解决漏洞是网络安全行业最顽固、未解决或部分解决的问题之一。漏洞在攻击过程中可以被利用。

正确使用该术语的例子：漏洞在攻击期间被利用。

错误使用该术语的例子：漏洞是无害的。

发现结果(finding)

又名：发现的缺陷/瑕疵/漏洞

定义：发现结果就是确认缺陷或漏洞。静态应用程序安全测试(SAST)工具和动态应用程序安全测试(DAST)工具可识别可能是已知漏洞、也可能不是已知漏洞的发现结果。

正确使用该术语的例子：我们的SAST工具找到了五个发现结果。

错误使用该术语的例子：一个发现结果是漏洞利用程序。

漏洞利用程序(exploit)

定义：漏洞利用程序是旨在利用漏洞的程序。Veracode的博文解释，漏洞利用程序是将漏洞变为武器，以实现特定的云南idc服务商目的。漏洞利用程序在攻击过程中可能被用来获取访问权、提升权限或执行其他功能。

正确使用该术语的例子：漏洞利用程序在攻击期间被使用。

错误使用该术语的例子：我们分析了软件，证实了存在漏洞利用程序。

图1 常被误用的术语在攻防生命周期中的位置

威胁(threat)

定义：威胁是尚未发生的潜在攻击。

正确使用该术语的例子：勒索软件是我们组织面临的一种威胁。

错误使用该术语的例子：发现结果是一种威胁。

攻击(attack)

定义：攻击是正在发生或之前发生的活跃的恶意活动。攻击可能会利用一个或多个漏洞来达到最终目的。

正确使用该术语的例子：漏洞利用程序在攻击期间被使用。

错误使用该术语的例子：攻击是一个漏洞。

检测(detection)

又名：警报

定义：检测是服务器托管在确定性阈值内实时或追溯识别攻击。我们发现，提到漏洞时，检测这个术语常常被误认为“发现结果”。这一重要区别清楚地表明，检测是识别攻击，而不是识别漏洞。

正确使用该术语的例子：检测到一起正在进行的攻击。

错误使用该术语的例子：检测是一个漏洞。

参考链接：https://www.forrester.com/blogs/the-top-7-most-misused-terms-in-cybersecurity/