Esse tópico fornece explicações sobre como visualizar o catálogo de vulnerabilidades, o qual inclui vulnerabilidades identificadas em ativos tecnológicos por scanners externos integrados ao sistema assim como quaisquer vulnerabilidades que tenham sido importadas manualmente.
1. Acesse o módulo de Conhecimento.
2. Na seção Conhecimento de Riscos selecione a opção Catálogo de Vulnerabilidades.
O sistema exibe a lista de vulnerabilidades (veja abaixo).
Nota: as informações exibidas em cada coluna incluída nessa seção estão descritas abaixo:
•Vulnerabilidade: lista o nome da vulnerabilidade como cadastrado nos scanners ou como especificado na planilha quando a vulnerabilidade foi importada para o sistema.
•Categoria: indica o grupo ao qual as vulnerabilidades pertencem. Observe que o scanner Nexpose não utiliza categorias, assim, nesse caso, apenas o nome do scanner será exibido nessa coluna.
•Fonte: indica o scanner utilizado para fazer a análise da vulnerabilidade ou a fonte listada na planilha quando a vulnerabilidade foi importada para o sistema.
•Tipo: indica o tipo da vulnerabilidade, se é uma Informação Coletada (informação adicional coletada sobre os ativos tecnológicos), Vulnerabilidade Potencial (possível vulnerabilidade, mas não confirmada) ou Vulnerabilidade (vulnerabilidade confirmada).
•Nível: indica o nível de severidade da vulnerabilidade em uma escala de 1 (Muito Baixa) a 5 (Muito Alta). As três métricas diferentes utilizadas pelos scanners integrados ao sistema são padronizadas para as escalas internas como descrito abaixo:
|
Nível do QualysGuard: |
Nível do Nexpose: |
Nível do Módulo Risk Manager: |
|
1 |
1 – 2 |
1 |
|
2 |
3 – 4 |
2 |
|
3 |
5 – 6 |
3 |
|
4 |
7 – 8 |
4 |
|
5 |
9 - 10 |
5 |
•CVSS Score: exibe o Common Vulnerability Scoring System, índice criado pelo National Infrastructure Advisory Council (NIAC). Trata-se de um índice de 0 a 10 que determina a urgência, a prioridade e a severidade das vulnerabilidades encontradas. O CVSS Score pode ser de três tipos (base, temporal e environmental). O sistema utiliza o CVSS tipo base.
•Última Atualização: exibe a última em vez que os dados coletados foram atualizados no sistema de acordo com o agendamento configurado nas tarefas de integração.
3.
Para visualizar detalhes de uma vulnerabilidade, clique em Expandir
(
) ao seu lado.
O sistema exibe detalhes sobre as vulnerabilidades, incluindo sua descrição, impacto, solução, Bugtraq ID, CVE-ID e outras referências (veja abaixo).
