Importation de données avec les intégrations NVD et CWE et gestion de bibliothèques tierces

  • Rversion finale: Australia
  • Mis à jour 12 mars 2026
  • 2 minutes de lecture

    • Si ce n’est pas déjà fait, téléchargez et exécutez l’intégration NVD et exécutez la tâche planifiée CWE dans le cadre de votre configuration initiale de Vulnerability Response et avant d’importer des données de vulnérabilité dans votre instance avec un produit d’analyse tiers. L’intégration de Réponse aux vulnérabilités avec NVD est disponible sur le ServiceNow Store.

    Ingestion de données CWE et NVD

    Les données importées à partir des intégrations NVD et CWE sont utilisées pour enrichir les données de vulnérabilité de votre instance et vous aider à décider s’il y a lieu d’escalader le rattrapage pour une vulnérabilité, un élément vulnérable ou une tâche de rattrapage. Après une importation initiale, vous pouvez mettre à jour les enregistrements de bibliothèque à la demande ou configurer une tâche planifiée pour mettre à jour les enregistrements régulièrement. Réponse aux vulnérabilités les stocke dans les bibliothèques.

    Le système CVSS (Common Vulnerability Scoring System), inclus dans NVD et les entrées tierces, capture les principales caractéristiques d’une vulnérabilité. Réponse aux vulnérabilités utilise les données CVSS pour produire une valeur normalisée reflétant la gravité de la vulnérabilité. Lorsque la gravité est calculée, la vulnérabilité permet de mieux comprendre le risque posé par cette vulnérabilité pour votre organisation. La gravité vous aide à évaluer et à hiérarchiser le rattrapage des vulnérabilités.

    S’il s’agit de votre première installation de Réponse aux vulnérabilités ou avant d’ingérer des données pour la première fois avec un produit de scanner tiers :

    1. Effectuez une importation initiale des données CWE avec l’intégration complète CWE 2000.

      Consultez Configurer et exécuter la tâche planifiée pour la mise à jour des enregistrements CWE pour plus d'informations. Vous effectuez des mises à jour CWE sur demande à partir de l’enregistrement d’intégration par défaut et vous devez le configurer si vous souhaitez qu’il s’exécute en tant que tâche planifiée.

      Remarque :
      Planifiez l’exécution de la mise à jour CWE avant la mise à jour de la base de données NVD. Le jour par défaut pour la mise à jour NVD est le lundihebdomadaire.
    2. Vérifiez que l’intégration à l’application Réponse aux vulnérabilités NVD est installée et que les données de l’API NIST National Vulnerability Database Integration (CVE uniquement) ou de l’API NIST National Vulnerability Database Integration (CVE et CPE) sont importées.

      L’activation de ce module d’extension pour les instances de production peut nécessiter une licence distincte. Une fois installée, l’intégration NIST National Vulnerability Database Integration (CVE uniquement) est activée par défaut. Il s’exécute quotidiennement. Voir Présentation des intégrations NVD et Installer l’intégration Réponse aux vulnérabilités dans la base de données nationale de vulnérabilité NIST pour plus d’informations.

    3. Les bibliothèques tierces sont mises à jour en tant que travaux planifiés. Consultez votre documentation d’intégration à l’adresse Intégrations de Réponse aux vulnérabilités pour en savoir plus sur les intégrations tierces.

    Affichage des données de vulnérabilité et des éléments vulnérables importés

    Les bibliothèques suivantes sont disponibles :
    Bibliothèques Description
    NVD Liste des vulnérabilités trouvées par NVD et comprend des listes de vérification de sécurité, des failles logicielles liées à la sécurité, des erreurs de configuration, des noms de produits et des mesures d’impact, y compris les exploits.
    CWE

    Liste des types de faiblesses logicielles développés par la communauté.

    Chaque enregistrement CWE comprend également un article de la base de connaissances associé qui décrit la faiblesse. Vous ne pouvez pas escalader une vulnérabilité à partir de l’écran Common Weakness Enumerations, à titre de référence uniquement.
    Tiers Liste des vulnérabilités tierces importées dans votre instance. Contient une liste des références, des éléments vulnérables, des exploits et des CVE connexes.