常见的弱点枚举

CWE术语表定义

组织名称:

DerSecur有限公司

网站:

https://dersecur.com/

兼容的能力:

DerScanner

能力主页:

https://derscanner.com/

产品可访问性< CR_2.4 >

提供的一个简短的描述和你的能力在哪里得到你的客户和公众(必需):

DerScanner科协的是一个功能强大的工具作为服务(SaaS)和前提。它可以直接从DerScanner官方购买网站或通过一个触点形式。

地图货币显示< CR_6.1 >

描述和你的能力表明最近CWE内容用于创建或更新其映射(必需):

最近CWE上市DerScanner UI和内容是它的用户指南。最简单的方法来检查它是扩大侧菜单中的规则和集部分UI。

图1货币显示地图

地图货币更新方法< CR_6.2 >

表示你打算多久更新映射,以反映当前CWE内容和描述你的方法来保持合理电流与CWE当他们映射到存储库的内容(推荐):

我们努力跟上OWASP前十名的最新更新和CWE / SANS列表。我们目前支持CWE列表4.6版本和未来计划添加更新及时。

地图货币更新时间< CR_6.3 >

描述如何和你解释你的客户他们应该期待一个更新的时间表功能的映射,以反映新CWE内容可用(必需):

截至今天,DerScanner并不为广大观众提供预期更新的时间表。

CWE和兼容性文档< CR_5.1 >

提供一个副本,或者它的位置的方向,您的文档描述CWE的为客户和CWE兼容性(必需):

DerScanner用户指南将作为一个单独的PDF文件。CWE兼容性细节都包含在4.3节。CWE兼容性。用户指南可以从下载页面的Derscanner UI。

图2用户指南下载按钮

文档使用CWE找到元素标识符< CR_5.2 >

提供一个副本,或者它的位置的方向,你的文档描述了你的客户如何使用的具体细节CWE标识符查找个人安全元素在你能力的存储库(必需的):

DerScanner用户指南将作为一个单独的PDF文件。细节使用CWE标识符找到安全系统中的元素都包含在4.3节。CWE兼容性和进一步的细节,在4.3节的部分联系在一起。

找到CWE的文档标识符使用元素< CR_5.3 >

提供一个副本,或者它的位置的方向,您的文档描述了过程的用户会发现CWE标识符与个人安全元素在你能力的存储库(必需):

DerScanner用户指南将作为一个单独的PDF文件。细节匹配安全系统中的元素与记者CWE标识符都包含在4.3节。CWE兼容性和进一步的细节,在4.3节的部分联系在一起。

文档索引CWE-RELATED材料< CR_5.4 >

如果您的文档包含一个索引,提供一份项目和资源,你列在“CWE”指数。交替提供方向,这些“CWE”项目是张贴在你的网站(推荐):

用户指南支持按关键字搜索。CWE-related列表项可以由使用搜索功能。

特定类型的能力问题

使用CWE找到任务标识符< CR_A.2.1 >

详细的例子和解释用户如何定位任务的工具通过寻找相关CWE标识符(必需):

安全系统中元素的完整列表与CWE物品可以通过规则产生& UI设置选项卡。

分析的结果由DerScanner位于一个项目的详细结果选项卡。过滤结果由一个特定CWE标识符,一个用户可以使用搜索框放在各自CWE项目。

图3 CWE过滤结果的项目

发现CWE标识符使用元素报告< CR_A.2.2 >

给详细的例子和解释的报告,确定个人安全元素,该工具允许用户确定相关CWE标识符在报告中对个人安全元素(必需):

产生一个报告按照CWE / SANS,用户应该选择相应的选项在出口上的脆弱性分类下拉列表报告页面的一个项目。这份报告将提供一个短时间内分类本身和它的物品,和一个表发现按CWE分组标识符。

图4中设置配置报告

图5的报告。CWE /无排名前25位

图6报告。详细的结果

图7的报告。脆弱性条目

得到一系列声称CWE标识符覆盖< CR_A.2.3 >

详细的例子和解释用户如何获得一个清单的所有CWE标识所有者声称该工具有效地定位软件(必需):

DerScanner安全元素的综合列表与CWE相关项目的规则和集选项卡可以从UI。

图8与CWE关联安全元素的列表项

使用CCR覆盖声称CWE标识符< CR_A.2.4 >

给详细解释用户可以找到如何报道声称代表(CCR) XML文档的所有CWE标识所有者声称该工具有效地定位软件(推荐):

DerScanner不提供CWE的CCR文档标识符DerScanner可以定位在软件。

获得与任务关联CWE标识符的列表< CR_A.2.6 >

详细的例子和解释用户如何获得一个清单的所有CWE标识符与工具的相关任务(推荐):

各自的CWE标识符(如果有的话)总是为一个安全元素列出的详细结果页面DerScanner项目。

图9对应CWE物品安全元素

电子文档格式信息< B.3.1 >

提供详细信息您提供的不同的电子文档格式,并描述如何寻找特定CWE-related文本(必需):

DerScanner以PDF格式提供了用户和管理员指南和安全报告PDF、CSV和多克斯格式(+ JSON和SARIF通过API调用)。

指导支持按关键字搜索。CWE-related列表项可以由使用搜索功能。

通过关键字搜索也适用于安全报告PDF、多克斯,JSON和SARIF,无论选择漏洞分类方法。在CSV格式生成CWE-related安全报告,应该选择相应的漏洞分类方法。

电子文档清单CWE的标识符< CR_B.3.2 >

如果一个人的能力的标准电子文档列表安全元素的短名称或标题提供示例文档演示如何列出相关CWE标识符为每个单独的安全元素(必需):

每一个电子文档为标识符与提供标题。详细描述和链接到对应的CWE在线资源提供一些文件。

使用CWE找到元素标识符通过GUI < CR_B.4.1 >

给详细的例子和解释的GUI提供了一个“发现”或“搜索”功能为用户识别功能的元素通过寻找相关CWE标识符(s)(必需):

看到答案<CR_A.2.1>。

CWE GUI元素标识符映射< CR_B.4.2 >

简要描述如何列出相关CWE标识符为个人安全元素或讨论用户可以使用CWE的标识符和功能之间的映射的元素,也描述的格式映射(必需):

看到答案<CR_A.2.6>。

GUI出口电子文档格式信息< CR_B.4.3 >

提供不同的电子文档格式的详细信息,你提供出口或访问CWE-related数据和描述如何寻找特定CWE-related文本(推荐):

看到答案<CR_B.3.1>。

兼容性声明< CR_2.11 >

有一个授权个人以下兼容性声明写姓名和日期吗(必需):

”作为我的组织的授权代表我同意我们将遵守所有的强制CWE的兼容性需求以及所有的额外的强制性CWE兼容性要求适合我们的特定类型的能力。”

名称:丹基诺夫

标题:msi CISSP,中钢协DerScanner生产国

声明的准确性< CR_3.4 >

有一个授权个人以下精度语句写姓名和日期吗(推荐):

”作为我的组织的授权代表和我所知,没有错误在我们能力的存储库之间的映射和CWE标识符我们能力报告,和那些CWE标识符中尽可能具体CWE库。”

名称:丹基诺夫

标题:msi CISSP,中钢协DerScanner生产国

假阳性和假阴性则声明< CR_B.2.10 >或< CR_B.3.7 >

仅供工具和服务,有一个授权的个人签名和日期如下声明你的工具安全元素的识别效率(必需):

”作为我的组织的授权代表和我所知,通常情况下,当我们的能力报告一个特定的安全元素,通常是正确的,通常情况下,当一个事件发生时,有关一个特定的安全元素能力通常报告。”

名称:丹基诺夫

标题:msi CISSP,中钢协DerScanner生产国