CWE nedir?
CWE (Common Weakness Enumeration, Ortak Zayıflık Listesi), yazılım ve donanımdaki zayıflık türlerinin standart bir sınıflandırmasıdır. Tek bir açığı değil, açıklara yol açan hata kalıbını tanımlar; örneğin SQL enjeksiyonu, yetersiz giriş doğrulama ya da hatalı yetkilendirme birer CWE maddesidir.
Her CWE maddesinin bir numarası ve açıklaması vardır. Böylece geliştiriciler, güvenlik ekipleri ve araçlar aynı hata türünden ortak bir dille söz edebilir.
Neden önemlidir?
CVE belirli bir üründeki belirli bir açığı adlandırır. CWE ise o açığın hangi tür zayıflıktan kaynaklandığını söyler. Bu fark, benzer hataların tekrar etmesini önlemek için önemlidir; bir hata sınıfını anlayan ekip aynı sınıftaki başka açıkları da arayabilir.
NVD kayıtları genellikle ilgili CWE bilgisini de içerir. Böylece bir zafiyetin kök nedenine dair fikir edinmek kolaylaşır.
Sunucu ve hosting ortamında
Web uygulaması geliştiren veya barındıran ekipler için CWE, kod incelemesi ve güvenlik testi raporlarında ortak başvuru noktasıdır. Bir tarama raporunda zafiyetin yanında CWE numarası görürseniz, hata sınıfını ve önerilen önlemleri bu madde üzerinden araştırabilirsiniz.
- Güvenli kod geliştirme eğitimlerinde ve statik analiz araçlarında CWE referansları kullanılır.
- Hosting müşterilerine yönelik güvenlik raporlarında zayıflık sınıfı CWE ile belirtilir.
Nelere dikkat edilmeli?
- Raporlardaki CWE numarasını kök neden olarak okuyun; yalnızca semptomu değil sınıfı da giderin.