Перечень общих слабостей
Common Weakness Enumeration ( CWE ) — это система категорий слабых мест и уязвимостей аппаратного и программного обеспечения. Он поддерживается проектом сообщества, целью которого является понимание недостатков программного и аппаратного обеспечения и создание автоматизированных инструментов, которые можно использовать для выявления, исправления и предотвращения этих недостатков. [1] Спонсором проекта выступает офис Агентства кибербезопасности и безопасности инфраструктуры (CISA) Министерства внутренней безопасности США (DHS), которым управляет корпорация MITRE . [2] при поддержке US-CERT и Отдела национальной кибербезопасности Министерства внутренней безопасности США. [3] [4]
Версия 4.10 стандарта CWE была выпущена в июле 2021 года. [5]
CWE имеет более 600 категорий, включая классы для переполнения буфера, ошибок обхода дерева путей/каталогов, условий гонки, межсайтовых сценариев , жестко закодированных паролей и небезопасных случайных чисел. [6]
Примеры [ править ]
- Категория CWE 121 предназначена для переполнения буфера стека. [7]
Совместимость с CWE [ править ]
Программа совместимости Common Weakness Enumeration (CWE) позволяет проверить и зарегистрировать услугу или продукт как официально «совместимый с CWE» и «эффективный с CWE». Программа помогает организациям выбрать правильные программные инструменты и узнать о возможных слабых сторонах и их возможном влиянии.
Чтобы получить статус совместимости с CWE, продукт или услуга должны соответствовать 4 из 6 требований, показанных ниже:
| CWE с возможностью поиска | пользователи могут искать элементы безопасности, используя идентификаторы CWE |
| Выход CWE | элементы безопасности, представленные пользователям, включают или позволяют пользователям получать связанные идентификаторы CWE. |
| Точность картографии | элементы безопасности точно связаны с соответствующими идентификаторами CWE |
| Документация CWE | документация по возможности описывает CWE, совместимость с CWE и то, как используются функции, связанные с CWE, в этой возможности. |
| Покрытие CWE | для CWE-совместимости и CWE-эффективности в документации к функции явно перечислены CWE-ID, покрытие и эффективность которых, согласно заявлению функции, не должны быть обнаружены в программном обеспечении. |
| Результаты испытаний CWE | для эффективности CWE результаты тестирования возможности, показывающие результаты оценки программного обеспечения для CWE, публикуются на веб-сайте CWE. |
По состоянию на сентябрь 2019 года насчитывается 56 организаций, которые разрабатывают и поддерживают продукты и услуги, получившие статус совместимости с CWE. [8]
и разработки Исследования, критика новые
Некоторые исследователи считают, что двусмысленностей в CWE можно избежать или уменьшить. [9]
См. также [ править ]
- Распространенные уязвимости и риски (CVE)
- Общая система оценки уязвимостей (CVSS)
- Национальная база данных уязвимостей
Ссылки [ править ]
- ^ «CWE – О CWE» . на сайте mitre.org.
- ^ «CWE — Часто задаваемые вопросы (FAQ)» . cwe.mitre.org . Проверено 21 сентября 2023 г.
- ^ Национальная база данных уязвимостей CWE Slice на nist.gov
- ^ Госева-Попстоянова Катерина; Перхинский, Андрей (2015). «О возможности статического анализа кода обнаруживать уязвимости безопасности» . Информационные и программные технологии . 68 : 18–33. дои : 10.1016/j.infsof.2015.08.002 .
- ^ «Версия CWE 4.10 уже доступна» . Корпорация МИТЕР . Проверено 9 марта 2022 г.
- ^ Структура ошибок (BF) / Перечень общих слабостей (CWE) на nist.gov
- ^ CWE-121: Переполнение буфера на основе стека
- ^ «CWE — CWE-совместимые продукты и услуги» . на сайте mitre.org.
- ^ Пол Э. Блэк, Ирена В. Боянова, Яаков Йеша, Ян Ву. 2015. К «таблице Менделеева» ошибок
Внешние ссылки [ править ]
- Сертификация приложений на предмет известных недостатков безопасности. Усилия по подсчету общих слабостей (CWE) // 6 марта 2007 г.
- «Классы уязвимостей и атак» (PDF) . Справочник Wiley по науке и технологиям для внутренней безопасности . сравнение различных классификаций уязвимостей. Архивировано из оригинала (PDF) 22 марта 2016 г.
{{cite web}}: CS1 maint: другие ( ссылка )