Niveles de gravedad de los resultados de Amazon Inspector

Cuando Amazon Inspector genera un resultado de vulnerabilidad, asigna automáticamente una gravedad al resultado. La gravedad de un resultado indica las características principales del resultado para ayudarle a evaluar y priorizar los resultados. La gravedad de un resultado no refleja de ningún modo la importancia o la gravedad que pueda tener un recurso afectado para su organización.

La clasificación de gravedad de un resultado se basa en una puntuación numérica que se corresponde con uno de los siguientes niveles de gravedad: informativa, baja, media, alta o crítico.

El método por el que Amazon Inspector determina la gravedad varía según el tipo de resultado. Consulte las siguientes secciones para obtener más información sobre cómo Amazon Inspector determina la clasificación de gravedad de cada tipo de resultado.

Gravedad de una vulnerabilidad de paquetes de software

Amazon Inspector utiliza la puntuación NVD/CVSS como base para la puntuación de gravedad de las vulnerabilidades de paquetes de software. La puntuación NVD/CVSS es la puntuación de gravedad de la vulnerabilidad publicada por NVD y definida por CVSS. Combina varias métricas de seguridad como la complejidad del ataque, la madurez del código de vulneración y los privilegios necesarios. Amazon Inspector produce una puntuación numérica del 1 al 10 que refleja la gravedad de la vulnerabilidad. Amazon Inspector la categoriza como una puntuación base porque refleja la gravedad de una vulnerabilidad según sus características intrínsecas, que son constantes a lo largo del tiempo. Esta puntuación también asume el peor impacto posible que puede esperarse en distintos entornos implementados. El estándar CVSS v3 asigna puntuaciones CVSS a las siguientes clasificaciones de gravedad.

Puntuación	Clasificación
0	Informativo
0,1—3,9	Baja
4,0—6,9	Medio
7,0—8.9	Alta
9.0—10.0	Critico

Los resultados de vulnerabilidad de paquetes también pueden tener asignado el valor de gravedad No evaluada. Esto significa que el proveedor aún no ha establecido una puntuación para la vulnerabilidad detectada. En este caso, recomendamos utilizar las direcciones URL de referencia del resultado para investigar la vulnerabilidad y actuar en consecuencia.

Los resultados de vulnerabilidad de paquetes incluyen las siguientes puntuaciones y los vectores de puntuación asociados en los detalles del resultado:

• Puntuación de EPSS

• Puntuación de Inspector

• CVSS 3.1 de CVE de Amazon

• CVSS 3.1 de NVD

• CVSS 2.0 de NVD (si procede)

Gravedad de una vulnerabilidad de código

Para detectar vulnerabilidades en el código, Amazon Inspector utiliza los niveles de gravedad definidos por los CodeGuru detectores de Amazon que generaron el hallazgo. A cada detector se le asigna una gravedad mediante el sistema de puntuación CVSS v3. Para obtener una explicación de los tipos de gravedad utilizados CodeGuru , consulte las definiciones de gravedad en la CodeGuru guía. Para ver una lista de detectores por nivel de gravedad, seleccione uno de los siguientes lenguajes de programación compatibles:

• Detectores de Python por nivel de gravedad

• Detectores de Java por nivel de gravedad

Gravedad de una vulnerabilidad de accesibilidad de red

Amazon Inspector determina la gravedad de una vulnerabilidad de accesibilidad de red en función del servicio, los puertos y los protocolos expuestos y del tipo de ruta abierta. Las clasificaciones de gravedad se definen en la tabla que verá a continuación. El valor de la columna de clasificación de rutas abiertas representa las rutas abiertas desde puertas de enlace virtuales, VPC interconectadas y redes. AWS Direct Connect El resto de servicios, puertos y protocolos expuestos tienen una clasificación de gravedad informativa.

Servicio	Puertos TCP	Puertos UDP	Clasificación de la ruta a Internet	Clasificación de la ruta abierta
DHCP	67, 68, 546, 547	67, 68, 546, 547	Medio	Informativo
Elasticsearch	9300, 9200	N/D	Medio	Informativo
FTP	21	21	Alta	Medio
LDAP catálogo global	3268	N/D	Medio	Informativo
LDAP catálogo global sobre TLS	3269	N/D	Medio	Informativo
HTTP	80	80	Baja	Informativo
HTTPS	443	443	Baja	Informativo
Kerberos	88, 464, 543, 544, 749, 751	88, 464, 749, 750, 751, 752	Medio	Informativo
LDAP	389	389	Medio	Informativo
LDAP sobre TLS	636	N/D	Medio	Informativo
MongoDB	27017, 27018, 27019, 28017	N/D	Medio	Informativo
MySQL	3306	N/D	Medio	Informativo
NetBIOS	137, 139	137, 138	Medio	Informativo
NFS	111, 2049, 4045, 1110	111, 2049, 4045, 1110	Medio	Informativo
Oracle	1521, 1630	N/D	Medio	Informativo
PostgreSQL	5432	N/D	Medio	Informativo
Servicios de impresión	515	N/D	Alta	Medio
RDP	3389	3389	Medio	Baja
RPC	111, 135, 530	111, 135, 530	Medio	Informativo
SMB	445	445	Medio	Informativo
SSH	22	22	Medio	Baja
SQL Server	1433	1434	Medio	Informativo
Syslog	601	514	Medio	Informativo
Telnet	23	23	Alta	Medio
WINS	1512, 42	1512, 42	Medio	Informativo