2021 CWE最重要的硬件弱点介绍 
2021 CWE™最重要的硬件弱点是同类产品中的第一个，也是合作的结果硬件CWE特别兴趣小组（SIG），一个社区论坛，适用于代表硬件设计，制造，研究和安全领域的组织以及学术界和政府。 2021硬件列表的目标是通过CWE提高人们对常见硬件弱点的认识，并通过教育设计师和程序员如何在产品开发生命周期早期消除重要错误，以防止源头上的硬件安全问题。安全分析师和测试工程师可以在准备安全测试和评估计划中使用该列表。硬件消费者可以使用列表来帮助他们向供应商那里寻求更多安全的硬件产品。最后，经理和CIO可以将列表用作确保硬件并确定在哪里指导资源来开发安全工具或自动化过程的努力的进展，这些过程通过消除底层根本原因来减轻广泛的漏洞。 MITER在美国国土安全部的网络安全及基础设施安全局（CISA）的支持下维护CWE网站，介绍了2021年2021硬件清单弱点的详细描述，以及减轻和避免它们的权威指导。CWE网站包含有关900多个编程，设计和架构弱点的数据，这些弱点可能导致可利用的漏洞。Miter还发布了CWE TOP-25最危险的软件弱点每年。 2021 CWE最重要的硬件弱点 以下是CWE标识符以数值顺序列出的2021 CWE最重要的硬件弱点中弱点的简要列表。这是一个未排名的列表。
方法 SIG的成员完成了最初的调查，以开始标识硬件“ Top-N”列表，他们每个人都从CWE语料库中的96个硬件条目中选择了优先的10个弱点。此过程总共确定了31个独特的条目。HW CWE团队还为参与者提供了一系列问题，可以在思维期间进行权衡，包括适用于患病率和检测指标，缓解指标，可剥削性指标和其他杂项指标。从最初的27个问题组中，SIG成员在对清单上的投票方面的考虑中尤为重要：
当反思初始调查中确定的31个条目时，SIG确定已发布的“ Top-N”列表的理想长度应约为总硬件CWE条目的百分之十，大约为10。相应地，SIG召集了一个正式的投票会议，用于提炼2021年9月先前选择的31个条目。使用卡片平台和李克特级方法，每个SIG成员都有机会将31个条目转移到优先的各种“桶”中（通过拖动和降低）。有五个桶：
投票后，CWE团队和SIG成员共同审查了调查结果，并应用了一种评分方法，其中将存储桶分别分别为+2，+1、0，-1和-2分别分配。对于每个CWE条目，这些权重乘以每个存储桶中的选票百分比，其百分比表示为0到1之间。最高得分为2.0（占所有投票的100％获得“强烈支持”）。得分最高的条目得分为1.42。这导致了31个先前选择的硬件CWE的排名，并在最高12和最高17个条目后得分清晰。最高的12个条目的分数从1.03到1.42，接下来的5个条目范围为0.91至0.97。下一个最高分数为0.80。这些条目成为2021 CWE最重要的硬件弱点列表和尖峰上的硬件弱点（请参见上方和下方）。尽管我们的方法论提出了这12（+5）个条目的排名，但HW CWE团队和SIG认为，将列表视为层次结构，按重要性设置为层次，这是不切实际的。根据我们的方法，应将条目视为一组大多数平等的硬件弱点问题。 有了这些标准，CWE最重要的硬件弱点的未来版本将演变为涵盖不同的弱点。我们的目标是为社区提供最有用的清单。我们的方法论的局限性如下阐明。 风口浪尖上的弱点 CWE团队以类似的方式与CWE前25个最危险的软件弱点相似，认为与硬件CWE SIG支持的另外五个硬件弱点很重要，但最终在2021 CWE最重要的硬件弱点之外得分。列表。 使用2021 CWE硬件列表进行缓解和风险决策的个人可能需要考虑在分析中包括这些其他弱点。CUSP上的弱点按CWE-ID以数值顺序列出。
方法的局限性 用于生成首届CWE最重要的硬件弱点列表的方法在科学和统计严格方面受到限制。在没有进行系统查询的更多相关数据的情况下，该列表是使用修改后的Delphi方法来汇编的，该方法利用了主观意见，尽管来自知情的内容知识专家。 软件CWE TOP-25在NIST国家漏洞数据库（NVD）中利用CVE®数据，用于考虑弱点类型频率和严重性的数据驱动方法。在硬件域中，这是不可能的，这主要是因为由于HW CWE的婴儿期，HW CWE与CVE的关联有限。最近，CVE计划一直在努力为硬件漏洞发布CVE记录。虽然释放后硬件漏洞的频率远不及软件的频率，但由于更加可用的硬件漏洞数据，因此CWE硬件列表方法可能会更改。 致谢 2021年CWE硬件团队包括（按姓氏按字母顺序排列）：John Butterworth，Steve Christey Coley，Kerry Crouse，Christina Johns，Gananand Kini，Chris Lathrop，Luke Malinowski和Alec Summers。 此外，非常感谢HW CWE SIG会员资格，其中包括在出版时（按字母顺序按名称）： Alric Althoff，Tortuga逻辑 ...还有许多其他选择保持匿名的人。
提供更多信息 - 请选择其他过滤器。
|
