Configuration Compliance Rechner und Rechnerregeln

Configuration Compliance -Rechner

Das Configuration Compliance-Basissystem enthält einen Konfigurations-Compliance-Rechner (Standardrisikorechner ), der die Basis- Risikopunktzahl für das Testergebnis festlegt. Configuration Compliance-Rechner können erstellt werden, um die Auswirkungen von Testergebnissen basierend auf beliebigen Kriterien mithilfe von Bedingungsfiltern zu priorisieren und zu bewerten. Unabhängig davon, ob es sich um die Geschäftsauswirkung der Schwachstelle oder die Klasse des Konfigurationselements (CI) handelt, können Sie zusätzliche Konfigurations-Compliance-Rechner erstellen, um andere Felder in Testergebnissen festzulegen, oder Sie können die vorhandenen Konfigurations-Compliance-Rechner anpassen. Ein Rechner kann so geschrieben werden, dass er einen beliebigen Satz von Prioritäten widerspiegelt.

Jeder Rechner enthält eine Liste von Rechnerregeln mit einer Bedingung, die bestimmt, wann sie angewendet werden sollen. Wenn der Rechner ausgeführt wird, wird die Bedingung für jede Rechnerregel der Reihe nach ausgewertet, und die erste übereinstimmende Rechnerregel wird verwendet.

Alle aktivierten Konfigurations-Compliance-Rechner legen die ausgewählten Felder jedes Mal fest, wenn ein Testergebnis erstellt wird, wenn sich ein zugeordnetes CI oder ein Konfigurationstest ändert oder wenn der zugehörige Link Risikopunktzahl berechnen in einem Testergebnis verwendet wird. Beispielsweise wird die Risikopunktzahl in Testergebnisdatensätzen automatisch aktualisiert, wenn der Wert für „control.criticality“ in einem importierten Testergebnis aktualisiert wird. Nachdem ein Testergebnisimport eine Testergebnispunktzahl aktualisiert hat, kann der Benutzer die Risikopunktzahl der Testergebnisse neu berechnen, indem er auf die Schaltfläche Rechner erneut anwenden klickt.

Wenn Sie aus einem vorhandenen Testergebnis auf den zugehörigen Link Risikopunktzahl berechnen klicken und einer der Rechner aktiviert ist, wird das Feld Risikopunktzahl im Testergebnis aktualisiert.

Hinweis:

Der zugehörige Link Risikopunktzahl berechnen ist nur sichtbar, wenn mindestens ein Konfigurations-Compliance-Rechner aktiviert ist.

Configuration Compliance Rechnerregeln

Standardmäßig wird ein Basissystem- Standardrisikorechner bereitgestellt. Wenn Sie eine Risikoregel für diesen Rechner erstellen möchten, müssen Sie das Zielfeld des Standardrisikorechners auf Risikopunktzahlfestlegen. Klicken Sie auf die Schaltfläche Neue Risikoregel, um eine neue Risikoregel zu erstellen . Dieser erstellt eine spezialisierte Testergebnis-Rechnerregel, die als Risikoregel bezeichnet wird, die wiederum die Risikopunktzahl basierend auf mehreren Werten berechnet. Standardmäßig werden die folgenden Werte für die Berechnung der Risikopunktzahl alsbetrachtet:

Business-Relevanz
Relevanz

Sie können die in der Standardrisikoregel zu verwendenden Werte anpassen und festlegen, wie viel Gewichtung jeder dieser Werte erhalten soll. Gewichtungen werden verwendet, um anzupassen, wie viel jedes Element beim Festlegen der Basis- Risikopunktzahlzählt.

Ab Configuration Compliance Version 13.0 können Sie die Kriterien für die Standardrisikoregel anpassen. Weitere Informationen finden Sie unter Felder und Gewichtungen für die Risikoregel definieren .

Zuweisen eines Gewichtungsprozentsatzes

Sie können auch einen Gewichtungsprozentsatz (0–100) auf Feldwertebene zuweisen. Sie können beispielsweise jeder Schweregradstufe („Keine“ bis „Kritisch“) einen Gewichtungsprozentsatz zuweisen. Wenn die Relevanzgewichtung für die Risikoregel 50 beträgt und die folgenden Gewichtungswerte für die Relevanzstufe zugewiesen werden:

Tabelle : 1. Gewichtungsprozentsatz zuweisen
Relevanz	Risikopunktzahl
Kritisch	100
Hoch	50
Mittel	20
Keine	0

Wenn die Relevanz kritisch ist, beträgt die entsprechende Gewichtung 50. Wenn die Relevanz hoch ist, beträgt die Gewichtung 25, bei mittlerer Relevanz beträgt die Gewichtung 10. Wenn die Relevanz keine ist, ist die entsprechende Gewichtung 0. Weitere Informationen finden Sie unter unter Beispiel für die Berechnung der Risikopunktzahl für Configuration Compliance.

Jede Regel hat eine Einstellung für Reihenfolge. Die erste Übereinstimmung mit den Bedingungen aktualisiert jedoch das Feld Risikopunktzahl im Testergebnis. Nicht geskriptete Rechnerregeln haben in der Regel weniger Auswirkungen auf die Leistung als geskriptete Rechnerregeln.

Der Basissystemrechner Configuration Compliance enthält Rechnerregeln, die jeder Relevanzstufe („Keine“ bis „Kritisch“) basierend auf dem Schweregrad einen Wert (0–100) für die Risikopunktzahl zuweisen. Dem Schweregrad „Unbekannt“ wird automatisch eine Risikopunktzahl von 100 zugewiesen. Diese Werte können angepasst werden, z. B. der Standardrisikorechner, neue Rechnerregeln oder neue Risikoregeln können erstellt werden.

Gewichtungen der Schwachstellen-Risikopunktzahl

Allen Schwachstellen werden eine Risikopunktzahl und eine Bewertung basierend auf Faktoren wie Schweregrad, Relevanz, Exploit-Informationen usw. zugewiesen. Die Geschäftsregel Update Risk Rating from Risk Score in der Tabelle „Angreifbares Element“ ist für die Berechnung der Risikobewertung verantwortlich. Immer wenn sich die Risikopunktzahl ändert, wird die Risikobewertung berechnet und für die angreifbaren Elemente ausgefüllt. Vor Version 17.1 der Anwendung Vulnerability Response (VR) wurden die folgenden Risikobewertungen als Teil der Skripteinbindung VulnerabilityUtilsbereitgestellt, die hartcodiert war.


Wert (Risikobewertung)	Gewichtung (Risikopunktzahl)
1	90–100
2	70–89
3	40–69
4	1–39
5	0

Ab Version 18.0 von Vulnerability Response,

Die Risikobewertungstypen werden in der Basistabelle als cc_risk_rating bereitgestellt. Diese Typen werden als Teil der Geschäftsregel in jeder Tabelle übergeben, in der die Risikobewertung berechnet wird.
Das Skript wurde so geändert, dass Sie die Einträge in den Werten der Tabelle „Risikopunktzahlgewichtungen“ für die Risikobewertungsberechnung abfragen können.
Fügen Sie zusätzliche Einträge für einen vorhandenen Typ hinzu, oder erstellen Sie einen neuen Typ. Wenn Sie einen neuen Typ erstellen, stellen Sie sicher, dass Sie die Bezeichnungen für die neue Risikobewertung hinzufügen und auch die zugehörigen Skripts und Geschäftsregeln ändern. Sie müssen auch einen neuen Stil für die neue Risikopunktzahl hinzufügen.
Ändern Sie das Skript, um die Datensätze in der Basistabelle abzufragen.

Sie können auf die Tabelle „Gewichtungen der Risikopunktzahl“ zugreifen, indem Sie im Filternavigator sn_sec_cmn_risk_score_weight eingeben.

Darüber hinaus wird die Risikopunktzahl in den folgenden Szenarien automatisch neu berechnet:

Wenn sich ein Konfigurationselement (CI) von „Nicht mit Internetzugriff“ in „Mit Internetzugriff“ ändert.
Wenn die zugeordneten Common Vulnerabilities and Exposures (CVEs) oder Drittanbietereinträge (TPEs) für die angreifbaren Elemente (VIs) mit einer CVE Known Exploit Vulnerability (KEV) verknüpft sind