常见的弱点枚举

CWE术语表定义

前25名中选择使用投票过程中,参与者评估候选人的名单41的弱点。从这个列表,最终排名前25位的选择是基于普遍性和重要性,评估的参与者。

这使得16“尖端”不足从候选人名单中没有进入最后的前25位。这可能是由于一个或多个下列原因:

*不够普遍

*不够重要

*没有足够的选票(暗示有限流行/重要性)

*太新的(或太老)充分相关的在当前环境下

此概要排名很重要的弱点在学校或大学从教育的角度看语境。它关注CWE条目,毕业的学生应该知道,包括历史上重要的弱点。有一个强调更高级别的根源,措施之一,最初新生问题难以理解。

比分是来自患病率(“上一页”)(“小淘气”)的重要性,强调(Emp)。

三个因素被用来进行评分和排名:

*重点(关键(致命一击),高、中(地中海),低)

*重要性(关键(致命一击),高、中(地中海),低)

*患病率(广泛(宽),高,常见的(通讯),有限公司(有限公司))

对于每一个弱点,重要性和流行都是1和4之间分配值(相当于4的最高评级,即。“关键”或“普遍”。)强调评级被分配的值0,2,4,6,6是相当于“至关重要的”。

疲软的分数然后计算使用公式:(重要性x患病率)+重点

评级的重点包括学生理解困难等因素,弱点的一般适用性更广泛的概念,在教会的编程语言,和相关课程或大纲。

所有41项从最初的候选人名单。

这个配置文件指定哪些弱点出现在哪些编程语言。发现大多数缺点都是独立于语言的,尽管他们可能在一种语言更普遍。

对于每种语言,可能的评级:

*高-这个弱点经常出现在语言中编写的软件,这通常是一个安全问题,而不是“一个错误”。

*温和(Mod)——这个弱点有时出现在软件编写的语言,但当它发生时,它通常是一个安全问题。

*有限公司(有限公司)——这个弱点(1)很少出现在语言编写的软件,但通常是一个安全问题时;或(2)可以经常出现,但很少是一个安全问题。

一些细胞会留空,如果问题是特定于语言的。

这些项目由CWE ID排序。

这个概要文件列表的弱点通常是固定在设计或实现。

当缺陷发生在体系结构或设计阶段,理想的解决方案可能是控制的程序员,问题可能是昂贵的修复。

在实现阶段的弱点是可以解决的,轻微的局部代码更改可能是可行的,但是大量的弱点可能出现在整个代码。长期战略可以实现特定的设计级别的变化,使其更加难以引入这些弱点,和/或使他们更容易检测时发生。

列:

*设计(缩写为“德”)

*实现(缩写为“Impl”)

这些条目按CWE ID排序。

这个概要文件突出弱点可以使用自动和手动检测分析。目前,很少有公共权威的信息关于这些方法的有效性及其效用。有许多相互竞争的观点,即使在专家。因此,这些评级应该只被视为指导方针,而不是规则。每个方法的有效性取决于环境,成本/时间/劳动因素,分析师的专业知识,和其他因素可能不同的组织。

自动化技术是由计算机和包括,但不限于:源代码分析器,二进制代码分析器,fuzz,数据安全分析程序,web应用程序扫描和动态代码分析。手工技术是由人类分析师,包括,但不限于:渗透测试,建筑评论,和手工代码审查。人们一般都认为,一个混合的技术是最有用的,通过利用每个技术的优势以最具成本效益的方式。

是否自动或手工,白盒技术对源代码进行分析或架构,虽然黑盒技术执行软件和观察其外部行为和工件。

自动化的方法通常是更有效的寻找实现级问题比设计级别问题。自动化静态代码分析可以提供广泛的代码覆盖率,和自动动态分析可以执行大量的攻击在很短的时间。然而,这些方法可能需要你开发自定义检测规则,构建应用程序与一个特殊的编译器,和/或提供任何必要的凭据登录到目标软件。他们可能很难认识到自定义的例程和关键业务逻辑上的缺陷,或者他们可能不会过滤或de-prioritize某些结果不相关的执行环境。

手动方法通常更有效的寻找设计级别问题,业务逻辑上的缺陷,认识到自定义的例程,并提供通用的反馈关于软件的总体态势。然而,手工方法可能是劳动密集型的,和他们需要精通分析师产生有效的结果。不同的分析师可能不会产生一致的和可重复的结果。对于可以通过自动化方法的弱点,手工方法可能实现不相同数量的代码覆盖率不劳动的重要投资。

混合方法通常采用结合手动和自动分析。人们一般都认为,混合方法是最有用的,因为他们利用每个技术的优势。混合分析可以实现代码覆盖率之间的合理平衡,劳动成本/时间,假阳性和假阴性率。混合方法中未涉及这个概要文件。

列标签如下:

*自动世行-自动化白盒

* Auto-BB -自动化的黑盒

* Man-WB -手动白盒

* Man-BB -手工黑盒

对于每一个技术和软弱,技术的有效性与弱点分类如下。注意:这些评级假设使用的最佳工具,分析和方法。考虑有限的财务成本,劳动,或时间。见上文总结的一些挑战。

*高——众所周知,易于理解的优点和局限性;有合理的假阳性或假阴性率,尤其是在比较其他方法;有很好的覆盖对其他方法;可能不需要大量劳动力来实现有用的结果。

*温和(Mod)——适用于多种情况,但可能受假阳性或假阴性率高,可能相差很大;可能需要进行大量的培训/定制;可能需要大量的劳动、时间或专业知识,获得有用的结果。

*有限公司(有限公司)——适用于有限的情况下,不信;假阳性或假阴性率高,或产生大量不相关的结果;可能需要大量的培训/定制;或者给有限的可见性问题的根源。

这些弱点被CWE ID排序。

这个概要文件的开发人员已经开始安全集成到他们的开发生命周期,可能有一些成功的清除他们的软件的一些最常见的弱点。

弱点排名构造使用“流行”和“重要性”作为评估由原票的主要软件供应商参与排名前25位的努力:红色帽子,甲骨文、微软、EMC,赛门铁克,苹果。

笔记

前五项也在前五槽的前25名;唯一的区别是前三的顺序的改变的地方。

注意更微妙的缓冲错误大幅上涨相比一般列表:cwe - 190, cwe - 131和cwe - 129。这可能反映了更大比例的C / c++应用程序使用的参与供应商。

似乎有可能增加缓冲区之间的冲突错误而CSRF XSS, SQL注入仍然名列前茅。这些弱点并不特定于网络语言,事实上,SQL注入的问题是一个广泛的软件不仅仅是基于web的应用程序。XSS的排名和CSRF可能是由于他们的流行,甚至非web软件可能基于web组件,比如管理界面。此外,大量的基于网络的软件是使用C或c++编写的。

对缺乏安全特性的情况下,一般有下降,例如缺少加密(cwe - 311)和失踪身份验证(cwe - 306),以及依赖不可信的输入(cwe - 807)在一个安全的决定。同时,使用损坏或危险的加密(cwe - 327)急剧上升。也许有越来越采用的加密,但是实现并不总是正确的。

相比一般的列表,暴露危险的方法或函数的相对较高的排名(cwe - 749)和使用后免费(cwe - 416)可能反映了一般CVE漏洞研究的趋势,这近年来增加这两个弱点。

此概要行列的弱点主要是基于其重要性,确定从基地投票数据用于创建列表。患病率是包含在分数,但它有很多不如重要性权重。

这两个因素是:

*重要性(重要,高、中、低)

*患病率(广泛,高,常见,有限)

对于每一个投票,重要性和流行都是1和4之间分配值(相当于4的最高评级,即。“关键”或“普遍”。)

个人sub-score弱点然后使用公式计算:

(重要性*重要性)+流行

为每个弱点小分都加在一起最后得分。

这个概要文件列表根据他们的技术弱点的影响,即。,攻击者可以实现利用每个弱点。

注意,熟练的攻击者可以结合多个成一个单一的弱点,攻击更严重比它的任何部分。例如,一个小信息泄漏(cwe - 209)可能允许攻击者确定管理员帐户的电子邮件地址,然后使用CSRF攻击(cwe - 352)利用管理员的权限上传文件与一个危险的扩展(cwe - 434),允许代码执行。

因为攻击树模型很难在评选名单之列,这样的平面结构的技术影响每个弱点只以隔离。

关键:

*命令执行代码,代码或可能发生的

*信息——敏感信息或数据可以被偷

* priv——访问高权限帐户

*旁路,旁路安全保护机制

* DoS(拒绝服务