Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Livelli di gravità per i risultati di Amazon Inspector
Quando Amazon Inspector genera una rilevazione di vulnerabilità, assegna automaticamente una gravità alla scoperta. La gravità di un rilevamento riflette le caratteristiche principali del risultato e può quindi aiutarti a valutare e dare priorità ai risultati. La gravità di un risultato non implica né indica in altro modo la criticità o l'importanza che una risorsa interessata potrebbe avere per l'organizzazione.
La classificazione di gravità di un risultato è determinata da un punteggio numerico che corrisponde a uno dei seguenti livelli di gravità: informativo, basso, medio, alto o critico.
Il metodo con cui Amazon Inspector determina la gravità varia in base al tipo di risultato. Consulta le seguenti sezioni per saperne di più su come Amazon Inspector determina la classificazione di gravità per ogni tipo di risultato.
Gravità della vulnerabilità dei pacchetti software
Amazon Inspector utilizza il punteggio NVD/CVSS come base per il punteggio di gravità per le vulnerabilità dei pacchetti software. Il punteggio NVD/CVSS è il punteggio di gravità delle vulnerabilità pubblicato da NVD e definito dal CVSS. Il punteggio NVD/CVSS è una composizione di metriche di sicurezza, come la complessità degli attacchi, la maturità del codice di exploit e i privilegi richiesti. Amazon Inspector produce un punteggio numerico da 1 a 10 che riflette la gravità della vulnerabilità. Amazon Inspector lo classifica come punteggio di base perché riflette la gravità di una vulnerabilità in base alle sue caratteristiche intrinseche, che sono costanti nel tempo. Questo punteggio presuppone anche l'impatto ragionevole nel peggiore dei casi su diversi ambienti distribuiti. Lo standard CVSS v3 associa i punteggi CVSS
|
Punteggio |
Valutazione |
| 0 | Messaggio informativo |
| 0,1—3,9 | Bassa |
| 4,0—6,9 | Media |
| 7,0—8,9 | Elevata |
| 9,0—10,0 | Critico |
Le vulnerabilità rilevate nei pacchetti possono anche avere una gravità pari a Untriaged. Ciò significa che il fornitore non ha ancora impostato un punteggio di vulnerabilità per la vulnerabilità rilevata. In questo caso, consigliamo di utilizzare gli URL di riferimento relativi alla scoperta per ricercare la vulnerabilità e rispondere di conseguenza.
I risultati delle vulnerabilità dei pacchetti includono i seguenti punteggi e i vettori di punteggio associati come parte dei dettagli dei risultati:
-
Punteggio EPSS
-
Punteggio Inspector
-
CVSS 3.1 di Amazon CVE
-
CVSS 3.1 di NVD
-
CVSS 2.0 da NVD (dove applicabile)
Gravità della vulnerabilità del codice
Per rilevare le vulnerabilità del codice, Amazon Inspector utilizza i livelli di gravità definiti dai rilevatori CodeGuru Amazon che hanno generato il risultato. A ciascun rilevatore viene assegnata una gravità utilizzando il sistema di punteggio CVSS v3. Per una spiegazione degli CodeGuru usi delle severità, consulta le definizioni di gravità nella guida. CodeGuru Per un elenco dei rilevatori in base alla gravità, seleziona uno dei linguaggi di programmazione supportati di seguito:
Severità della raggiungibilità della rete
Amazon Inspector determina la gravità di una vulnerabilità di raggiungibilità della rete in base al servizio, alle porte e ai protocolli esposti e al tipo di percorso aperto. La tabella seguente definisce questi livelli di gravità. Il valore nella colonna Open path rating rappresenta i percorsi aperti provenienti da gateway virtuali, VPC peer e reti. AWS Direct Connect Tutti gli altri servizi, porte e protocolli esposti hanno una classificazione di gravità informativa.
|
Servizio |
Porte TCP |
Porte UDP |
Classificazione del percorso Internet |
Classificazione del percorso aperto |
| DHCP | 67, 68, 546, 547 | 67, 68, 546, 547 | Media | Messaggio informativo |
| Elasticsearch | 9300, 9200 | N/A | Media | Messaggio informativo |
| FTP | 21 | 21 | Elevata | Media |
| Global catalog LDAP | 3268 | N/A | Media | Messaggio informativo |
| Global catalog LDAP over TLS | 3269 | N/A | Media | Messaggio informativo |
| HTTP | 80 | 80 | Bassa | Messaggio informativo |
| HTTPS | 443 | 443 | Bassa | Messaggio informativo |
| Kerberos | 88, 464, 543, 544, 749, 751 | 88, 464, 749, 750, 751, 752 | Media | Messaggio informativo |
| LDAP | 389 | 389 | Media | Messaggio informativo |
| LDAP over TLS | 636 | N/A | Media | Messaggio informativo |
| MongoDB | 27017, 27018, 27019, 28017 | N/A | Media | Messaggio informativo |
| MySQL | 3306 | N/A | Media | Messaggio informativo |
| NetBIOS | 137, 139 | 137, 138 | Media | Messaggio informativo |
| NFS | 111, 2049, 4045, 1110 | 111, 2049, 4045, 1110 | Media | Messaggio informativo |
| Oracle | 1521, 1630 | N/A | Media | Messaggio informativo |
| PostgreSQL | 5432 | N/A | Media | Messaggio informativo |
| Servizi di stampa | 515 | N/A | Elevata | Media |
| RDP | 3389 | 3389 | Media | Bassa |
| RPC | 111, 135, 530 | 111, 135, 530 | Media | Messaggio informativo |
| SMB | 445 | 445 | Media | Messaggio informativo |
| SSH | 22 | 22 | Media | Bassa |
| SQL Server | 1433 | 1434 | Media | Messaggio informativo |
| Syslog | 601 | 514 | Media | Messaggio informativo |
| Telnet | 23 | 23 | Elevata | Media |
| WINS | 1512, 42 | 1512, 42 | Media | Messaggio informativo |
