【安全委员会例会纪要】
轮值主持人：guoxiaoqi
下次主持人：jinjin
与会人：liujingang09, yanxiaobing2020, zhujianwei001，gwei3，guoxiaoqi,
jinjin，闫志全，张少宁, wangyue, zhanghua, fanjiachen, wangyiru, lubing, xiujianfeng,
崔雷, wangweiyang,
白光磊,
马德斌,
张建均
会议时间：2021年2月24日
16:00－18:00
会议地点：zoom会议
会议主题：
1.漏洞感知系统
主讲人：闫志全
问题：仍然存在误报情况，提升数据准备性需要数据化，自动审核导致的误报需要归总起来；漏洞感知时间需要明确处理时间轴
计划：1.系统稳定性：稳定性指标->稳定性方案->方案评审->方案实施->稳定性验证->灾备手册
2.
数据准确性：完善fixversion方案、对缺少startversion进行补充
3.自动审核：仅针对系统无法处理的情况进行人工审核
4.时效性：目标小于24小时
计划需要排具体时间，是否有需求需要优先处理
稳定性，时效性，误报率，漏报率（持续改进）
2.社区漏洞处理
主讲人：guoxiaoqi
月初发布紧急漏洞5个，均为9分以上，达成社区SLA目标
月度版本解决漏洞108个 ，SA 50个，补丁测试中，未发布
（预计3月3日发布）
遗留CVE评审：jetty
CVE-2020-27218 CVE-2019-10241 暂时挂起，和maintainer一起讨论升级策略，持续跟踪
js-jquery1 CVE-2019-11358 CVE-2019-11023
作为衰退软件处理
3.CVE可视化视图方案讨论
主讲人：liujingang
背景：今年需要对CVE感知和修复的情况进行度量，对CVE进行可视化管理，度量指标包括：漏洞感知时长、CVS
issue首次响应时长、漏洞SA补丁修复时长和漏洞SA发布时长等7个度量指标。
方案需细化的问题：人工录入的CVE issue，CVE-manage刷新CVE
issue时从NVD中同步CVE首次公开时间。
度量维度基于严重级别、sig组、版本分支分类
遗留问题：版本维度是通过里程碑或分支？跟release-management团队（胡峰）确认
4.安全委员会准成员以及成员主要工作介绍
介绍链接：https://gitee.com/openeuler/security-committee/blob/master/README.md
欢迎新成员崔雷加入openEuler安全委员会！
新成员介绍：
姓名：崔雷
引荐人：刘金刚
导师：刘金刚
邮箱：cuilei@kylinos.cn
所在团队：麒麟软件安全团队ta
安全委员会后续工作改进点：
对于不受影响的漏洞，安全委员成员每个发布周期需要去分析，静默修复的CVE补发SA，误报CVE汇总上报软件所。
已挂起的漏洞，安全委员会成员持续跟踪。
遗留任务：向nvd注册openEuler
CPE —— liujingang
5. SA发布流程
主讲人：zhangjianjun
检查csv文档是否有更新(时间在发布时间内)->校验组件CVE->issue对应PR->核验数据，生成对应分支的cvrf
下次会议计划时间：2021年3月3日，会议组织：jinjin
会议组织轮值表：
liujingang09@huawei.com [@liujingang09]
yanxiaobing@huawei.com [@yanxiaobing2020]
zhujianwei7@huawei.com [@zhujianwei001]
11015100@qq.com [@gwei3]
guoxiaoqi2@huawei.com [@guoxiaoqi]
yanglijin@huawei.com [@jinjin] 2021年3月3日