Campos de vulnerabilidade da aplicação
As vulnerabilidades são criadas automaticamente quando os registros são baixados do Banco de dados nacional de vulnerabilidades (NVD), Enumeração de pontos fracos comuns (CWE) ou integrações de terceiros. O NVD e o CWE são armazenados em Bibliotecas em Resposta a vulnerabilidades ou em Vulnerabilidades em Resposta a vulnerabilidades de aplicações.
Campos de entrada de vulnerabilidade do CWE
Os campos nesta tabela são somente leitura.
| Campo | Descrição |
|---|---|
| CWE-Identificador | Identificador desta entrada de vulnerabilidade. Este identificador é usado para Categorias e Pontos Fracos e é exclusivo entre os dois conjuntos de dados. |
| Nome | Nome descritivo atribuído a este CWE-ID. |
| Probabilidade de exploração | A probabilidade de o ponto fraco ser explorado, em uma escala qualitativa. Um dos seguintes:
|
| 10 principais posições da OWASP | A posição numérica desta vulnerabilidade na lista das 10 principais da OWASP. |
| SANS para 25 posições | A posição numérica desta vulnerabilidade na lista das 25 principais da SAN. |
| Classe | Tipo de fraqueza |
| Status | Um dos seguintes:
|
| Subtração | Um dos seguintes:
|
| Atualizado em | Última vez em que o registro foi atualizado na instância. |
| Áreas funcionais | Lista de áreas funcionais afetadas. Por exemplo, Processamento de arquivo. Preenchido somente para pontos fracos do 24/862. |
| Recursos afetados | Lista de recursos afetados. Por exemplo, Arquivo ou Diretório. Preenchido somente para pontos fracos 51/863. |
| URL | Artigo da base de conhecimento associado a esta vulnerabilidade. |
| Descrição | Descrição da vulnerabilidade. |
| Execução de integração | A execução de integração em que este CWE foi importado. |
| Seções | |
| Detalhes adicionais | Descrições do conceito de software que explicam melhor o ponto fraco. Inclui:
|
| Métodos de detecção | Detalhes sobre como você pode detectar esse ponto fraco em uma aplicação. |
| Modos de introdução | As fases em que o ponto fraco é introduzido, por exemplo, Implementação, Arquitetura e designe assim por diante. |
| Exemplos demonstrativos | Exemplos de código da fraqueza com as descrições que os acompanham. |
| Mitigações potenciais | Detalhes sobre como evitar o ponto fraco, incluindo em qual fase do ciclo de vida da aplicação ele ocorre e a eficácia da mitigação. |
| Listas relacionadas | |
| Relacionamentos | CWEs associados a esta vulnerabilidade. Lista os relacionamentos entre este CWE e outros. Pode incluir primário/secundário, segue/precede, exigidopor/requer (para fraquezas compostas), CanAlsoBe, PeerOf, MemberOf . |
| Exemplos observados | Alguns CVEs que são representativos desta fraqueza. |
| Consequências Comuns | Consequências de uma exploração bem-sucedida, em termos de escopo e impacto. Por exemplo: Escopo: confidencialidade Impacto: ler dados da aplicação |
| Associações | Associações do CWE com esta vulnerabilidade. |
| Plataformas aplicáveis | Plataformas associadas a esta vulnerabilidade. |
| Entradas de vulnerabilidade da aplicação | Outras entradas de vulnerabilidade da aplicação associadas a uma. |
| Referências externas | Informações sobre a vulnerabilidade de fontes externas. |
Campos de entrada de vulnerabilidade da aplicação
| Campo | Descrição |
|---|---|
| ID | Identificador desta entrada de vulnerabilidade. |
| Origem | Origem da vulnerabilidade - seja um scanner ou teste físico. |
| Gravidade | Grau normalizado de severidade desta vulnerabilidade. Mapas de gravidade são fornecidos para NVD e com ServiceNow integrações de terceiros. Para obter mais informações sobre como criar ou ajustar mapas de severidade, consulte Mapear a gravidade de um item vulnerável de aplicação automaticamente. |
Versão 13.0: CWE primário Versão 12.1: entrada do CWE |
Referência ao elemento de Enumeração de Pontos Fracos Comuns em que esta vulnerabilidade se encaixa melhor. Se houver mais de um CWE associado à vulnerabilidade, o CWE primário será determinado da seguinte forma:
|
| Nome da categoria | Classificação fornecida pela integração de terceiros. Ajuda na atribuição. |
| Detalhes da Vulnerabilidade | |
| Ameaça | Descrição da ameaça desta vulnerabilidade. |
| Descrição da mitigação | Descrição das etapas que podem ser realizadas para atenuar a vulnerabilidade. |
| Lista relacionada | |
| Versão 13.0: CWEs |
Lista dos CWEs associados a esta vulnerabilidade. Não aplicável para Veracode Vulnerability Integration. |
Campos de entrada do NVD
Os dados do NVD não são usados em Resposta a vulnerabilidades de aplicações e as entradas representam somente os dados Resposta a vulnerabilidades.
Os CWEs, que são usados em Resposta a vulnerabilidades de aplicações, podem apontar para entradas do NVD, como exemplos de um ponto fraco, e são fornecidos aqui apenas para fins informativos.
| Campo | Descrição |
|---|---|
| ID | Identificador desta entrada de vulnerabilidade. |
| Pontuação de risco | (Oculto quando não há Resposta a vulnerabilidades itens vulneráveis (VIs) associados à vulnerabilidade) Pontuação de risco quantificado que separa os IVs em Crítico, Alto, Médio, Baixo e Nenhum. |
| Pontuação de risco | (Oculto quando não há IVs associados à vulnerabilidade) Valor calculado de risco que o item vulnerável representa para o seu ambiente. |
| Gravidade | Grau normalizado de severidade desta vulnerabilidade em Resposta a vulnerabilidades. Mapas de gravidade são fornecidos para NVD e com ServiceNow integrações de terceiros. Resposta a vulnerabilidades de aplicações A gravidade é derivada da gravidade de origem importada e não do NVD. Para obter informações sobre Resposta a vulnerabilidades de aplicações mapeamento de gravidade, consulte Mapear a gravidade de um item vulnerável de aplicação automaticamente. |
| Explorar itens existentes | Sim, se pelo menos uma exploração estiver associada a esta vulnerabilidade. |
| Explorar nível de habilidade | Nível de habilidade mais baixo necessário para explorar esta vulnerabilidade. |
| Explorar vetor de ataque | Vetor de ataque mais vulnerável das explorações para esta vulnerabilidade. |
| IVs ativos | (Oculto quando não há IVs associados à vulnerabilidade) Número de itens vulneráveis associados a esta vulnerabilidade, não no estado Fechado. Se não houver AVIs ativos para esta vulnerabilidade, a Classificação de risco e a Pontuação de risco não serão exibidas. |
| Entrada de CWE | Referência ao elemento de Enumeração de Pontos Fracos Comuns em que esta vulnerabilidade se encaixa melhor de acordo com o NVD. |
| Data de publicação | Data em que a vulnerabilidade foi publicada. |
| Última modificação | Data em que a vulnerabilidade foi modificada pela última vez. |
| Resumo | Descrição da vulnerabilidade. |
| Detalhes da Vulnerabilidade | |
| CVSS v2 | Dados do CVSS v2 importados |
| CVSS v3 | Dados do CVSS v3 importados, não disponíveis antes de 2015. |
| Solução preferencial | (Oculto quando não há IVs associados à vulnerabilidade) Solução de substituição mais alta na cadeia, derivada das soluções referenciadas na vulnerabilidade. Se houver mais de uma substituição mais elevada na cadeia, nenhum valor será definido. Qualquer valor definido manualmente pode ser substituído em importações subsequentes. A definição deste valor manualmente deve ser feita no item vulnerável. |
| Status da Correção (Oculto quando não há IVs associados à vulnerabilidade) |
|
| Exclui os adiados | |
| Itens vulneráveis | Número de itens vulneráveis de aplicação ativos com esta vulnerabilidade. Esta contagem exclui itens vulneráveis adiados. |
| Total de IVs | Número total de itens vulneráveis com esta vulnerabilidade. Esta contagem exclui itens vulneráveis adiados. |
| Percentual de VIs corrigidos | Percentual concluído da correção de itens vulneráveis com esta vulnerabilidade. Esta contagem exclui itens vulneráveis adiados. |
| Inclui os adiados | |
| Itens vulneráveis | Número de itens vulneráveis ativos com esta vulnerabilidade. |
| Total de IVs | Número total de itens vulneráveis com esta vulnerabilidade. |
| Percentual de VIs corrigidos | Percentual concluído da correção de itens vulneráveis com esta vulnerabilidade. |
| Links relacionados | |
| Antes da v13.0: forçar importação de vulnerabilidade de software Nota: Removido em v13.0 |
(Obsoleto) Recalcula o mapeamento do produto com Gestão de ativos de software do ITSM com base nas informações do NVD. Atualiza a biblioteca de software vulnerável. |
| Atualizar status | Exibe a data e a hora da última atualização. Atualiza o seguinte:
|
| Listas relacionadas | |
| Itens vulneráveis | (Oculto quando não há IVs associados à vulnerabilidade) Itens vulneráveis associados a esta vulnerabilidade. |
| Referências de vulnerabilidade | Informações sobre a vulnerabilidade de fontes externas, citadas pelo NVD. |
| Explorações | Explorações associadas a esta vulnerabilidade. |
| Soluções | (Oculto quando não há IVs associados à vulnerabilidade) Todas as Solução de gestão de vulnerabilidade soluções de integração associadas a esta vulnerabilidade. |
| Versão 13.0: Pontos fracos |
Dados importados de vulnerabilidade do CWE associados a vulnerabilidades e exposições comuns (CVE). |
| Versão 13.0: Software Vulnerável |
(Oculto quando não há IVs associados à vulnerabilidade) Dados importados de Enumeração de plataforma comum (CPE) associados à vulnerabilidade. |