Présentation des intégrations NVD

  • Rversion finale: Washingtondc
  • Mis à jour 1 févr. 2024
  • 6 minutes de lecture

    • Les intégrations NVD utilisent des données importées du produit National Vulnerability Database (NVD) du National Institute of Standards and Technology (NIST) pour vous aider à déterminer l’impact et la priorité des failles dans votre code. Exécutez cette intégration dans le cadre de votre configuration initiale avant Vulnerability Response d’importer des données de vulnérabilité dans votre instance avec un produit de scanner tiers.

    Demander des applications dans l'App Store

    Visitez le site Web ServiceNow Store pour découvrir toutes les applications disponibles et pour obtenir des informations sur la procédure à suivre pour soumettre des demandes à la boutique. Pour obtenir des informations sur les notes de publication cumulatives pour toutes les applications publiées, consultez les ServiceNow Storenotes de publication relatives à l'historique des versions.

    Le NVD du NIST collecte à la fois des données CVE (Common Vulnerabilities and Exposures) et des données CPE (Common Platform Enumeration) et met ces données à la disposition du Now Platform®. Il s’intègre Vulnerability Response facilement pour cartographier les vulnérabilités CVE et CPE, enrichissant ainsi les données de votre instance.
    Important :
    Un utilisateur d’exécution en tant que configuré existe pour chaque enregistrement d’intégration. La valeur par défaut pour cet utilisateur est VR. Système. Ne modifiez en aucun cas cette valeur.
    Une fois installée, l’intégration de l’API NIST National Vulnerability Database Integration (CVE uniquement) est invoquée automatiquement en tant que tâche planifiée et s’exécute quotidiennement. Vous pouvez également exécuter manuellement des tâches planifiées individuelles. Les tâches planifiées simplifient le cycle de vie de correction des vulnérabilités en gardant l’instance synchronisée avec d’autres systèmes de gestion des vulnérabilités.
    Conseil :
    L’activation de ce module d’extension pour les instances de production peut nécessiter une licence distincte.

    Versions disponibles

    Version Notes de publication

    Vulnerability Response Intégration avec NVD v1.2

    Importation initiale des données de vulnérabilité avec les intégrations NVD et CWE

    1. Effectuez une importation initiale des données CWE avec CWE Comprehensive 2000 Integration.

      Consultez Configurer et exécuter la tâche planifiée pour la mise à jour des enregistrements CWE. Vous effectuez les mises à jour CWE sur demande à partir de l’enregistrement d’intégration par défaut, et vous devez le configurer.

      Remarque :
      Planifiez l’exécution de la mise à jour CWE avant la mise à jour de la base de données NVD. Le jour par défaut pour la mise à jour NVD est Hebdomadaire le lundi.
    2. Vérifiez que l’application Vulnerability Response Integration with NVD est installée et qu’une importation de données initiale à partir de l’intégration de la base de données de vulnérabilité nationale du NIST - API (CVE uniquement) ou de l’intégration de la base de données de vulnérabilité nationale du NIST - API (CVE et CPE) est réussie.

      Pour les CPE, vérifiez qu’une importation de données initiale à partir de l’API : NIST National Vulnerability Database Integration (CPE uniquement) est réussie.

      L’activation de ce module d’extension pour les instances de production peut nécessiter une licence distincte. Une fois le module d’extension installé, l’API - NIST National Vulnerability Database Integration (CVE uniquement) est activée par défaut. Il fonctionne tous les jours. Consultez Installer l’intégration Vulnerability Response avec la base de données de vulnérabilité nationale NIST pour plus d'informations.

    3. Les bibliothèques tierces sont mises à jour en tant que tâches planifiées. Consultez votre documentation d’intégration à l’adresse Intégrations de Vulnerability Response pour plus d’informations sur les intégrations tierces.

    Comprendre les données de vulnérabilité importées et les éléments vulnérables

    Dans votre Now Platform instance, chaque vulnérabilité importée est représentée par une entrée de vulnérabilité dans les bibliothèques sources des scanners tiers comme Qualys, par exemple. Les éléments vulnérables (VI) importés et mis à jour dans votre instance font référence à des bibliothèques tierces, telles que la Qualys bibliothèque. Une bibliothèque tierce peut, à son tour, faire référence au NVD.

    Par exemple, lorsque vous ingérez des données de vulnérabilité tierces à partir d’un produit comme Qualys, vous ingérez des VI qui font référence à un QID (Qualys identifiant). Dans le cas de Qualys, ce QID fait à son tour référence un CVE de la bibliothèque NVD. Lorsque vous cliquez sur ce QID dans une tâche de rattrapage ou un enregistrement d’élément vulnérable dans l’application Vulnerability Response , et que vous avez exécuté les intégrations NVD et CWE pour ingérer des données, vous affichez des données de vulnérabilité actuelles et enrichies qui vous permettent de voir les relations qui existent entre vos VI et vos CVE, CWE et CPE.

    Avant d’exécuter un scanner tiers qui Qualys possède sa propre bibliothèque, vous devez d’abord installer et exécuter, au minimum, l’intégration NIST National Vulnerability Database Integration- API (CVE uniquement) (inclut également les détails liés à la CISA), l’intégration CWE pour ingérer les données de vulnérabilité. Ces importations de données NVD et CWE enrichissent vos Vulnerability Response données OR Application Vulnerability Response avant l’importation de données avec un produit tiers.

    Pour plus d’informations sur la gestion et l’affichage des bibliothèques NVD, CWE et tierces, reportez-vous aux sections Importer des données avec les intégrations NVD et CWE et gérer des bibliothèques tierces et Afficher Vulnerability Response les bibliothèques de vulnérabilités.

    Une fois que vous avez vérifié l’importation réussie de NVD, pour enrichir davantage vos données de vulnérabilité, Configurer et exécuter la tâche planifiée pour la mise à jour des enregistrements CWE.

    Effectuez les importations NVD et CWE avant d’importer des données de vulnérabilité avec un produit tiers. Les bibliothèques tierces sont mises à jour en tant que tâches planifiées. Consultez votre documentation d’intégration à l’adresse Intégrations de Vulnerability Response pour plus d’informations sur les intégrations tierces.

    Localisation des intégrations NVD

    Pour afficher les intégrations NVD, accédez à Vulnerability Response ou Application Vulnerability Response > Administration > Intégrations.

    Les intégrations suivantes sont incluses dans le système de base.
    Remarque :
    Par défaut, seule l’intégration de l’API : NIST National Vulnerability Database Integration (CVE uniquement) est active.
    Tableau 1. Intégrations NVD
    Intégration Description
    Intégration de la base de données des vulnérabilités nationale NIST : API (CVE uniquement) Récupère uniquement les données de vulnérabilité (CVE) NIST NVD. Par défaut, cette intégration est automatiquement définie pour s’exécuter quotidiennement.
    API d’intégration de la base de données des vulnérabilités nationale NIST (CPE uniquement) Récupère les données CPE à partir de NIST NVD. Cette intégration est désactivée par défaut.

    Activez cette intégration si vous souhaitez capturer des données CPE qui incluent un format de nom formel, une méthode de vérification des noms par rapport à un système et un format de description pour lier le texte et les tests à un nom. Ces informations sont stockées dans un logiciel vulnérable.

    Cette intégration est définie pour s’exécuter quotidiennement et est inactive par défaut. Pour activer cette intégration, reportez-vous à Activer la base de données des vulnérabilités nationale du NIST (CPE uniquement).
    API d’intégration de base de données des vulnérabilités nationale NIST (CPE non mappé) Récupère les données CPE associées aux CVE récupérés à partir de NIST NVD. Cette intégration est désactivée par défaut.

    Activez cette intégration si vous souhaitez capturer des données CPE qui incluent un format de nom formel, une méthode de vérification des noms par rapport à un système et un format de description pour lier le texte et les tests à un nom. Ces informations sont stockées dans une liste connexe d’enregistrement d’entrée de vulnérabilité NVD. Cette intégration est définie pour s’exécuter sur demande et est inactive par défaut. Pour activer cette intégration, reportez-vous à Activer la base de données des vulnérabilités nationale du NIST (CPE non mappé).
    Important :
    L’intégration « NIST National Vulnerability Database Integration-API (CVE and CPE) » est déconseillée.

    Pour les états d’exécution de l’intégration, Afficher l’état de l’exécution de l’importation de l’intégration NVD (Base de données de vulnérabilité nationale)voir .