补充细节- 2022 CWE前25名这个页面提供了补充细节有关2022 CWE最危险软件的弱点列表。 表的内容 详细的方法 的NVD获得从CVE漏洞数据,然后补充额外的分析和信息,包括一个映射到一个或多个弱点,CVSS分数,这是一个数字分数代表的潜在严重性脆弱性基于一套标准化的脆弱性特征。NVD还包括CWE映射的CVE编号当局为每个CVE (CNAs)。NVD消化提供了这种信息格式,用于2022年创建数据驱动的方法CWE前25名。这种方法提供了一个客观的看看漏洞目前看到在现实世界中,创建一个分析严谨的基础建立在公开报道的漏洞,而不是主观调查和意见,并使容易重复的过程。 2022年CWE前25位利用NVD数据与CVE id从2020年到2021年,下载了几个不同的时间。下面是下载当每个快照的日期。请注意,这样做是为了尽可能保持一致与当前下载同时允许足够的时间能够处理如此大量的映射。
最后的6月13日的快照原始数据由37899名CVE记录没有拒绝标签。 排名前25位的团队分析的一个子集CVE记录并执行重新映射,改变或同意现有CWE映射NVD内发现,使用体现连续波可用。这些记录在NVD重新映射替换原来的映射。“正常化”过程将团队的选择CWE体现CWE中可用视图- 1003。例如,cwe - 122:基于堆的缓冲区溢出视图- 1003,这是“规范化”其母基准面的弱点,cwe - 787:界外写,在视图- 1003。注意CWE排名前25位的团队和NVD团队相互协调,以确保映射在NVD适当地更新,但这是一个单独的进程。 清除了cf排名前25位的数据集,如果他们没有CVSS分数,通常表明cf尚未分析,或他们错误地分配问题没有漏洞。同样,任何描述的CVE标记“* *拒绝* *”删除。cf,只是贴上“NVD-CWE-noinfo”或“CWE-Other”也会被删除。任何没有映射的CVE CWE被移除。 计分公式用于计算排名的顺序相结合的弱点CWE的频率是一个漏洞的根本原因与预期严重的剥削。在这两种情况下,频率和严重程度都是归一化相对于最小值和最大值。 确定CWE的频率,计分公式计算的次数在NVD CWE映射到CVE。只有那些有关联的cf软弱是用于这个计算,因为使用整个组内cf NVD会导致低频率在不同缺陷类型和减少歧视。 频率= {count (CWE_X '∈NVD)为每个CWE_X '在NVD} Fr (CWE_X) = (count (CWE_X∈NVD) - min(频率))/ (max(频率)- min(频率)) 计分公式中的其他组件是一个软弱的严重性,这是平均CVSS分数所代表的所有映射到特定的CWE的cf。下面的方程是用来计算这个值。 Sv (CWE_X) = (average_CVSS_for_CWE_X - min (CVSS)) / (max (CVSS) - min (CVSS)) 危险的水平提出的特定CWE然后由严重程度得分乘以频率分数。 分数(CWE_X) = Fr (CWE_X) * Sv (CWE_X) * 100 有一些属性的方法,需要进一步解释。
方法的局限性 有几个限制使用的数据驱动的方法创建CWE前25名。 一些最重要的限制可以概括如下:
这种偏见的一些将在下面更详细地解释。 数据偏差首先,公开报道的方法只使用数据和捕获NVD,和许多漏洞存在,没有CVE id。漏洞,不包括NVD因此被排除在这种方法。例如,CVE / NVD通常不包括漏洞之前发现和固定系统已经公开发布,在线服务,或定制的软件,是一个组织内部。弱点导致这些类型的漏洞可能不足2022 CWE的前25位。 第二,甚至对于收到CVE漏洞,往往没有足够的信息来作出准确的(或精确)的识别适当的CWE被剥削。许多厂商发布的CVE记录只描述脆弱性的影响脆弱性本身没有提供细节。例如,从2020年和2021年至少2507 cf没有足够的信息来确定潜在的弱点。在其他情况下,CVE描述覆盖漏洞的攻击,但这并不总是显示相关的弱点是什么。例如,如果一个长输入程序造成了事故,事故的原因可能是由于缓冲区溢出,可以断言,过度的内存分配,一个未处理的异常,等等。这些都对应于不同,个人连续波。在其他CVE记录,只使用通用术语如“恶意输入,使没有关联的弱点。对于一些条目,可能有有用的信息可用的引用,但是很难分析。例如,研究人员可能使用起毛程序生成一个有用的测试用例,会导致崩溃,但开发人员只需修复崩溃没有分类和报告潜在的错误是什么。 第三,有固有的偏见CVE / NVD数据集的供应商报告漏洞和所使用的语言,这些供应商。如果最大的贡献者之一CVE / NVD主要使用C编程语言,经常存在于C程序的缺点更有可能出现。起毛对基于内存的程序,程序可以非常有效,所以他们可能会发现更多的漏洞。上述评分指标试图减轻这种偏见不仅仅通过观察最常报道的连续波;它还考虑平均CVSS分数。 CVE / NVD数据集的另一个倾向是,大多数脆弱性研究人员和/或检测工具非常精通发现某些弱点而不是其他人的。这些类型的缺点,研究人员和工具中很难找到最终将不足2022 CWE前25名。 最后,缺口或疑似CWE层次结构本身的错误概念导致不正确的映射。正在重新映射帮助CWE团队合作学习这些内容差距和问题,将在后续CWE的版本中解决。 标准偏差一个重要偏差理解相关指标是它间接实现缺陷的敏感度要高于设计缺陷,由于他们的患病率在单独的软件包。例如,一个web应用程序可能有许多不同的跨站点脚本(XSS)由于大漏洞攻击表面,然而只有一个实例的弱身份验证可能会影响整个应用程序。能够设计出另一种度量,包括产品的百分比NVD内至少有一个与特定CWE CVE。这种度量常用的应用程序安全厂商在他们的年度分析。 比较测量最重要的软件安全漏洞(MSSW)一个指标的限制被Galhardo筹集了2020年12月,Bojanova,干预,Gueye研究会纸”测量最重要的软件安全漏洞”。作者出版的《发现方程高度偏差频率,几乎忽略了可利用性和影响产生不同大小的列表。这是由于不同的组件的分布度量值。”的ir proposed scoring formula uniformly distributes the frequency component of weakness scores within the range [0,1). Dropping high prevalence low severity weaknesses from the CWE Top 25 and replacing those weakness with less frequent, but proportionally higher severity ones. Mathematically, the redistribution is performed via double logging the frequency data to correct for the exponential distribution of weakness frequencies:日志(日志(cf的CWE_x))。目标是均衡分布CWE频率分数范围(0,1)。 排名前25位的团队实现了一个实验版MSSW,发现最初的批判似乎适用于今年的榜单。例如,考虑如何cwe - 79排名# 2,但最低平均整个排名前25位的CVSS分数(5.73)和尖端。此外,几个标准排名前25位的弱点下降超过10的位置。提到的cwe - 79排名是由排名前25位的团队而省略一些MSSW建议。它不将前25分为两个CWE前20名列表基于高级连续波(支柱/类)和底层连续波(基地/变量/化合物)。CWE团队应用了MSSW建议higher-lower抽象分割成两个列表作为弱点被NIST,看到类似的结果像CWE - 79,但仍然需要更详细的数据分析之前全部结果的修改可以共享。 MSSW白皮书强调了一个重要的问题与频率在前25名中计算的重量。目前传统的方程使用的前25名,NIST称之为MDSE,重同样频率和严重程度。实际上,这意味着MDSE相当于增加了100%的频率在严重一倍。由于CVSS分数限制在10(从0.0到10.0的增量0.1),最多可以有100的分数,限制CVSS分数2数量级的差异从这个最低分数最高的分数。频率低至1高达4740,这是一个更高的数量级。 NIST团队指出,相等权重的指数分布不均匀分配CWE频率分数范围(0,1)。鉴于疲弱的指数分布频率,频率值项MDSE的挤压下的范围(0,1),而划分的经验更加平衡分布,虽然CVSS分数也通常斜向右由于较高的安全性漏洞的发表偏倚。 梅森危险得分相比框架排名前25位的团队曾与乔治梅森大学的一组研究人员(乔治·梅森大学),特别是诺阿艾博年,为了更好地理解他们提出头n个方法的异同。经过几次讨论,仔细分析他们的工作发表在“对基于配置安全脆弱性指标”,前25名的团队认为这提供了一个类似的不同的方法。乔治·梅森大学团队比较他们的数据和方法2020年排名前25位的列表以及NVD 2018年和2019年的数据。在排名前25位的排名相比,他们发现约90%相关的2018年和2019年,分别。除了提供验证反对2020年前25名中,乔治·梅森大学团队利用IDS规则使cf所能探测到IDS规则。简而言之,“基于配置安全脆弱性指标”梅森危险得分框架提供以下主要贡献:“(我)一个通用的和可扩展的正式的方法来评估一个攻击者的可能性将尝试利用漏洞以及成功的开发需要的影响;(2)使用入侵检测系统(IDS)的规则计算的可能性和影响;和(3)的一组指标补充图模型建立在脆弱的图表,包括但不限于多层图形生成的SCIBORG(一个框架,提高分布式系统的安全状况检查配置更改的影响在相互依赖的组件)”。 考虑独立复制前25名 一些政党可能希望独立复制前25位的计算。虽然CWE排名前25位的团队支持独立复制,必须做出以下注意事项:
映射的细节问题 本节提供进一步的细节,连续波,通常认为根源的弱点在漏洞不恰当或不提供信息的披露。虽然这些条目是重要的理解的层次CWE的弱点,它们可以“有问题的”用于漏洞缺陷类型的映射。 一般来说,最成问题的连续波有一个或多个下列问题:
最下面列出有问题的连续波,并描述了在执行重新映射所遇到的困难,在2022年前25名。
这个列表是说明性的,但不全面。在未来,前25小组希望提供工具和功能,识别CWE id映射时气馁或禁止使用漏洞cw根源。 新兴的机会改善 尽管当前的限制重新映射任务最近一些活动已经成形,可能会显示积极改进NVD / CWE映射数据,用于未来排名前25位的列表:
全社区的策略为提高映射 而排名前25位的同比提高了自2019年以来,整个变化率仍相对缓慢,反映在课程的比例仍在2022年的列表。排名前25位的团队认为,大社区的参与将有助于提高未来的质量排名前25位的列表,和整体质量和精度为报道cf CWE映射。 在接下来的六个月中,排名前25位的团队将考虑改变如:
排名前25位的未来的可能性 排名前25位的团队主要遵循相同的方法在过去的四年。团队可能在明年进行重大修改,这将影响如何生成列表,可能造成重大的转变。例如:
注意,即使这些变化最终是成功的生产和质量更好的映射,好处可能不会意识到,一段时间;例如,2022年排名前25位的发布日期,2022年的前6个月数据是使用老方法。 确认 2022 CWE排名前25位的团队包括(按字母顺序):亚历克•萨默斯凯思琳,康纳毛拉,大卫•罗斯伯格吉姆•巴里Jr。凯利托德,马林诺夫斯基路加福音,罗伯特·l·Heinemann, Jr .) Rushi Purohit,史蒂夫Christey绿青鳕,和特伦特DeLor。NIST NVD分析团队的成员,排名前25位的协调包括Aleena迪恩,克里斯托弗•特纳大卫·荣格罗伯特•拜尔斯谭雅布鲁尔,蒂姆•Pinelli和维迪雅Ananthakrishna。最后,也要感谢广大CWE社区提出改进过程。 存档 过去的版本CWE前25名中可用存档。
更多的信息是可用的,请选择一个不同的过滤器。
|
