普遍的弱点

CWE词汇表定义

您的组织名称：

惠普开发公司L.P.

网站：

www.hpenterprisesecurity.com/

兼容功能：

惠普强化实时分析仪

功能主页：

http://www.hpenterprisesecurity.com/products/hp-fortify-software-security-center/hp-fortify-real time-analyzer/

产品可访问性

简要说明如何以及在何处将您的能力提供给客户和公众（必需的）：

HP产品可在客户的中下载HP软件更新门户网站。有关产品的其他信息，请访问www.hpenterprisesecurity.com或者www.fortify.com

地图货币指示

描述您的功能指示最新的CWE内容用于创建或更新其映射的方法（必需的）：

HP Fortify产品提供CWE映射以及其他类别/分类信息。惠普软件安全中心为2009年和2010年提供CWE/SANS前25名的开箱即用报告。

当前的CWE映射对应于CWE 2.0版。

地图货币更新方法

表示您计划更新映射以反映当前的CWE内容的频率，并描述您在将其映射到存储库时与CWE内容保持合理最新的方法（推荐的）：

HP加固安全的编码Rulepacks每季度一次更新一次安全研究小组。

地图货币更新时间

描述您向客户解释的时间和地点，他们应该期望更新您的功能映射以反映新可用的CWE内容（必需的）：

HP加强提供映射的安全编码列表每季度发布一次。这包括更改针对外部列表的映射，例如CWE，PCI，OWASP等。Rulepacks可以称为“第三季度201X Rulepack”。

CWE和兼容性文档

提供您的文档描述CWE和CWE兼容性的副本或指示的位置（必需的）：

惠普在http://www.fortify.com/vulncat/提供类别信息。类别包含对CWE标识符的参考。

使用CWE标识符查找元素的文档

提供您的文档的副本或指示到其位置，描述了您的客户如何使用CWE标识符在您的功能存储库中找到单个安全元素的特定详细信息（必需的）：

HP产品（审核工作台或软件安全中心）中介绍的结果使客户能够通过相关的CWE映射通过CWE和/或组问题进行搜索。

使用元素查找CWE标识符的文档

提供您的文档描述用户将遵循的过程的副本或指示，以查找与您功能存储库中个人安全元素相关的CWE标识符（必需的）：

CWE映射报告的问题包含“建议”选项卡中的CWE信息，作为支持参考。此外，用户可以通过CWE分组问题，以更快地访问。

HP加固审计工作台，由CWE分组（左），并突出显示特定问题的CWE参考（底部）	HP软件安全中心，使用CWE映射（中心屏幕，最右栏）显示问题列表。
强化脆弱性分类法，显示C/C ++缓冲区溢出类别www.fortify.com/vulncat/-CWE映射突出显示。	HP强化按需显示CWE映射（右列），而无需指定可选的CWE搜索条件。

与CWE相关材料的文档索引

如果您的文档包括索引，请提供您在索引中“ CWE”下列出的项目和资源的副本。或者，提供指示这些“ CWE”项目在您的网站上发布的位置（推荐的）：

惠普更新脆弱性分类法www.fortify.com/vulncat/每季度，与HP加强安全的编码RulePacks版本相对应。分类学中的各个类别参考各种CWE映射。

特定于类型的功能问题

使用CWE标识符查找任务

给出详细的示例和解释用户如何通过寻找关联的CWE标识符来定位工具中的任务（必需的）：

所有接口都为用户提供了通过CWE标识符分组问题的能力。

搜索与特定CWE标识符有关的问题的用户可以使用搜索条件来找到问题，例如：

• 单独的CWE标识符：CWE：CWE ID ##
• CWE标识符列表：CWE：CWE ID ## CWE：CWE ID ##（必要时重复）
• 与CWE有关的所有问题：CWE：CWE

HP加固审计工作台搜索特定的CWE。	HP软件安全中心搜索特定的CWE。
	HP强化按需显示CWE映射（右列），而无需指定CWE搜索标准。

使用报告中的元素查找CWE标识符

给出详细的示例和解释，以说明如何确定单个安全元素的报告，该工具允许用户确定报告中各个安全元素的关联的CWE标识符（必需的）：

HP软件安全中心提供CWE映射的开箱即用报告。下图：2009年和2010年CWE/SANS的发现前25名。

第1页

第2页，等

获取声称的CWE标识符覆盖范围

给出详细的示例和解释，说明用户如何获得所有者声称该工具有效定位软件的所有CWE标识符的列表（必需的）：

惠普加强脆弱性分类法www.fortify.com/vulncat/包含有关类别和CWE映射的信息。这些产品还提供了其他所有列出的功能。客户可以联系HP加强技术支持以获取更多信息。

强化脆弱性分类法，显示C/C ++缓冲区溢出类别www.fortify.com/vulncat/-CWE映射突出显示。

获取与任务相关的CWE标识符列表

给出详细的示例和解释用户如何获得与工具任务相关联的所有CWE标识符的列表（推荐的）：

CWE映射可作为参考在漏洞分类法中作为参考www.fortify.com/vulncat/。

客户可以联系HP加强技术支持以获取更多信息。

使用CWE标识符列表选择任务

描述用户通过提供CWE标识符列表的文件来选择一组任务的步骤和格式（推荐的）：

HP Fortify静态代码分析仪使用提供安全性和代码智能的大量规则对应用程序进行分析。某些规则包含与CWE无关的程序化API定义，但要返回有效结果。例如，只有使用与特定CWE关联的规则可能会禁用可以识别真正积极的支持规则。
为了获得准确的结果，建议用户在查看结果时生成使用所有安全规则的问题，然后在查看结果时缩小到单个CWE标识符。

在查看结果时，所有接口都为用户提供了通过CWE标识符分组发现的能力。

搜索与特定CWE标识符有关的问题的用户可以使用搜索条件来找到问题，例如：

• 单独的CWE标识符：CWE：CWE ID ##
• CWE标识符列表：CWE：CWE ID ## CWE：CWE ID ##（必要时重复）
• 与CWE有关的所有问题：CWE：CWE

这些查询可以作为过滤器存储在HP Fortify Audit Workbench或HP Fortify软件安全中心中的项目模板文件中，以将结果可见性集中于CWE或任何其他外部列表，例如PCI或OWASP。

使用单个CWE标识符选择任务

描述用户将通过使用单个CWE标识符浏览，选择和取消选择该工具的一组任务的步骤（推荐的）：

请参阅问题<CR_A.2.7>。

使用CWE标识符查找任务

给出详细的示例和解释用户如何通过寻找关联的CWE标识符来定位工具中的任务（必需的）：

强化按需利用HP Fortify静态代码分析仪（SCA），HP Webinspect和其他方法。对CWE的支持是对产生分析结果的各个产品的总结，以及后端强化按需使用专业人员执行安全分析的其他产品和方法。

使用报告中的元素查找CWE标识符

给出详细的示例和解释，以说明如何确定单个安全元素的报告，该工具允许用户确定报告中各个安全元素的关联的CWE标识符（必需的）：

强化按需使客户能够浏览相关的CWE信息。
客户还可以搜索特定的CWE标识符：

• 单独的CWE标识符：CWE：CWE ID ##
• CWE标识符列表：CWE：CWE ID ## CWE：CWE ID ##（必要时重复）
• 与CWE有关的所有问题：CWE：CWE

HP强化按需显示CWE映射（右列），而无需指定CWE搜索标准。

获取声称的CWE标识符覆盖范围

给出详细的示例和解释，说明用户如何获得所有者声称该工具有效定位软件的所有CWE标识符的列表（必需的）：

HP Fortify按需使用HP Fortify静态代码分析仪，HP Webinspect以及安全专业人员执行的其他产品和方法。对CWE的支持是每种产品中CWE支持的总结。

惠普加强脆弱性分类法www.fortify.com/vulncat/包含有关类别和CWE映射的信息。这些产品还提供了其他所有列出的功能。客户可以联系HP加强技术支持以获取更多信息。

强化脆弱性分类法，显示C/C ++缓冲区溢出类别www.fortify.com/vulncat/-CWE映射突出显示。

获取与任务相关的CWE标识符列表

给出详细的示例和解释用户如何获得与工具任务相关联的所有CWE标识符的列表（推荐的）：

HP加固静态代码分析仪
HP Webinspect
根据需要的其他产品

使用CWE标识符查找在线功能任务

给用户提供“查找”或“搜索”功能如何使用“查找”或“搜索”功能的详细示例和说明，以通过查找其关联的CWE标识符或通过在线映射将功能的每个元素链接到其关联的在线映射来找到在线功能中的任务CWE标识符（必需的）：

所有CWE映射都可以在www.fortify.com/vulncat并且可以使用网站等标准在任何搜索引擎中搜索：fortify.com/vulncat CWE ID 251

强化脆弱性分类法，显示C/C ++缓冲区溢出类别www.fortify.com/vulncat/-CWE映射突出显示。

电子文档格式信息

提供有关您提供的不同电子文档格式的详细信息，并描述如何搜索它们与CWE相关的特定文本（必需的）：

软件安全中心可以以PDF或单词格式生产2009年和2010年的SANS/CWE前25名报告。

第1页

第2页，等

也可以使用SEERTFORISSUES方法从HP软件安全中心的Web服务API中进行编程查询。该搜索标准接受CWE的相同搜索格式，例如：

• 单独的CWE标识符：CWE：CWE ID ##
• CWE标识符列表：CWE：CWE ID ## CWE：CWE ID ##（必要时重复）
• 与CWE有关的所有问题：CWE：CWE

通过GUI 使用CWE标识符查找元素

给出详细的示例和解释GUI如何为用户提供“查找”或“搜索”功能，以通过寻找其关联的CWE标识符来识别您的功能元素（必需的）：

所有接口都可以通过CWE标识符对用户进行分组。

搜索与特定CWE标识符有关的问题的用户可以使用搜索条件来找到问题，例如：

• 单独的CWE标识符：CWE：CWE ID ##
• CWE标识符列表：CWE：CWE ID ## CWE：CWE ID ##（必要时重复）
• 与CWE有关的所有问题：CWE：CWE

HP强化审核工作台搜索特定CWE，使用语法：CWE：CWE ID xx	HP软件安全中心搜索特定CWE，使用语法：CWE：CWE ID XX
	HP强化按需显示CWE映射（右列），而无需指定可选的CWE搜索条件。

GUI元素到CWE标识符映射

简要描述如何为单个安全元素列出相关的CWE标识符，或讨论用户如何使用CWE标识符和功能元素之间的映射，还描述了映射的格式（必需的）：

用户可以控制显示问题的分组，以便更轻松地找到与特定CWE有关的问题。

HP加强审核工作台使用户能够控制分组标准，以通过不同的标准浏览问题。示例可能包括CWE，CWE然后文件或包装，然后是CWE等。	HP软件安全中心可以通过CWE进行分组和搜索。
	惠普按需加固，显示单个问题的CWE相关性。

GUI导出电子文档格式信息

提供有关您提供的不同电子文档格式的详细信息（推荐的）：

所有接口都可以通过问题搜索标准搜索与CWE相关文本的能力：

• 搜索与单个CWE：CWE：CWE ID ##有关的问题
• 搜索与CWE列表有关的问题：CWE：CWE ID ## CWE：CWE ID ##（必要时重复）
• 搜索与任何CWE：CWE：CWE有关的问题

软件安全中心可以以PDF或单词格式生产2009年和2010年的SANS/CWE前25名报告。

第1页 HP Fortify软件安全中心生产的报告。

第2页，等 HP Fortify软件安全中心生产的报告。

兼容性

拥有授权的个人标志和日期以下兼容性声明（必需的）：

“作为我组织的授权代表，我同意我们将遵守所有强制性的CWE兼容性要求以及适合我们特定类型能力的所有其他强制性CWE兼容性要求。”

名称：Erik Costlow

标题：产品经理

准确性

拥有授权的个人标志和日期，以下准确性声明（推荐的）：

“作为我组织的授权代表，我同意我们将遵守所有强制性的CWE兼容性要求以及适合我们特定类型能力的所有其他强制性CWE兼容性要求。”

名称：Erik Costlow

标题：产品经理

关于falsepitions和false-sengatives 和/或的声明

仅对于工具和服务 - 具有授权的个人标志和日期，以下有关您的工具效率的说明，以识别安全元素（必需的）：

“作为我组织的授权代表，我同意我们将遵守所有强制性的CWE兼容性要求以及适合我们特定类型能力的所有其他强制性CWE兼容性要求。”

名称：Erik Costlow

标题：产品经理