常见的弱点枚举

CWE术语表定义

行业新闻报道- 2万博下载包011存档
行业新闻报道- 2万博下载包011存档

下面是一个综合月度审核CWE的新闻和其他媒体的报道。万博下载包简要总结列出的每个新闻条目的标题、作者(如果确定万博下载包),日期,和媒体源。

的关系,2011年12月22日

的CWE / SANS最危险的软件错误列表提到在2011年12月22日的文章题为“排名前25位的缺点盲目开发人员构建到应用程序”eWeek.com。这篇文章描述了多少2011年高调的安全漏洞”利用常见的,知名的软件缺陷的应用程序,如SQL注入、跨站脚本和缓冲区溢出”和国家“开发生命周期需要开始关注从一开始就避免安全漏洞”。

前25名中提到如下:“今年早些时候,SANS研究所会同非营利技术研究公司斜方和国土安全部发布了年度共同弱点评估/ SANS最危险的软件错误。上面问题利用等组织LulzSec和匿名攻击索尼,PBS.org和HB Gary联邦在2011年。花旗集团(Citigroup)违反,暴露了信用卡信息超过300000账户持有人,依靠“授权”缺失的缺陷,这意味着该网站没有检查用户是否允许执行一个特定的动作。所有这些软件缺陷是攻击者容易找到使用基本的扫描工具。”的article then goes on to give brief summaries of the weaknesses listed on the2011年排名前25位。

这篇文章的作者是Fahmida y拉希德。

SDTimes.com2011年10月14日

的CWE/无排名前25位文章中提到的是一个2011年10月14日,题为“你怎么能保持领先一步的安全云?”SDTimes.com。前25名被格温费舍尔报价中提到,Klocwork的首席技术官,Inc .,对于“事实,许多程序员仍犯同样的轻松避免错误。”

费舍尔表示:“这是同一组形成的核心CWE前25名,同一组,任何两分钟的谷歌搜索会给你比你能想象的更多信息。所以有这个特别的光重复隧道?我更喜欢删除比管理利用的弱点,我坚定的立场获得的投资杠杆weakness-removal所以远远大于任何时间/努力/金钱投入使用,使后者可笑。作为一种对比,然而,被广泛研究发表在由我们的一个竞争对手几年前,平均开发人员更关注的一份报告指出,利用比他们做的一份报告的一个弱点,但是可以在他们的代码”。

Klockwork公司的一员CWE社区和参与者CWE兼容性和有效性的程序。本文还包括引用其他CWE社区和CWE兼容性计划的参与者。

美国能源部网站,2011年9月

CWE的在2011年9月的一份报告中美国能源部题为能源输送控制系统的脆弱性分析“描述了常见的漏洞在能源部门的控制系统中,并提供建议供应商和业主的系统识别并减少这些风险。”的report findings were "mapped to software weakness types defined by the Common Weakness Enumeration (CWE) to the extent possible … so that Supervisory Control and Data Acquisition (SCADA)" vendors and owners can refer to the CWE for additional guidance in identifying, mitigating, and preventing weaknesses that cause vulnerabilities." Common Vulnerability Scoring System (CVSS)也用于优先漏洞根据他们对SCADA系统的相对风险。

该报告是可供免费下载2011. http://energy.gov/sites/prod/files/Vulnerability能源输送控制系统分析pdf。

虚拟化实践,2011年8月15日

CWE的主要焦点虚拟化安全播客题为“主教法冠,两个新的工具来帮助PaaS和风险评估”虚拟化练习网站2011年8月15日。播客是采访CWE / CAPEC项目经理罗伯特·马丁CWE,水煤浆,CWRAF可以“使用PaaS环境中那些程序,利用SaaS,或其他云服务”。

COTS杂志2011年7月,

CWE的主要话题是一篇文章题为“CWE倡议有助于安全代码开发工作”在2011年7月出版的COTS日报:《军事电子与计算。这篇文章解释了CWE是什么,它是如何工作的,它的关系常见的漏洞和风险敞口(CVE)、安全编码的好处。

作者声明:“CWE等标准的实现变得更加普遍,一个工具供应商的经验和声誉在安全,安全至上的专业知识将是无价的。使用合格的和完整工具确保开发人员可以自动化过程更加轻松高效地。创建一个安全的开发社区使用标准,技术和一个完整的开发环境促进改善的一个持续的过程。,关注安全开发生命周期原则和实践将导致进行生产的软件系统更可靠,值得信赖的和可扩展的。”

2011 CWE / SANS最危险的软件错误列表收到广泛的新闻报道万博下载包

CWE和SANS研究所发布完成2011年CWE / SANS最危险的软件错误在CWE和无网站6月27日,2011年。SANS研究所之间的合作、斜方和在美国和欧洲顶级软件安全专家,前25名的列表提供了详细描述为减轻和避免编程错误以及权威的指导。

释放了大量新闻媒体报道:万博下载包

无网站,2011年6月1日

CWE是包含在2011首席信息官联邦信息安全管理法案》报告指标2011年6月1日发布的文档美国国土安全部和国家标准与技术研究院。文档为政府机构提供网络安全状态报告指标根据联邦信息安全管理法案》(FISMA)专注于自动化系统监控和安全控制的能力。

CWE包含12节报告要求,软件保证分段12.1 b。,which states: "Provide the number of the information systems above (12.1a) where the tools generated output compliant with: 12.1b (1). Common Vulnerabilities and Exposures (CVE) 12.1b (2). Common Weakness Enumeration (CWE) 12.1b (3). Common Vulnerability Scoring System (CVSS) 12.1b (4). Open Vulnerability and Assessment Language (OVAL)."

国土安全部网站,2011年3月

CWE被包括在美国国土安全部(DHS)使分布式网络安全白皮书发布于2011年3月23日的国土安全部网站博客。白皮书的主要话题是“如何加强预防和防御通过三个安全构建块:自动化、互操作性、和身份验证。如果这些构建块纳入网络设备和流程,网络利益相关者会大幅升值的手段,以识别和应对threats-creating和值得信赖的信息交换和协调课程近乎实时的行动。”

互操作性定义为已经“通过这种方法被许多过去十年精制工业、学术界和政府。信息化的方法,这是通常被称为[网络]安全内容自动化…”和由(1)枚举”网络安全的基本实体”和列表CVE,CCE,CPE,CWE,CAPEC;(2)语言和格式,“将枚举和断言支持创建机器可读的安全状态,评估的结果,审计日志消息,和报告”和列表椭圆形,中东欧,MAEC;和(3)知识存储库”包含一个广泛的最佳实践的集合,基准,资料、标准、模板、清单、工具、指南,规则和原则,其中“基于或将数据从这些标准。

该报还指出,这八建立社区枚举和语言标准,多年来一直在使用在社区内可以进一步利用前进,因为他们是“标准,建立自己扩大功能随着时间”,和扩大提供实用的预测到2014年。

白皮书可以查看或下载http://www.dhs.gov/xlibrary/assets/nppd -网络生态系统-白-纸- 03 - 23 - 2011. - pdf。