Campos de vulnerabilidade da aplicação
As vulnerabilidades são criadas automaticamente quando os registros são baixados do National Vulnerability Database (NVD), Common Weakness Enumeration (CWE) ou integrações de terceiros. O NVD e o CWE são armazenados em Bibliotecas em Vulnerability Response ou em Vulnerabilidades em Application Vulnerability Response.
Campos de entrada de vulnerabilidade do CWE
Os campos nesta tabela são somente leitura.
| Campo | Descrição |
|---|---|
| CWE-Identificador | Identificador desta entrada de vulnerabilidade. Este identificador é usado para categorias e pontos fracos e é exclusivo entre os dois conjuntos de dados. |
| Nome | Nome descritivo atribuído a este CWE-ID. |
| Probabilidade de exploração | Qual a probabilidade de o ponto fraco ser explorado, em uma escala qualitativa. Um dos seguintes:
|
| 10 principais posições da OWASP | A posição numérica desta vulnerabilidade na lista das 10 principais da OWASP. |
| SANS para a posição 25 | A posição numérica desta vulnerabilidade na lista das 25 principais da SAN. |
| Classe | Tipo de fraqueza |
| Status | Um dos seguintes:
|
| Subtração | Um dos seguintes:
|
| Atualizado em | Última vez em que o registro foi atualizado na instância. |
| Áreas funcionais | Lista de áreas funcionais afetadas. Por exemplo, Processamento de arquivos. Preenchido somente para pontos fracos do 24/862. |
| Recursos afetados | Lista de recursos afetados. Por exemplo, Arquivo ou Diretório. Preenchido somente para pontos fracos 51/863. |
| URL | Artigo da base de conhecimento associado a esta vulnerabilidade. |
| Descrição | Descrição da vulnerabilidade. |
| Execução de integração | A execução de integração em que este CWE foi importado. |
| Seções | |
| Detalhes adicionais | Descrições do conceito de software que explicam melhor o ponto fraco. Inclui:
|
| Métodos de detecção | Detalhes sobre como você pode detectar esse ponto fraco em uma aplicação. |
| Modos de introdução | As fases em que o ponto fraco é introduzido, por exemplo, Implementação, Arquitetura e Designe assim por diante. |
| Exemplos demonstrativos | Exemplos de código do ponto fraco com descrições de acompanhamento. |
| Mitigações potenciais | Detalhes sobre como evitar o ponto fraco, incluindo em que fase do ciclo de vida da aplicação ele ocorre e a eficácia da mitigação. |
| Listas relacionadas | |
| Relacionamentos | CWEs associados a esta vulnerabilidade. Lista os relacionamentos entre este CWE e outros. Pode incluir primário/secundário, segue/precede, obrigatório por/requer (para pontos fracos compostos), CanAlsoBe, PeerOf, MemberOf . |
| Exemplos observados | Alguns CVEs que são representativos desse ponto fraco. |
| Consequências Comuns | Consequências de uma exploração bem-sucedida, em termos de escopo e impacto. Por exemplo: Escopo: confidencialidade Impacto: ler dados da aplicação |
| Associações | Associações do CWE com esta vulnerabilidade. |
| Plataformas aplicáveis | Plataformas associadas a esta vulnerabilidade. |
| Entradas de vulnerabilidade da aplicação | Outras entradas de vulnerabilidade da aplicação associadas a uma. |
| Referências externas | Informações sobre a vulnerabilidade de fontes externas. |
Campos de entrada de vulnerabilidade da aplicação
| Campo | Descrição |
|---|---|
| ID | Identificador desta entrada de vulnerabilidade. |
| Fonte | Origem da vulnerabilidade, seja um scanner ou um teste físico. |
| Gravidade | Grau normalizado de severidade desta vulnerabilidade. Mapas de severidade são fornecidos para NVD e com ServiceNow integrações de terceiros. Para obter mais informações sobre como criar ou ajustar mapas de severidade, consulte Mapear a severidade de um item vulnerável da aplicação automaticamente. |
Versão 13.0: CWE primário Versão 12.1: entrada do CWE |
Referência ao elemento de Enumeração de Pontos Fracos Comuns no qual esta vulnerabilidade melhor se encaixa. Se houver mais de um CWE associado à vulnerabilidade, o CWE primário será determinado da seguinte forma:
|
| Nome da categoria | Classificação fornecida pela integração de terceiros. Auxilia na atribuição. |
| Detalhes da Vulnerabilidade | |
| Ameaça | Descrição da ameaça desta vulnerabilidade. |
| Descrição da mitigação | Descrição das etapas que podem ser realizadas para atenuar a vulnerabilidade. |
| Lista relacionada | |
| Versão 13.0: CWEs |
Lista dos CWEs associados a esta vulnerabilidade. Não aplicável para Veracode Vulnerability Integration. |
Campos de entrada do NVD
Os dados do NVD não são usados em Application Vulnerability Response e as entradas representam somente os dados Vulnerability Response.
Os CWEs, que são usados em Application Vulnerability Response, podem apontar para entradas de NVD, como exemplos de um ponto fraco, e são fornecidos aqui apenas para fins informativos.
| Campo | Descrição |
|---|---|
| ID | Identificador desta entrada de vulnerabilidade. |
| Pontuação de risco | (Oculto quando não há Vulnerability Response itens vulneráveis (IVs) associados à vulnerabilidade) Pontuação de risco quantificada que separa os IVs em Crítico, Alto, Médio, Baixo e Nenhum. |
| Pontuação de risco | (Oculto quando não há IVs associados à vulnerabilidade) Valor calculado de risco que o item vulnerável representa para o seu ambiente. |
| Gravidade | Grau normalizado de severidade desta vulnerabilidade em Vulnerability Response. Mapas de severidade são fornecidos para NVD e com ServiceNow integrações de terceiros. Application Vulnerability Response A severidade é derivada da severidade de origem importada e não do NVD. Para obter informações sobre Application Vulnerability Response mapeamento de severidade, consulte Mapear a severidade de um item vulnerável da aplicação automaticamente. |
| Explorar itens existentes | Sim, se pelo menos uma exploração estiver associada a esta vulnerabilidade. |
| Nível de habilidade Exploit | Nível de habilidade mais baixo necessário para explorar esta vulnerabilidade. |
| Vetor de ataque Exploit | Vetor de ataque mais vulnerável das explorações para esta vulnerabilidade. |
| IVs ativos | (Oculto quando não há IVs associados à vulnerabilidade) Número de itens vulneráveis associados a esta vulnerabilidade, não no estado Encerrado. Se não houver AVIs ativos para esta vulnerabilidade, a Classificação de risco e a Pontuação de risco não serão exibidas. |
| Entrada de CWE | Referência ao elemento de Enumeração de Pontos Fracos Comuns no qual esta vulnerabilidade melhor se encaixa de acordo com o NVD. |
| Data de publicação | Data em que a vulnerabilidade foi publicada. |
| Última modificação | Data em que a vulnerabilidade foi modificada pela última vez. |
| Resumo | Descrição da vulnerabilidade. |
| Detalhes da Vulnerabilidade | |
| CVSS v2 | Dados do CVSS v2 importados |
| CVSS v3 | Dados do CVSS v3 importados, não disponíveis antes de 2015. |
| Solução preferencial | (Oculto quando não há IVs associados à vulnerabilidade) Solução da substituição mais alta na cadeia, derivada das soluções referenciadas na vulnerabilidade. Se houver mais de uma substituição mais alta na cadeia, nenhum valor será definido. Qualquer valor definido manualmente pode ser substituído nas importações subsequentes. A definição manual deste valor deve ser feita no item vulnerável. |
| Status da Correção (Oculto quando não há IVs associados à vulnerabilidade) |
|
| Exclui os adiados | |
| Itens vulneráveis | Número de itens vulneráveis da aplicação ativos com esta vulnerabilidade. Esta contagem exclui itens vulneráveis adiados. |
| Total de IVs | Número total de itens vulneráveis com esta vulnerabilidade. Esta contagem exclui itens vulneráveis adiados. |
| % IVs corrigidos | Percentual concluído da correção de itens vulneráveis com esta vulnerabilidade. Esta contagem exclui itens vulneráveis adiados. |
| Inclui os adiados | |
| Itens vulneráveis | Número de itens vulneráveis ativos com esta vulnerabilidade. |
| Total de IVs | Número total de itens vulneráveis com esta vulnerabilidade. |
| % IVs corrigidos | Percentual concluído da correção de itens vulneráveis com esta vulnerabilidade. |
| Links relacionados | |
| Antes da v13.0: forçar importação de vulnerabilidade de software Nota: Removido em v13.0 |
(Obsoleto) Recalcula o mapeamento do produto com Gestão de ativos de software ITSM com base nas informações do NVD. Atualiza a biblioteca de software vulnerável. |
| Atualizar status | Exibe a data e a hora da última atualização. Atualiza o seguinte:
|
| Listas relacionadas | |
| Itens vulneráveis | (Oculto quando não há IVs associados à vulnerabilidade) Itens vulneráveis associados a esta vulnerabilidade. |
| Referências de vulnerabilidade | Informações sobre a vulnerabilidade de fontes externas, citadas pelo NVD. |
| Explorações | Explorações associadas a esta vulnerabilidade. |
| Soluções | (Oculto quando não há IVs associados à vulnerabilidade) Todas as Solução de gerenciamento de vulnerabilidade soluções de integração associadas a esta vulnerabilidade. |
| Versão 13.0: Pontos fracos |
Dados importados de pontos fracos do CWE associados a um CVE (Common Vulnerabilities and Exposures, vulnerabilidades e exposições comuns). |
| Versão 13.0: Software Vulnerável |
(Oculto quando não há IVs associados à vulnerabilidade) Dados de enumeração de plataforma comum (CPE) associados à vulnerabilidade. |