Anwendungsschwachstellen-Felder

Freigeben Version: Xanadu

Aktualisiert 1. August 2024

5 Minuten Lesedauer

Schwachstellen werden automatisch erstellt, wenn Datensätze aus der National Vulnerability Database (NVD), Common Weakness Enumeration (CWE) oder Drittanbieterintegrationen heruntergeladen werden. NVD und CWE werden unter Bibliotheken in Vulnerability Response oder unter Schwachstellen in Application Vulnerability Responsegespeichert.

Eingabefelder für CWE-Schwachstellen

Die Felder in dieser Tabelle sind schreibgeschützt.


Feld	Beschreibung
CWE-ID	Bezeichner für diesen Schwachstelleneintrag. Dieser Bezeichner wird für Kategorien und Schwachstellen verwendet und ist für die beiden Datensätze eindeutig.
Name	Beschreibender Name, der dieser CWE-ID zugewiesen ist.
Wahrscheinlichkeit der Ausnutzung	Wie wahrscheinlich ist, dass die Schwachstelle ausgenutzt wird, auf einer qualitativen Skala. Einer der folgenden: Niedrig Mittel Hoch
Position in OWASP Top 10	Die numerische Position dieser Schwachstelle in der OWASP-Top-10-Liste.
SANS bis Position 25	Numerische Position dieser Schwachstelle in der SAN-Top-25-Liste.
Klasse	Typ der Schwachstelle
Status	Einer der folgenden: Unvollständig Entwurf Stabil Überholt Veraltet Unstabil
Zusammenfassung	Einer der folgenden: Variante Klasse Basis Verbindung
Aktualisiert	Zeitpunkt der letzten Aktualisierung des Datensatzes in der Instanz.
Funktionsbereiche	Liste der betroffenen Funktionsbereiche. Beispiel: Dateiverarbeitung. Wird nur für 24/862-Schwächen ausgefüllt.
Betroffene Ressourcen	Liste der betroffenen Ressourcen. Zum Beispiel Datei oder Verzeichnis. Wird nur für 51/863-Schwächen ausgefüllt.
URL	Knowledge Base-Artikel, der dieser Schwachstelle zugeordnet ist.
Beschreibung	Beschreibung der Schwachstelle.
Integrationsausführung	Die Integrationsausführung, in die diese CWE importiert wurde.
Abschnitte
Zusätzliche Details	Beschreibungen des Softwarekonzepts, die die Schwachstelle weiter erläutern. Beinhaltet: Erweiterte Beschreibung Hintergrunddetails Notizen
Erkennungsmethoden	Details dazu, wie Sie diese Schwachstelle in einer Anwendung erkennen können.
Einführungsmodi	Die Phasen, in denen die Schwachstelle eingeführt wird, z. B. Implementierung, Architektur und Designusw.
Demo-Beispiele	Codebeispiele der Schwachstelle mit zugehörigen Beschreibungen.
Potenzielle Minderungen	Details dazu, wie die Schwachstelle verhindert werden kann, einschließlich Angabe, in welcher Phase des Anwendungslebenszyklus sie auftritt, und zur Effektivität der Minderung.
Zugehörige Listen
Beziehungen	CWEs, die dieser Schwachstelle zugeordnet sind. Listet Beziehungen zwischen dieser CWE und anderen auf. Kann übergeordnetes/untergeordnetes Element, folgt/Vorrang, erforderlich von/erfordert (für zusammengesetzte Schwachstellen), CanAlsoBe, PeerOf, MemberOf einschließen.
Beispiele für Beobachtung	Einige CVEs, die für diese Schwachstelle repräsentativ sind
Häufige Konsequenzen	Konsequenzen eines erfolgreichen Exploits in Bezug auf Umfang und Auswirkung. Beispiel: Geltungsbereich: Vertraulichkeit Auswirkung: Anwendungsdaten werden gelesen
Mitgliedschaften	CWE-Mitgliedschaften mit dieser Schwachstelle.
Anwendbare Plattformen	Plattformen, die dieser Schwachstelle zugeordnet sind.
Anwendungsschwachstelleneinträge	Andere Anwendungsschwachstelleneinträge, die mit einer verknüpft sind.
Externe Referenzen	Informationen zur Schwachstelle aus externen Quellen.

Eingabefelder für Anwendungsschwachstellen

Die Felder in dieser Tabelle sind schreibgeschützt.


Feld	Beschreibung
ID	Bezeichner für diesen Schwachstelleneintrag.
Quelle	Ursprung der Schwachstelle – ob Scanner oder physischer Test.
Schweregrad	Normalisierter Schweregrad dieser Schwachstelle Schweregradzuordnungen werden für NVD und mit ServiceNow -Drittparteiintegrationen bereitgestellt. Weitere Informationen zum Erstellen oder Anpassen von Schweregradzuordnungen finden Sie unter Ordnen Sie den Schweregrad eines angreifbaren Anwendungselements automatisch zu.
Version 13.0: Primäre CWE Version 12.1: CWE-Eintrag	Verweis auf das Common Weakness Enumeration-Element, in das diese Schwachstelle am besten passt. Wenn der Schwachstelle mehrere CWEs zugeordnet sind, wird die primäre CWE wie folgt bestimmt: Ist die CWE den OWASP Top 10 zugeordnet? Wenn ja, verwenden Sie diese CWE. Wenn nicht, fahren Sie fort. Wird die CWE den Top 25 SANs zugeordnet? Wenn ja, verwenden Sie diese CWE. Wenn nicht, fahren Sie fort. Hat die CWE den höchsten Schweregrad? Wenn ja, verwenden Sie diese CWE. Wenn nicht, fahren Sie fort. Wählen Sie die neueste aller CWEs aus. Die neueste CWE ist die mit dem neuesten aktualisierten Feldwert im CWE-Datensatz.
Kategoriename	Von der Drittanbieterintegration bereitgestellte Klassifizierung. Hilft bei der Zuweisung.
Schwachstellendetails
Bedrohung	Beschreibung der Bedrohung, die von dieser Schwachstelle ausgeht.
Beschreibung der Verringerung	Beschreibung der Schritte, die zum Mindern der Schwachstelle ausgeführt werden können.
Zugehörige Liste
Version 13.0: CWEs	Liste der CWEs, die dieser Schwachstelle zugeordnet sind. Gilt nicht für Veracode Vulnerability Integration.

NVD-Eintragsfelder

Die importierten Felder in dieser Tabelle sind schreibgeschützt.

Hinweis:

NVD-Daten werden in Application Vulnerability Response nicht verwendet, und Einträge repräsentieren nur Vulnerability Response -Daten.

CWEs, die in Application Vulnerability Responseverwendet werden, können auf NVD-Einträge als Beispiele für eine Schwachstelle verweisen und werden hier nur zu Informationszwecken bereitgestellt.


Feld	Beschreibung
ID	Bezeichner für diesen Schwachstelleneintrag.
Risikobewertung	(Ausgeblendet, wenn der Schwachstelle keine Vulnerability Response angreifbaren Elemente zugeordnet sind) Quantifizierte Risikopunktzahl, die VIs in „Kritisch“, „Hoch“, „Mittel“, „Niedrig“ und „Keine“ unterteilt.
Risikopunktzahl	(Ausgeblendet, wenn der Schwachstelle keine AEs zugeordnet sind) Berechnetes Risiko, das das angreifbare Element für Ihre Umgebung darstellt.
Schweregrad	Normalisierter Schweregrad dieser Schwachstelle in Vulnerability Response. Schweregradzuordnungen werden für NVD und mit ServiceNow -Drittparteiintegrationen bereitgestellt. Application Vulnerability Response Der Schweregrad wird vom importierten Quellschweregrad und nicht von NVD abgeleitet. Informationen zur Schweregradzuordnung Application Vulnerability Response finden Sie unter Ordnen Sie den Schweregrad eines angreifbaren Anwendungselements automatisch zu.
Exploit vorhanden	Ja, wenn dieser Schwachstelle mindestens ein Exploit zugeordnet ist.
Exploit-Kompetenzniveau	Niedrigste Kompetenzstufe, die zum Ausnutzen dieser Schwachstelle erforderlich ist.
Exploit-Angriffsvektor	Angreifbarster Angriffsvektor der Exploits für diese Schwachstelle.
Aktive AEs	(Ausgeblendet, wenn der Schwachstelle keine AEs zugeordnet sind) Anzahl der angreifbaren Elemente, die dieser Schwachstelle zugeordnet sind und sich nicht im Status „Geschlossen“ befinden. Wenn für diese Schwachstelle keine aktiven AVIs vorhanden sind, werden Risikobewertung und Risikopunktzahl nicht angezeigt.
CWE-Eintrag	Verweis auf das Common Weakness Enumeration-Element, in das diese Schwachstelle gemäß NVD am besten passt.
Datum der Veröffentlichung	Datum, an dem die Schwachstelle veröffentlicht wurde.
Zuletzt geändert	Datum, an dem die Schwachstelle zuletzt geändert wurde.
Zusammenfassung	Beschreibung der Schwachstelle.
Schwachstellendetails
CVSS v2	CVSS v2-Daten importiert
CVSS v3	Importierte CVSS v3-Daten, vor 2015 nicht verfügbar.
Bevorzugte Lösung	(Ausgeblendet, wenn der Schwachstelle keine AEs zugeordnet sind) Höchste Ersatzlösung in der Kette, abgeleitet von den Lösungen, auf die in der Schwachstelle verwiesen wird. Wenn in der Kette mehr als eine höchste Ersatzlösung vorhanden ist, wird kein Wert festgelegt. Jeder manuell festgelegte Wert kann bei nachfolgenden Importen überschrieben werden. Das manuelle Festlegen dieses Werts sollte für das angreifbare Element erfolgen.
Nachbesserungsstatus (Ausgeblendet, wenn der Schwachstelle keine AEs zugeordnet sind)
Zurückgestellte sind ausgeschlossen
Angreifbare Elemente	Anzahl der aktiven angreifbaren Anwendungselemente für diese Schwachstelle. Diese Anzahl enthält nicht die zurückgestellten angreifbaren Elemente.
AEs insgesamt	Gesamtanzahl der angreifbaren Elemente mit dieser Schwachstelle. Diese Anzahl enthält nicht die zurückgestellten angreifbaren Elemente.
%VIs behoben	Abschluss in Prozent für die Korrektur angreifbarer Elemente mit dieser Schwachstelle. Diese Anzahl enthält nicht die zurückgestellten angreifbaren Elemente.
Beinhaltet Zurückgestellte
Angreifbare Elemente	Anzahl der aktiven angreifbaren Elemente mit dieser Schwachstelle.
AEs insgesamt	Gesamtanzahl der angreifbaren Elemente mit dieser Schwachstelle.
%VIs behoben	Abschluss in Prozent für die Korrektur angreifbarer Elemente mit dieser Schwachstelle.
Zugehörige Links
Vor v13.0: Import von Software-Schwachstellen erzwingen Hinweis: In v13.0 entfernt	(Veraltet) Berechnet die Produktzuordnung mit ITSM Software Asset Management basierend auf Informationen von NVD neu. Aktualisiert die Bibliothek für angreifbare Software.
Zustand aktualisieren	Zeigt Datum und Uhrzeit der letzten Aktualisierung an. Aktualisiert Folgendes: Status der Schwachstellengruppe Risikopunktzahl und Bewertung Metriken wie Aktive AEs, AEs insgesamt aus dem Abschnitt „Korrekturstatus“.
Zugehörige Listen
Angreifbare Elemente	(Ausgeblendet, wenn der Schwachstelle keine AEs zugeordnet sind) Angreifbare Elemente, die dieser Schwachstelle zugeordnet sind.
Verwundbarkeitsreferenzen	Informationen zur Schwachstelle aus externen Quellen, angegeben von NVD.
Exploits	Exploits, die dieser Schwachstelle zugeordnet sind.
Lösungen	(Ausgeblendet, wenn der Schwachstelle keine AEs zugeordnet sind) Alle Vulnerability Solution Management -Integrationslösungen, die dieser Schwachstelle zugeordnet sind.
Version 13.0: Schwachstellen	Importierte CWE-Schwachstellendaten, die Common Vulnerabilities and Exposures (CVE) zugeordnet sind.
Version 13.0: Software mit Schwachstellen	(Ausgeblendet, wenn der Schwachstelle keine AEs zugeordnet sind) Importierte CPE-Daten (Common Platform Enumeration), die der Schwachstelle zugeordnet sind.