Подробная информация о выявленных уязвимостях

Список выявленных при сканировании образа уязвимостей представлен в виде таблицы на вкладке Уязвимости в окне с результатами сканирования образа. Для каждой уязвимости приводится следующая информация:

• Идентификатор записи об уязвимости. Идентификатор представлен в формате CVE-YYYY-X..., где:
  • CVE – префикс, свидетельствующий о включении уязвимости в базу данных известных уязвимостей и дефектов безопасности;
  • YYYY – указание года, когда было сообщено об уязвимости;
  • X... – номер, присвоенный этой уязвимости уполномоченными организациями.
• Уровень критичности уязвимости, исходя из ее оценки риска.

  Если уязвимость содержит эксплойт, рядом с уровнем критичности отображается значок эксплойта ().

• Установленный контейнеризированный ресурс, в котором выявлена уязвимость.
• Наличие исправления уязвимости от производителя. Решение показывает номер версии с исправлением или отмечает отсутствие исправления.

Вы можете принять риск в отношении уязвимости с помощью кнопки Принять в столбце Принятие риска.

Для принятия риска требуются права на управление рисками.

Чтобы посмотреть подробную информацию о выявленной уязвимости:

1. Нажмите на ссылку идентификатора записи об уязвимости в одном из следующих разделов:
   • На вкладке Уязвимости в окне с результатами сканирования образа.
   • В блоке Уязвимости в информационной панели.
   • В таблице с полным списком уязвимостей в разделе Исследование → Уязвимости.
2. В открывшейся боковой панели отображается следующая информация о выявленной уязвимости:
   • Идентификатор записи об уязвимости.
   • Описание уязвимости из базы данных уязвимостей. Описание представлено на языке, на котором ведется база уязвимостей. Например, описание уязвимостей из NVD выводится на английском языке.
   • На вкладке Общая информация отображается следующее:
     • Уровень критичности уязвимости, исходя из ее оценки риска.
     • Установленный ресурс, в котором выявлена уязвимость.
     • Оценка критичности уязвимости по открытому стандарту оценки уязвимостей CVSS в базах данных уязвимостей NVD, БДУ и РЕД ОС, а также итоговая совокупная оценка критичности уязвимости.

       Российская операционная система общего назначения. В РЕД ОС обеспечивается поиск уязвимостей, которые могут представлять угрозу для функционирования серверов и рабочих станций.

       Банк данных угроз безопасности информации – база данных угроз информационной безопасности, разработанная ФСТЭК.

       National Vulnerability Database – национальная база данных уязвимостей. Американский правительственный репозиторий данных управления уязвимостями на основе стандартов, представленных с использованием протокола автоматизации содержимого безопасности.

       Common Vulnerability Scoring System – открытый стандарт оценки уязвимостей. В CVSS закреплен набор метрик и формул для оценки критичности уязвимости со значениями от 0 (мин.) до 10 (макс.). CVSS позволяет распределить усилия по реагированию на уязвимости в зависимости от их критичности.

   • На вкладке Артефакты отображается подробная информация по артефактам для образов из реестров и среды выполнения или объектов CI/CD и указывается их количество.

     В блоке для образа из реестра или среды выполнения показана следующая информация:

     • Тип объекта Образ и имя образа. Если на основе контрольной суммы этого образа созданы автопрофили, рядом с именем образа появляется значок наличия автопрофиля ().

       Нажав на имя образа, вы можете перейти на страницу, содержащую подробную информацию о результатах сканирования образа.

       Для просмотра подробной информации требуются права на просмотр результатов сканирования образа.

     • Операционная система образа.
     • Статус соответствия образа требованиям: Соответствует или Не соответствует.
     • Оценка риска.
     • Дата и время последнего сканирования образа.
     • Дата и время первого обнаружения уязвимости в рассматриваемом образе.

     В блоке для объекта из CI/CD показана следующая информация:

     • Тип объекта, соответствующий типу артефакта, и его наименование.

       Нажав на имя артефакта, вы можете перейти на страницу, содержащую подробную информацию о результатах проверки объектов на этапе сборки проекта.

       Для просмотра подробной информации требуются права на просмотр результатов сканирования объектов в процессах CI/CD.

     • Операционная система, в которой проводилось сканирование объекта.
     • Статус соответствия образа требованиям: Соответствует или Не соответствует.
     • Оценка риска.
     • Дата и время последнего сканирования объекта.
     • Дата и время первого обнаружения уязвимости в рассматриваемом объекте.
     • Отметка о сканировании объекта в процессе CI/CD.
   • На вкладке Рабочие нагрузки отображается список подов, содержащих образы с уязвимостью, и указывается их количество. Для каждого объекта представлена следующая информация:
     • Имя кластера, содержащего под, в образе или образах которого обнаружена рассматриваемая уязвимость.
     • Название пространства имен, содержащего под, в образе которого обнаружена рассматриваемая уязвимость.

       Если вы нажмете на название пространства имен, решение откроет боковую панель пространства имен из графа.

     • Имя пода, в образе которого обнаружена рассматриваемая уязвимость.

       Если вы нажмете на название пространства имен, решение откроет боковую панель пода из графа.

   • На вкладке Принятие риска отображается следующая информация:
     • Дата принятия риска.
     • Срок действия принятия риска.
     • Уровень применения.
     • Инициатор принятия риска.
     • Причина принятия риска.

     Вкладка Принятие риска доступна, если у вас есть права на просмотр принятых рисков.

     Для каждого принятия риска вы можете выполнить следующие действия:

     • Нажав на значок , вы можете определить срок действия этого принятия риска.
     • Нажав на значок , вы можете отозвать принятие риска.

     Также на этой вкладке с помощью кнопки Добавить принятие риска можете добавить принятие риска в отношении рассматриваемой уязвимости.

     Для внесения изменений в параметры принятия риска требуются права на управление рисками.