Bewertung & Priorisierung on DefectDojo Documentation

CVSS-Versionsunterstützung

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo unterstützt CVSS-Metadaten bei Befunden, einschließlich des CVSS-4.0-Standards. Diese Seite beschreibt, welche CVSS-Versionen durchgängig gespeichert werden, wo Sie sie eingeben oder einsehen können, und was Sie hinsichtlich der Parser-seitigen Abdeckung erwarten können.

EPSS / KEV

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro reichert Ihre Befunde automatisch mit zwei externen Threat-Intelligence-Quellen an — EPSS und CISA KEV — damit die Priorisierung widerspiegelt, wie wahrscheinlich eine Schwachstelle ausgenutzt wird, und nicht nur ihren CVSS-Schweregrad. Beide Quellen werden Befunden anhand der CVE zugeordnet, aktualisieren sich nach einem täglichen Zeitplan und fließen direkt in die berechnete Priorität jedes Befunds ein.

Erreichbarkeit

Mon, 01 Jan 0001 00:00:00 +0000

Eine kritische CVE in Code, den Ihre Anwendung nie aufruft, stellt nicht dasselbe Risiko dar wie dieselbe CVE auf einem aktiven Anfragepfad. Erreichbarkeit erfasst genau diesen Unterschied: DefectDojo Pro protokolliert, ob der verwundbare Code jedes Befunds tatsächlich erreicht werden kann, zeigt Ihnen, worauf diese Schlussfolgerung beruht, und lässt sie in die berechnete Priorität des Befunds einfließen.