Criar uma calculadora de vulnerabilidade da aplicação

  • Versão de lançamento: Yokohama
  • Atualizado 30 de jan. de 2025
  • 4 min. de leitura

    • Uma calculadora de vulnerabilidade da aplicação é uma fórmula predefinida para calcular um campo de destino quando determinados critérios são atendidos. As calculadoras, que calculam a pontuação de riscodo item vulnerável da aplicação (IVA), podem conter regras de risco. Os cálculos de risco oferecem informações sobre como priorizar a correção.

    Antes de Iniciar

    Função necessária: grupo de gerentes de App-Sec

    Nota:
    Você pode notar uma degradação no desempenho ao executar calculadoras de vulnerabilidade de aplicações que contêm scripts.

    Ordene suas regras para executar as regras mais simples primeiro. Execute scripts somente nos itens que não podem ser tratados com uma condição e valor de modelo ou uma regra de risco.

    Procedimento

    1. Navegar até Tudo > Resposta a vulnerabilidades de aplicações > Administração > Calculadoras de vulnerabilidade.
    2. Clique em Nova.
    3. Preencha os campos no formulário, conforme o apropriado.
      Tabela 1. Formulário de calculadora de vulnerabilidade
      Campo Descrição
      Nome O nome da calculadora de vulnerabilidade da aplicação.
      Tabela Preenchido automaticamente com o nome da tabela AVI.
      Aplicação Preenchido automaticamente com Resposta a vulnerabilidades.
      Campo de destino Campo a ser calculado.
      Descrição Descrição de texto da calculadora.
      Ativo Ligue ou desligue a calculadora.
    4. Clique com o botão direito do mouse no cabeçalho para Salvar.
      A seção Regras da calculadora de vulnerabilidade é exibida.
    5. Crie uma regra para a calculadora clicando em Novo.
      Nota:
      Para o formulário Novas regras de risco (disponível somente quando o campo Destino é Pontuação de risco), consulte a etapa 10.
    6. Preencha os campos, se for o caso.
      Tabela 2. Formulário Regra da calculadora de vulnerabilidade
      Campo Descrição
      Nome Nome da regra da calculadora.
      Ordem A ordem na qual a calculadora de vulnerabilidade será executada. Uma calculadora com uma entrada de ordem de 100 é executada antes de uma calculadora com uma entrada de ordem de 200.
      Calculadora Preenchido automaticamente com a calculadora primária.
      Ativo Por padrão, a caixa de seleção Ativo está marcada, o que significa que a regra da calculadora está ativa. Se você desmarcar esta caixa de seleção, esta regra não se aplicará aos novos itens vulneráveis criados no sistema.
      Exibição avançada Quando selecionadas, as condições com script e os valores com script podem ser selecionados em Tipo de condição e Tipo de valor.
    7. Preencha os campos na guia Quando esta condição for atendida, conforme apropriado.
      Tabela 3. Guia Quando esta condição for atendida
      Campo Descrição
      Tipo de condição Disponível quando você seleciona a exibição Avançada. As opções incluem:
      • Filtro: usa condições de filtro.
      • Grupo de filtros: consulte criar e definir grupos de filtros para definir os critérios da calculadora.
      • Script: condição de script usada para determinar quando aplicar esta calculadora.
        Nota:
        Antes de escrever scripts para determinar quando aplicar as calculadoras, retorne à lista Calculadoras de vulnerabilidade da aplicação. Explore os registros da calculadora de vulnerabilidade enviados com o sistema de base.
      Condição Define condições básicas de filtro para determinar se a calculadora deve ser usada ou não.

      A seleção dos tipos Grupo de filtros ou Condição de script oculta este campo.
    8. Clique na guia Definir estes valores e preencha os campos no formulário, conforme apropriado.
      Tabela 4. Guia Definir estes campos
      Campo Descrição
      Tipo de valor Disponível quando você seleciona a exibição Avançada. As opções incluem:
      • Modelo: defina os valores a serem definidos em cada campo.
      • Script: usado para definir os valores em cada campo.
      Valores de Script Disponível se você selecionou o tipo de valor Script.

      Define a quais valores os cálculos serão aplicados.
      Modelo Selecione os campos e valores que você deseja usar para a calculadora.

      A seleção do tipo de valor Script oculta este campo.
    9. Quando tiver concluído todas as entradas, clique em Enviar.
      Nota:
      Ao editar uma calculadora existente e quiser atualizar todas as pontuações existentes, você pode usar o botão Reaplicar calculadora. Ele é executado em todos os AVIs ativos e, se essa calculadora for usada para definir seu valor, recalcula o valor desses AVIs. Como a reaplicação de uma calculadora pode levar muito tempo, um trabalho agendado lida com isso.
    10. Para o formulário Novas regras de risco, preencha os campos conforme apropriado.

      Defina cada peso de acordo com a porcentagem do resultado que deve vir desse valor. Para todos os dados que o scanner não fornecer ou para dados que não devam fazer parte da pontuação de risco, defina o peso como zero.

      Conforme você atualiza os pesos, os cenários exibem os pesos restantes, bem como os resultados de pontuação de risco antecipados.

      Campo Descrição
      Nome Nome da regra da calculadora.
      Ordem A ordem na qual a calculadora será executada. Uma calculadora com uma entrada de ordem de 100 é executada antes de uma calculadora com uma entrada de ordem de 200.
      Calculadora Preenchido automaticamente com a calculadora primária.
      Ativo Por padrão, a caixa de seleção Ativo está marcada, o que significa que a regra da calculadora está ativa. Se você desmarcar esta caixa de seleção, esta regra não se aplicará aos novos itens vulneráveis criados no sistema.
      Condição Define condições básicas de filtro para determinar se a calculadora deve ser usada.

      A seleção dos tipos Grupo de filtros ou Condição de script oculta este campo.
      Pesos
      Severidade da Vulnerabilidade Percentual do resultado proveniente da gravidade.
      10 principais da OWASP Percentual do resultado proveniente da presença da vulnerabilidade na lista das 10 principais da OWASP. Se essas informações não estiverem presentes em suas vulnerabilidades, defina o peso como zero.
      25 principais da SANS Porcentagem do resultado que vem da presença da vulnerabilidade na lista das 25 principais da SANS. Se essas informações não estiverem presentes em suas vulnerabilidades, defina o peso como zero.
      Total da execução Percentuais totais calculados automaticamente. Quando esse valor atinge 100, a visualização do cenário mostra amostras de pontuações de risco em diferentes cenários.
      Cenários de exemplo Quando todos os pesos totalizam 100%, os cenários de pontuação de risco são exibidos, fornecendo uma visualização da pontuação de risco em alguns dos cenários possíveis.
      Exemplo de regra de risco de vulnerabilidade
    11. Clique em Enviar.