Подробная информация о выявленных уязвимостях

Список выявленных при сканировании образа уязвимостей представлен в виде таблицы на вкладке Уязвимости в окне с результатами сканирования образа. Для каждой уязвимости приводится следующая информация:

Идентификатор записи об уязвимости. Идентификатор представлен в формате CVE-YYYY-X..., где:
- CVE – префикс, свидетельствующий о включении уязвимости в базу данных известных уязвимостей и дефектов безопасности;
- YYYY – указание года, когда было сообщено об уязвимости;
- X... – номер, присвоенный этой уязвимости уполномоченными организациями.
Уровень критичности уязвимости, исходя из ее оценки риска.
Если уязвимость содержит эксплойт, рядом с уровнем критичности отображается значок эксплойта ().
Установленный контейнеризированный ресурс, в котором выявлена уязвимость.
Наличие исправления уязвимости от производителя. Решение показывает номер версии с исправлением или отмечает отсутствие исправления.

Вы можете принять риск в отношении уязвимости с помощью кнопки Принять в столбце Принятие риска.

Для принятия риска требуются права на управление рисками.

Чтобы посмотреть подробную информацию о выявленной уязвимости:

Нажмите на ссылку идентификатора записи об уязвимости в одном из следующих разделов:
- На вкладке Уязвимости в окне с результатами сканирования образа.
- В блоке Уязвимости в информационной панели.
- В таблице с полным списком уязвимостей в разделе Исследование → Уязвимости.
В открывшейся боковой панели отображается следующая информация о выявленной уязвимости:
- Идентификатор записи об уязвимости.
- Описание уязвимости из базы данных уязвимостей. Описание представлено на языке, на котором ведется база уязвимостей. Например, описание уязвимостей из NVD выводится на английском языке.
- На вкладке Общая информация отображается следующее:
  - Уровень критичности уязвимости, исходя из ее оценки риска.
  - Установленный ресурс, в котором выявлена уязвимость.
  - Оценка критичности уязвимости по открытому стандарту оценки уязвимостей CVSS в базах данных уязвимостей NVD, БДУ и РЕД ОС, а также итоговая совокупная оценка критичности уязвимости.
    Российская операционная система общего назначения. В РЕД ОС обеспечивается поиск уязвимостей, которые могут представлять угрозу для функционирования серверов и рабочих станций.
    
    Банк данных угроз безопасности информации – база данных угроз информационной безопасности, разработанная ФСТЭК.
    
    National Vulnerability Database – национальная база данных уязвимостей. Американский правительственный репозиторий данных управления уязвимостями на основе стандартов, представленных с использованием протокола автоматизации содержимого безопасности.
    
    Common Vulnerability Scoring System – открытый стандарт оценки уязвимостей. В CVSS закреплен набор метрик и формул для оценки критичности уязвимости со значениями от 0 (мин.) до 10 (макс.). CVSS позволяет распределить усилия по реагированию на уязвимости в зависимости от их критичности.
- На вкладке Артефакты отображается подробная информация по артефактам для образов из реестров и среды выполнения или объектов CI/CD и указывается их количество.
  В блоке для образа из реестра или среды выполнения показана следующая информация:
  - Тип объекта Образ и имя образа. Если на основе контрольной суммы этого образа созданы автопрофили, рядом с именем образа появляется значок наличия автопрофиля ().
    Нажав на имя образа, вы можете перейти на страницу, содержащую подробную информацию о результатах сканирования образа.
    
    Для просмотра подробной информации требуются права на просмотр результатов сканирования образа.
  - Операционная система образа.
  - Статус соответствия образа требованиям: Соответствует или Не соответствует.
  - Оценка риска.
  - Дата и время последнего сканирования образа.
  - Дата и время первого обнаружения уязвимости в рассматриваемом образе.
  В блоке для объекта из CI/CD показана следующая информация:
  - Тип объекта, соответствующий типу артефакта, и его наименование.
    Нажав на имя артефакта, вы можете перейти на страницу, содержащую подробную информацию о результатах проверки объектов на этапе сборки проекта.
    
    Для просмотра подробной информации требуются права на просмотр результатов сканирования объектов в процессах CI/CD.
  - Операционная система, в которой проводилось сканирование объекта.
  - Статус соответствия образа требованиям: Соответствует или Не соответствует.
  - Оценка риска.
  - Дата и время последнего сканирования объекта.
  - Дата и время первого обнаружения уязвимости в рассматриваемом объекте.
  - Отметка о сканировании объекта в процессе CI/CD.
- На вкладке Рабочие нагрузки отображается список подов, содержащих образы с уязвимостью, и указывается их количество. Для каждого объекта представлена следующая информация:
  - Имя кластера, содержащего под, в образе или образах которого обнаружена рассматриваемая уязвимость.
  - Название пространства имен, содержащего под, в образе которого обнаружена рассматриваемая уязвимость.
    Если вы нажмете на название пространства имен, решение откроет боковую панель пространства имен из графа.
  - Имя пода, в образе которого обнаружена рассматриваемая уязвимость.
    Если вы нажмете на название пространства имен, решение откроет боковую панель пода из графа.
- На вкладке Принятие риска отображается следующая информация:
  - Дата принятия риска.
  - Срок действия принятия риска.
  - Уровень применения.
  - Инициатор принятия риска.
  - Причина принятия риска.
  Вкладка Принятие риска доступна, если у вас есть права на просмотр принятых рисков.
  
  Для каждого принятия риска вы можете выполнить следующие действия:
  - Нажав на значок , вы можете определить срок действия этого принятия риска.
  - Нажав на значок , вы можете отозвать принятие риска.
  Также на этой вкладке с помощью кнопки Добавить принятие риска можете добавить принятие риска в отношении рассматриваемой уязвимости.
  
  Для внесения изменений в параметры принятия риска требуются права на управление рисками.

В начало