As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Níveis de severidade para descobertas do Amazon Inspector

Quando o Amazon Inspector gera uma descoberta de vulnerabilidade, ele atribui automaticamente uma severidade à descoberta. A gravidade de uma descoberta reflete as principais respectivas características e, portanto, pode ajudar você a avaliar e priorizar suas descobertas. A gravidade de uma descoberta não implica nem indica o caráter crítico ou a importância que um recurso afetado pode ter para sua organização.

A classificação de severidade de uma descoberta é determinada por uma pontuação numérica que corresponde a um dos seguintes níveis de severidade: informativo, baixo, médio, alto ou crítico.

O método pelo qual o Amazon Inspector determina a gravidade difere de acordo com o tipo de descoberta. Consulte as seções a seguir para saber mais sobre como o Amazon Inspector determina a classificação de severidade para cada tipo de descoberta.

Gravidade da vulnerabilidade do pacote de software

O Amazon Inspector usa a pontuação do NVD/CVSS como base da pontuação de severidade para vulnerabilidades de pacotes de software. A pontuação do NVD/CVSS é a pontuação de gravidade da vulnerabilidade publicada pelo NVD e definida pelo CVSS. A pontuação do NVD/CVSS é uma composição de métricas de segurança, como complexidade do ataque, maturidade do código de exploração e privilégios necessários. O Amazon Inspector produz uma pontuação numérica de 1 a 10 que reflete a gravidade da vulnerabilidade. O Amazon Inspector classifica isso como uma pontuação básica porque reflete a gravidade de uma vulnerabilidade de acordo com suas características intrínsecas, que são constantes ao longo do tempo. Essa pontuação também pressupõe o pior impacto razoável em diferentes ambientes implantados. O padrão CVSS v3 mapeia as pontuações do CVSS para as seguintes classificações de gravidade.

As descobertas de vulnerabilidade do pacote também podem ter uma severidade de Não triado. Isso significa que o fornecedor ainda não definiu uma pontuação de vulnerabilidade para a vulnerabilidade detectada. Nesse caso, é recomendável usar os URLs de referência para a descoberta para pesquisar essa vulnerabilidade e responder adequadamente.

As descobertas de vulnerabilidade do pacote incluem as seguintes pontuações e os vetores de pontuação associados como parte dos detalhes da descoberta:

Gravidade da vulnerabilidade do código

Para descobertas de vulnerabilidade de código, o Amazon Inspector usa os níveis de severidade definidos pelos CodeGuru detectores da Amazon que geraram a descoberta. Cada detector recebe uma severidade usando o sistema de pontuação do CVSS v3. Para obter uma explicação sobre os CodeGuru usos de severidade, consulte Definições de severidade no CodeGuru guia. Para obter uma lista de detectores por gravidade, selecione uma das linguagens de programação compatíveis abaixo:

Gravidade da acessibilidade da rede

O Amazon Inspector determina a gravidade de uma vulnerabilidade de acessibilidade da rede com base no serviço, nas portas e nos protocolos expostos e pelo tipo de caminho aberto. A tabela a seguir define essas classificações de severidade. O valor na coluna Open Path Rating representa caminhos abertos de gateways virtuais, VPCs com peering e redes. AWS Direct Connect Todos os outros serviços, portas e protocolos expostos têm uma classificação de severidade informativa.