Créer un calculateur de vulnérabilité d’application

Rversion finale: Xanadu

Mis à jour 1 août 2024

5 minutes de lecture

Un calculateur de vulnérabilité d’application est une formule prédéfinie permettant de calculer un champ cible lorsque certains critères sont remplis. Les calculateurs, qui calculent le score de risque de l’élément vulnérable de l’application (AVI), peuvent contenir des règles de risque. Les calculs de risque permettent de déterminer clairement les priorités du rattrapage.

Avant de commencer

Rôle requis : groupe de gestionnaires App-Sec

Remarque :

Vous remarquerez peut-être une dégradation des performances lors de l’exécution de calculateurs de vulnérabilité d’application contenant des scripts.

Ordonnez à vos règles d’exécuter d’abord les règles les plus simples. Exécuter uniquement des scripts sur les éléments qui ne peuvent pas être gérés avec une condition et une valeur de modèle ou une règle de risque.

Procédure

Accédez à la Tout > Application Vulnerability Response > Administration > Calculateurs de vulnérabilités.
Cliquez sur Nouveau.

Renseignez les champs du formulaire comme il convient.

Tableau 1. Formulaire du calculateur de vulnérabilité
Champ	Description
Nom	Le nom du calculateur de vulnérabilité de l’application.
Table	Renseigné automatiquement avec le nom de la table AVI.
Application	Rempli automatiquement avec Réponse aux vulnérabilités.
Champ cible	Champ à calculer.
Description	Description textuelle du calculateur.
Actif	Allumez ou éteignez la calculatrice.

Cliquez avec le bouton droit de la souris dans l’en-tête pour enregistrer.
La section Règles du calculateur de vulnérabilité s’affiche.
Créez une règle pour le calculateur en cliquant sur Nouveau.

Remarque :
Pour le formulaire Nouvelles règles de risque (disponible uniquement lorsque le champ Cible est Score de risque), consultez l’étape 10.

Renseignez les champs comme il convient.

Tableau 2. Formulaire Règle du calculateur de vulnérabilité
Champ	Description
Nom	Nom de la règle du calculateur.
Ordre	Ordre dans lequel exécuter le calculateur de vulnérabilité. Un calculateur avec une entrée d’ordre de 100 s’exécute avant un calculateur avec une entrée d’ordre de 200.
Calculateur	Renseigné automatiquement avec le parent calculateur.
Actif	Par défaut, la case Actif est cochée, ce qui signifie que la règle du calculateur est active. Si vous décochez cette case, cette règle ne s’applique pas aux nouveaux éléments vulnérables créés dans le système.
Vue avancée	Si cette option est sélectionnée, les conditions et valeurs scriptées peuvent être sélectionnées à partir du type de condition et du type de valeur.

Renseignez les champs de l’onglet Quand cette condition est remplie , le cas échéant.

Tableau 3. Onglet Quand cette condition est remplie
Champ	Description
Type de condition	Disponible lorsque vous sélectionnez la vue avancée. Les choix sont les suivants : Filtre : utilise des conditions de filtre. Groupe de filtres : voir Créer et définir des groupes de filtres pour définir les critères du calculateur. Script : condition de script utilisée pour déterminer quand appliquer ce calculateur. Remarque : Avant d’écrire des scripts pour déterminer quand appliquer les calculateurs, revenez à la liste des calculateurs de vulnérabilité d’application . Explorez les enregistrements du calculateur de vulnérabilité expédiés avec le système de base.
Condition	Définit les conditions de filtre de base pour déterminer s’il faut utiliser le calculateur ou non. La sélection du groupe de filtres ou des types de conditions de script masque ce champ.

Cliquez sur l’onglet Définir ces valeurs et renseignez les champs du formulaire comme il convient.

Tableau 4. Définir l’onglet Définir ces champs
Champ	Description
Type de valeur	Disponible lorsque vous sélectionnez la vue avancée. Les choix sont les suivants : Modèle : définissez les valeurs à définir sur chaque champ. Script : utilisé pour définir les valeurs de chaque champ.
Valeurs de script	Disponible si vous avez sélectionné le type de valeur Script . Définit les valeurs auxquelles appliquer les calculs.
Modèle	Sélectionnez les champs et les valeurs que vous souhaitez utiliser pour le calculateur. La sélection du type de valeur de script masque ce champ.

Lorsque vous avez rempli toutes les entrées, cliquez sur Soumettre.

Remarque :
Lorsque vous modifiez un calculateur existant et que vous souhaitez mettre à jour tous les scores existants, vous pouvez utiliser le bouton Réappliquer le calculateur . Il passe en revue tous les AVI actifs et, si ce calculateur est utilisé pour définir sa valeur, il recalcule la valeur de ces AVI. Étant donné que la réapplication d’une calculatrice peut prendre beaucoup de temps, une tâche planifiée s’en charge.

Pour le formulaire Nouvelles règles de risque , renseignez les champs comme il convient.

Définissez chaque poids en fonction du pourcentage du résultat qui doit provenir de cette valeur. Pour toutes les données que votre scanner ne fournit pas, ou pour les données qui ne doivent pas faire partie du score de risque, définissez le poids sur zéro.

Lorsque vous mettez à jour les pondérations, les scénarios affichent les pondérations restantes, ainsi que les résultats de score de risque anticipés.


Champ	Description
Nom	Nom de la règle du calculateur.
Ordre	Ordre dans lequel exécuter le calculateur. Un calculateur avec une entrée d’ordre de 100 s’exécute avant un calculateur avec une entrée d’ordre de 200.
Calculateur	Renseigné automatiquement avec le parent calculateur.
Actif	Par défaut, la case Actif est cochée, ce qui signifie que la règle du calculateur est active. Si vous décochez cette case, cette règle ne s’applique pas aux nouveaux éléments vulnérables créés dans le système.
Condition	Définit les conditions de filtre de base pour déterminer s’il faut utiliser le calculateur. La sélection du groupe de filtres ou des types de conditions de script masque ce champ.
Pondérations
Gravité de la vulnérabilité	Pourcentage du résultat qui provient de la gravité.
10 premiers OWASP	Pourcentage du résultat provenant de la présence de la vulnérabilité dans la liste des 10 premiers OWASP. Si ces informations ne sont pas présentes dans vos vulnérabilités, définissez le poids sur zéro.
SANS Top 25	Pourcentage du résultat provenant de la présence de la vulnérabilité dans la liste des 25 premiers SANS Si ces informations ne sont pas présentes dans vos vulnérabilités, définissez le poids sur zéro.
Exécution totale	Totaux des pourcentages calculés automatiquement. Lorsque cette valeur atteint 100, l’aperçu du scénario affiche des exemples de scores de risque dans différents scénarios.
Scénarios d'exemple	Lorsque tous les poids totalisent 100 %, les scénarios de score de risque s’affichent, fournissant un aperçu du score de risque dans certains des scénarios possibles.

Exemple de règle de risque de vulnérabilité

Cliquez sur Envoyer.