Entendendo os níveis de severidade das suas descobertas do Amazon Inspector

Quando o Amazon Inspector gera uma descoberta, ele atribui uma classificação de severidade à descoberta. As classificações de severidade ajudam você a avaliar e priorizar suas descobertas. A classificação de severidade de um achado corresponde a uma pontuação e nível numéricos: informativo, baixo, médio, alto e crítico. O Amazon Inspector determina a classificação de severidade de uma descoberta com base no tipo de descoberta. Esta seção descreve como o Amazon Inspector determina uma classificação de severidade para cada tipo de descoberta.

Gravidade da vulnerabilidade do pacote de software

O Amazon Inspector usa a CVSS pontuaçãoNVD/como base da pontuação de severidade para vulnerabilidades de pacotes de software. A CVSS pontuaçãoNVD/é a pontuação de gravidade da vulnerabilidade publicada pela NVD e definida pelaCVSS. A CVSS pontuaçãoNVD/é uma composição de métricas de segurança, como complexidade do ataque, maturidade do código de exploração e privilégios necessários. O Amazon Inspector produz uma pontuação numérica de 1 a 10 que reflete a gravidade da vulnerabilidade. O Amazon Inspector classifica isso como uma pontuação básica porque reflete a gravidade de uma vulnerabilidade de acordo com suas características intrínsecas, que são constantes ao longo do tempo. Essa pontuação também pressupõe o pior impacto razoável em diferentes ambientes implantados. O padrão CVSS v3 mapeia as CVSS pontuações para as seguintes classificações de severidade.

Pontuação	Classificação
0	Informativo
0,1—3,9	Baixo
4,0—6,9	Médio
7,0—8,9	Alta
9,0—10,0	Crítico

As descobertas de vulnerabilidade do pacote também podem ter uma severidade de Não triado. Isso significa que o fornecedor ainda não definiu uma pontuação de vulnerabilidade para a vulnerabilidade detectada. Nesse caso, recomendamos usar a referência da descoberta URLs para pesquisar essa vulnerabilidade e responder adequadamente.

As descobertas de vulnerabilidade do pacote incluem as seguintes pontuações e os vetores de pontuação associados como parte dos detalhes da descoberta:

• EPSSpontuar

• Pontuação do Inspector

• CVSS3.1 da Amazon CVE

• CVSS3.1 de NVD

• CVSS2.0 de NVD (quando aplicável)

Gravidade da vulnerabilidade do código

Para descobertas de vulnerabilidade de código, o Amazon Inspector usa os níveis de severidade definidos pelos CodeGuru detectores da Amazon que geraram a descoberta. Cada detector recebe uma severidade usando o sistema de pontuação CVSS v3. Para obter uma explicação sobre os CodeGuru usos de severidade, consulte Definições de severidade no CodeGuru guia. Para obter uma lista de detectores por gravidade, selecione uma das linguagens de programação compatíveis abaixo:

• Detectores Python por gravidade

• Detectores Java por gravidade

Gravidade da acessibilidade da rede

O Amazon Inspector determina a gravidade de uma vulnerabilidade de acessibilidade da rede com base no serviço, nas portas e nos protocolos expostos e pelo tipo de caminho aberto. A tabela a seguir define essas classificações de severidade. O valor na coluna Open Path Rating representa caminhos abertos de gateways virtuais, peering e VPCs AWS Direct Connect redes. Todos os outros serviços, portas e protocolos expostos têm uma classificação de severidade informativa.

Serviço	TCPportas	UDPportas	Classificação do caminho da Internet	Classificação do caminho aberto
DHCP	67, 68, 546, 547	67, 68, 546, 547	Médio	Informativo
Elasticsearch	9300, 9200	N/D	Médio	Informativo
FTP	21	21	Alta	Médio
Catálogo global LDAP	3268	N/D	Médio	Informativo
Fim do catálogo LDAP global TLS	3269	N/D	Médio	Informativo
HTTP	80	80	Baixo	Informativo
HTTPS	443	443	Baixo	Informativo
Kerberos	88, 464, 543, 544, 749, 751	88, 464, 749, 750, 751, 752	Médio	Informativo
LDAP	389	389	Médio	Informativo
LDAPterminado TLS	636	N/D	Médio	Informativo
MongoDB	27017, 27018, 27019, 28017	N/D	Médio	Informativo
Meu SQL	3306	N/D	Médio	Informativo
Rede BIOS	137, 139	137, 138	Médio	Informativo
NFS	111, 2049, 4045, 1110	111, 2049, 4045, 1110	Médio	Informativo
Oracle	1521, 1630	N/D	Médio	Informativo
Postger SQL	5432	N/D	Médio	Informativo
Serviços de impressão	515	N/D	Alta	Médio
RDP	3389	3389	Médio	Baixo
RPC	111, 135, 530	111, 135, 530	Médio	Informativo
SMB	445	445	Médio	Informativo
SSH	22	22	Médio	Baixo
Servidor do SQL	1433	1434	Médio	Informativo
Syslog	601	514	Médio	Informativo
Telnet	23	23	Alta	Médio
WINS	1512, 42	1512, 42	Médio	Informativo