Resposta a vulnerabilidades calculadoras e regras da calculadora de vulnerabilidade

As calculadoras de vulnerabilidade automatizam o cálculo dos valores iniciais dos campos em itens vulneráveis. A condição de cada calculadora é avaliada em ordem e a primeira calculadora correspondente é usada.

Calculadoras de vulnerabilidade

O sistema de base Resposta a vulnerabilidades inclui duas calculadoras de vulnerabilidade que definem a pontuação de risco básica no item vulnerável.

• Calculadora de Risco Padrão
• Severidade da Vulnerabilidade

Calculadoras de vulnerabilidade podem ser criadas para priorizar e classificar o impacto de itens vulneráveis com base em qualquer critério usando filtros de condição. Seja o impacto nos negócios da vulnerabilidade, a classe do item de configuração (IC) ou a idade do item vulnerável, você pode criar calculadoras de vulnerabilidade adicionais para definir outros campos em itens vulneráveis. Ou você pode personalizar as calculadoras de vulnerabilidade existentes. Uma calculadora pode ser escrita para refletir qualquer conjunto de prioridades. Para obter mais informações, consulte Criar uma calculadora Resposta a vulnerabilidades e Filtrando em Resposta a vulnerabilidades.

Além disso, você pode usar atributos no configuration_item [cmdb_ci] no Configuration Management Database (CMDB) para ajudá-lo a criar lógica para suas calculadoras de risco da Resposta a vulnerabilidades. Se, por exemplo, você determinar que os ICs externos em sua organização são mais vulneráveis e podem precisar de correção imediata, você pode atribuir atributos como Internet Facing para esses ICs. Este atributo e outros estão listados nas notas de versão do Common Service Data Model para a versão da família Orlando. Para obter informações e orientações atuais sobre o CMDB, consulte os seguintes tópicos:

• Modelo conceitual do Common Service Data Model
• Modelo de esquema do CMDB

Cada calculadora contém uma lista de regras de calculadora, com uma condição que determina quando aplicá-la. Quando a calculadora é executada, a condição de cada regra de calculadora é avaliada na ordem e a primeira regra de calculadora correspondente é usada.

A calculadora de gravidade de vulnerabilidade calcula a pontuação de risco dos itens vulneráveis usando a gravidade da vulnerabilidade normalizada.

Nota:

• Somente uma calculadora por campo de destino (Pontuação de risco) pode estar ativa por vez. A gravidade da vulnerabilidade está desabilitada por padrão.
• A partir da v23.0 de Resposta a vulnerabilidades, sempre que a pontuação de risco é atualizada em um VIT, a seção Anotações é atualizada com os seguintes detalhes:
  • Nome do grupo de calculadoras
  • Nome da calculadora: dependendo se a regra da calculadora é baseada em um modelo ou em um script, o nome é acrescentado com os detalhes entre colchetes. Para modificar ou exibir a base da regra da calculadora, clique em qualquer regra e marque a caixa de seleção Exibição avançada. Na caixa suspensa Tipo de valor, selecione a opção necessária. Se o modelo for selecionado, a pontuação de risco será atualizada de acordo com a condição especificada na regra. Se Script estiver selecionado, você poderá adicionar ou atualizar o script existente.

Todas as calculadoras de vulnerabilidade habilitadas definem os campos selecionados sempre que um item vulnerável é criado, quando um IC ou vulnerabilidade associada muda ou quando o link relacionado Calcular pontuação de risco em um item vulnerável é usado. Por exemplo, a Pontuação de risco é atualizada automaticamente em registros de item vulnerável quando o valor de gravidade é atualizado em uma vulnerabilidade importada. Depois que uma importação de vulnerabilidade atualiza uma pontuação de vulnerabilidade, o sinalizador de recálculo é habilitado para essa vulnerabilidade. As pontuações de risco dos itens vulneráveis que têm o sinalizador de recálculo habilitado (verdadeiro) com essa vulnerabilidade são recalculadas.

Em um item vulnerável existente, se você clicar no link relacionado Calcular pontuação de risco e uma das calculadoras estiver habilitada, o campo Pontuação de risco no item vulnerável será atualizado.

Nota:

• O link relacionado Calcular pontuação de risco só fica visível quando pelo menos uma calculadora de vulnerabilidade está habilitada.
• A partir da v22.0 de Resposta a vulnerabilidades, você pode atualizar a pontuação de risco de um item vulnerável em Vulnerability Manager Workspace e Espaço de correção de problemas de TI selecionando o botão Calcular pontuação de risco na exibição de registro.
• A partir da versão 23.0 do Resposta a vulnerabilidades, sempre que a pontuação de risco em um VIT muda, os seguintes detalhes são documentados na seção Anotações do VIT:
  • Nome do grupo de calculadoras
  • Nome da calculadora
  • Valores de campo com sua ponderação e contribuição de pontuação de risco
  • Pontuação de risco final

Regras da Calculadora de Vulnerabilidade

A Calculadora de risco padrão da calculadora do sistema base contém a regraRegra de risco padrão, uma regra de calculadora de vulnerabilidade especializada chamada Regra de risco. Ele calcula a pontuação de risco com base em vários valores:

• Gravidade da vulnerabilidade
• Explorar informações
• Criticidade
• Exposição externa do IC com a vulnerabilidade
• Pontuações de EPSS

Você pode ajustar os valores a serem usados na Regra de risco padrão e quanto peso atribuir a cada um desses valores. Os pesos são usados para ajustar o quanto cada elemento conta ao definir a pontuação de riscobase.

Você pode personalizar os critérios para a regra de risco padrão. Para obter mais informações, consulte Definir campos e pesos para a regra de risco das Calculadoras de risco da Resposta a vulnerabilidades.

Para obter um exemplo de como as pontuações de risco das calculadoras de regra de risco são determinadas, consulte Exemplo de cálculo de pontuação de risco para Resposta a vulnerabilidades.

Atribuindo uma porcentagem de ponderação

Você também pode atribuir percentual de ponderação (0-100) no nível de valor do campo, por exemplo, você pode atribuir um percentual de ponderação a cada nível de gravidade (de nenhum a crítico).

Se o peso de gravidade for 50 para a regra de risco, e os seguintes valores de peso forem atribuídos para o nível de gravidade:

Gravidade da vulnerabilidade	Pontuação de risco
Crítico	100
Alto(a)	50
Médio	20
Nenhum(a)	0

Se a gravidade for crítica, o peso equivalente será 50. Se a gravidade for alta, o peso equivalente será 25 e, se a gravidade for média, o peso equivalente será 10. Se a gravidade for Nenhum, o peso equivalente será 0. Para obter mais informações, consulte Exemplo de cálculo de pontuação de risco para Resposta a vulnerabilidades.

Configurações de regra da calculadora de vulnerabilidade

Cada regra tem uma configuração de Ordem. No entanto, o primeiro a corresponder às condições atualiza o campo Pontuação de risco no item vulnerável. Para obter mais informações sobre configurações de regra da calculadora de vulnerabilidade, consulte Criar uma calculadora Resposta a vulnerabilidades. Regras de calculadora sem script normalmente criam menos impacto no desempenho do que as regras de calculadora com script.

A calculadora de gravidade de vulnerabilidade do sistema base contém regras de calculadora que atribuem a cada nível de gravidade (de nenhum a crítico) um valor (0-100) para pontuação de risco com base na gravidade. ASeveridade Desconhecida é atribuída automaticamente a uma pontuação de risco de 100. Esses valores podem ser ajustados e, como a Calculadora de risco padrão, novas regras de calculadora ou novas regras de risco podem ser criadas.

Ponderações de pontuação de risco de vulnerabilidade

Todas as vulnerabilidades recebem uma pontuação e classificação de risco com base em fatores como gravidade, criticidade, informações de exploração e assim por diante. A regra de negócio Update Risk Rating from Risk Score na tabela de itens vulneráveis é responsável pelo cálculo da classificação de risco. Sempre que a pontuação de risco muda, a classificação de risco é calculada e preenchida nos itens vulneráveis. Antes da versão 17.1 da aplicação Resposta a vulnerabilidades (VR), as seguintes classificações de risco eram fornecidas como parte da inclusão de script VulnerabilityUtils, que era codificada.

Valor (classificação de risco)	Peso (pontuação de risco)
1	90–100
2	70–89
3	40–69
4	1–39
5	0

A partir da versão 18.0 de Resposta a vulnerabilidades,

• Os tipos de classificação de risco são enviados na tabela base como vr_risk_rating. Esses tipos são passados como parte da regra de negócio em cada tabela em que a classificação de risco é calculada.
• O script foi modificado para que você possa consultar as entradas nos valores da tabela Ponderações de pontuação de risco para o cálculo da classificação de risco.
• Adicione entradas adicionais para um tipo existente ou crie um novo tipo. Ao criar um novo tipo, certifique-se de adicionar os rótulos para a nova classificação de risco e também de modificar os scripts e regras de negócio relacionados. Você também deve adicionar um novo estilo para a nova pontuação de risco.
• Modifique o script para consultar os registros na tabela base.

Você pode acessar a tabela Ponderações de pontuação de risco inserindo sn_sec_cmn_risk_score_weight no navegador de filtros.

Além disso, a pontuação de risco é recalculada automaticamente nos seguintes cenários:

• Quando um item de configuração (IC) muda de não voltado para a internet para voltado para a internet.
• Quando as vulnerabilidades e exposições comuns associadas (CVEs) ou entradas de terceiros (TPEs) nos itens de vulnerabilidade (VIs) estão vinculadas a uma vulnerabilidade de exploração conhecida (KEV) de CVE.

Integração de vulnerabilidade da Tenable e regra de risco da Tenable

A regra de risco da Tenable está disponível com o Integrações de vulnerabilidade da Tenable. A classificação de prioridade de vulnerabilidade (VPR) é um atributo do produto Tenable que é importado e usado com uma nova calculadora de risco padrão em Resposta a vulnerabilidades. A Regra de risco da Tenable é instalada com a aplicação Integração de Resposta a vulnerabilidades com Tenable como parte da Calculadora de risco padrão nas Calculadoras de vulnerabilidade de Resposta a vulnerabilidades.

Esta regra de risco está desabilitada por padrão. Consulte Configurar a Integração de vulnerabilidade da Tenable usando o Assistente de configuração.