如何用CWE API 来减轻软件产品中的安全风险

最新推荐文章于 2024-08-21 10:31:16 发布
最新推荐文章于 2024-08-21 10:31:16 发布
阅读量561 收藏 14
点赞数 9
文章标签： 安全 软件开发
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/hwxiaozhi/article/details/141378777
版权

 本文分享自华为云开发者社区《用CWE API 减轻软件产品中的安全风险》作者： Uncle_Tom

1. CWE REST API 推出的目的

8 月 8 号，CWE™ 计划推出了“CWE REST API”。

CWE™计划由美国网络安全与基础设施安全局(Cybersecurity & Infrastructure Security Agency(CISA))资助的国土安全系统工程与发展研究所(Homeland Security Systems Engineering and Development Institute(HSSEDI))运营。

“CWE REST API” 是一项由CWE REST API工作组推动的社区驱动的工作。API 的目的是简化安全软件和硬件架构师、EDA 工具开发人员、验证工程师之间的接口，用于减轻其产品，以及数据库本身中的安全风险。

从项目负责的两个主要负责人，一个来自Synopsys，另一个来自MITRE。

CWE REST API 为以下人员提供了一种简单有效的方式来保持 CWE 最新的内容信息：

  • 漏洞管理领域的项目合作伙伴
  • 软件 (software(SW)) 和硬件 (hardware(HW)) 开发人员
  • 架构师
  • 电子设计自动化 (electronic design automation(EDA)) 工具开发人员
  • 验证工程师
  • 其他关心降低其产品安全风险的人

API 推出为下游下游应用程序，始终保持最新状态，这将成为利用 CWE 内容更改的重大改进。

2. 访问 CWE REST API

用于访问 CWE REST API 的根 URL，无需注册或使用任何凭据即可使用。

建议使用 API 在本地填充 CWE 内容的缓存，每当有新版本可用时，都可以刷新该缓存。

CWE REST API 的根 URL: https://cwe-api.mitre.org/api/v1/

可以直接在浏览器中直接输入这个地址加上相应的请求。

  • 例如查找当前的 API CWE 的版本

    • 请求：
      https://cwe-api.mitre.org/api/v1/cwe/version
    • 响应回复
    {
        "ContentVersion": "4.15",
        "ContentDate": "2024-07-16",
        "TotalWeaknesses": 964,
        "TotalCategories": 409,
        "TotalViews": 54
    }

可以看到当前版本为最新的 CWE 4.15，总共有 964 个弱点节点，409 个分类节点，54 个弱点视图。
有关 CWE 4.15 的介绍详见：《CWE 4.15 - AI/ML 引入的应用缺陷》

3. CWE REST API 简介

CWE REST API 的相关介绍放在了： https://github.com/CWE-CAPEC/REST-API-wg

  • API 主要包含以下API：

3.1. 查找CWE 版本(/cwe/version)

  • API作用：查找当前 CWE 的版本

  • 请求：
    https://cwe-api.mitre.org/api/v1/cwe/version

  • 响应回复

    {
        "ContentVersion": "4.15",
        "ContentDate": "2024-07-16",
        "TotalWeaknesses": 964,
        "TotalCategories": 409,
        "TotalViews": 54
    }

3.2. 查找CWE ID 类型(/cwe/{id(s)})

  • API作用：查找一个或多个CWE ID的类型，ID之间使用逗号分隔。

  • 请求：查找节点1400,284,1396,269,260,259,384 的类型
    https://cwe-api.mitre.org/api/v1/cwe/1400,284,1396,269,260,259,384

  • 响应回复

[
    {
        "Type": "view",
        "ID": "1400"
    },
    {
        "Type": "pillar_weakness",
        "ID": "284"
    },
    {
        "Type": "category",
        "ID": "1396"
    },
    {
        "Type": "class_weakness",
        "ID": "269"
    },
    {
        "Type": "base_weakness",
        "ID": "260"
    },
    {
        "Type": "variant_weakness",
        "ID": "259"
    },
    {
        "Type": "compound_weakness",
        "ID": "384"
    }
]
  • 现有 CWE 节点类型
图标类型节点数量说明

视图(View)50视图表示一种视角，人们可能会用它来查看目录中的弱点。

支柱(Weakness-Pillar)10最抽象的弱点类型，代表与之相关的所有类(class)/基本(base)/变体(Variant)的主题。 支柱不同于类别，因为从技术上讲，支柱仍然是一种描述错误的弱点，而类别则代表用于对相关事物进行分组的常见特征。

分类(Category)374分类是基于某些共同特征或属性的弱点的集合。类别主要用作CWE的组织机制，不应由外部源映射到。

类别(Weakness-Class)110一种以非常抽象的方式描述的弱点，通常与任何特定的语言或技术无关。 比支柱弱点更具体，但比基本弱点更笼统。 类级别的弱点通常用以：行为、属性和资源维度中的1-2来描述问题。

基础(Weakness-Base)520一种更具体的弱点类型，大部分与资源或技术无关，但具有足够的详细信息以提供检测和预防的特定方法。基本级别的弱点通常用以：行为、属性、技术、语言和资源维度中2-3个维度来描述问题。

变体(Weakness-Variant)292是与特定类型的产品相关的弱点，通常与特定的语言或技术相关。比基本弱点更具体。变体级别的弱点通常用以：行为、属性、技术、语言和资源维度中3-5个维度来描述问题。

复合缺陷(Weakness-Compound)的组合(Composite)方式7由两个或多个不同的弱点组成的复合元素，其中所有弱点都必须同时存在才能出现潜在的弱点。消除任何弱点可以消除或显着降低风险。一个弱点 X 可以被“分解”为组件弱点 Y 和 Z。在某些情况下，一个弱点对于组合可能不是必不可少的，但改变其性质时，该弱点有可能会变成缺陷。
  • 各类型之间的关系：

     > 

    、

     > 

     > 

    > 

    、

3.3. 查找弱点节点信息（/cwe/weakness/{id(s)}

  • API作用：查找弱点节点的信息。

    • 输入的是CWE 的ID；
    • ID 的类型只能是：pillar_weakness, class_weakness, base_weakness, variant_weakness, compound_weakness；
    • 可以同时输入多个 CWE ID，每个 ID 之间用逗号分隔。

  • 请求：查找 CWE-120:未进行输入大小检查的缓冲区拷贝(传统缓冲区溢出) 的信息
    https://cwe-api.mitre.org/api/v1/weakness/120

  • 响应回复

3.4. 查找分类节点信息（/cwe/category/{id(s)}）

  • API作用：查找分类节点的信息。

    • 输入的是CWE 的ID；
    • ID 的类型只能是：category；
    • 可以同时输入多个 CWE ID，每个 ID 之间用逗号分隔。

  • 请求：查找类别节点 CWE-1399:内存安全 的信息
    https://cwe-api.mitre.org/api/v1/category/1399

  • 响应回复

3.5. 查找视图节点信息（/cwe/view/{id(s)}）

  • API作用：查找视图节点的信息。

    • 输入的是CWE 的ID；
    • ID 的类型只能是：view；
    • 可以同时输入多个 CWE ID，每个 ID 之间用逗号分隔。

  • 请求：查找视图 CWE-1400:软件安全保障综合分类 的信息
    https://cwe-api.mitre.org/api/v1/cwe/view/1400

  • 响应回复

3.6. 查找弱点节点在视图中的父节点(/cwe/{id}/parents?view={viewId})

  • API作用：查找弱点节点在不同视图中的父节点。

  • 请求：CWE-272:最小特权原则违背 的父节点
    https://cwe-api.mitre.org/api/v1/cwe/272/parents

  • 响应回复

[
    {
        "Type": "class_weakness",
        "ID": "271",
        "ViewID": "1000",
        "Primary_Parent": true
    },
    {
        "Type": "category",
        "ID": "1011",
        "ViewID": "1008"
    },
    {
        "Type": "category",
        "ID": "1149",
        "ViewID": "1133"
    },
    {
        "Type": "category",
        "ID": "1396",
        "ViewID": "1400"
    },
    {
        "Type": "category",
        "ID": "265",
        "ViewID": "699"
    },
    {
        "Type": "category",
        "ID": "254",
        "ViewID": "700"
    },
    {
        "Type": "category",
        "ID": "748",
        "ViewID": "734"
    },
    {
        "Type": "category",
        "ID": "859",
        "ViewID": "844"
    },
    {
        "Type": "category",
        "ID": "901",
        "ViewID": "888"
    }
]

  • API作用：查找弱点节点在指定视图中的父节点。

  • 请求：CWE-272:最小特权原则违背 在CWE-1000:研究者视图中的父节点
    https://cwe-api.mitre.org/api/v1/cwe/623/parents?view=1000

  • 响应回复

[
    {
        "Type": "class_weakness",
        "ID": "271",
        "ViewID": "1000",
        "Primary_Parent": true
    }
]
  • CWE-272:最小特权原则违背 在CWE-1000:研究者视图 中的父节点是 CWE-271:特权放弃/降低错误

3.7. 查找弱点节点在视图中的后代节点(/cwe/{id}/descendants?view={viewId})

  • API作用：查找弱点节点在视图中的后代节点，即这个节点的所有子节点。

    • 请求：查找 CWE-119:内存缓冲区边界内操作的限制不恰当 的后代节点
      https://cwe-api.mitre.org/api/v1/cwe/119/descendants

    • 响应回复

在视图：CWE-1000:研究者视图, CWE-1003:简化弱点映射到发布漏洞视图, CWE-1305:2020 CISQ 质量度量视图中都有弱点CWE-119:内存缓冲区边界内操作的限制不恰当 ，可以查找这个节点的后代节点。

  • API作用：查找弱点节点在指定视图中的后代节点。

    • 请求：查找 CWE-119:内存缓冲区边界内操作的限制不恰当 在视图 CWE-1000:研究者视图 中的后代节点
      https://cwe-api.mitre.org/api/v1/cwe/119/descendants?view=1000

    • 响应回复

只查找CWE-1000:研究者视图中，CWE-119:内存缓冲区边界内操作的限制不恰当 的后代节点。

  • CWE-1000:研究者视图中 CWE-119:内存缓冲区边界内操作的限制不恰当 的实际位置

3.8. 查找弱点节点的子节点(/cwe/{id}/children?view={viewId})

  • API作用：查找弱点节点在视图中的子节点，即这个节点的儿子节点。

    • 请求：查找 CWE-119:内存缓冲区边界内操作的限制不恰当 在视图 CWE-1000:研究者视图 中的子节点
      https://cwe-api.mitre.org/api/v1/cwe/119/children?view=1000

    • 响应回复

[
    {
        "Type": "base_weakness",
        "ID": "120",
        "ViewID": "1000"
    },
    {
        "Type": "base_weakness",
        "ID": "125",
        "ViewID": "1000"
    },
    {
        "Type": "base_weakness",
        "ID": "466",
        "ViewID": "1000"
    },
    {
        "Type": "base_weakness",
        "ID": "786",
        "ViewID": "1000"
    },
    {
        "Type": "base_weakness",
        "ID": "787",
        "ViewID": "1000"
    },
    {
        "Type": "base_weakness",
        "ID": "788",
        "ViewID": "1000"
    },
    {
        "Type": "base_weakness",
        "ID": "805",
        "ViewID": "1000"
    },
    {
        "Type": "base_weakness",
        "ID": "822",
        "ViewID": "1000"
    },
    {
        "Type": "base_weakness",
        "ID": "823",
        "ViewID": "1000"
    },
    {
        "Type": "base_weakness",
        "ID": "824",
        "ViewID": "1000"
    },
    {
        "Type": "base_weakness",
        "ID": "825",
        "ViewID": "1000"
    }
]
  • CWE-1000:研究者视图中 CWE-119:内存缓冲区边界内操作的限制不恰当 的子节点

3.9. 查找弱点节点的祖先(/cwe/{id}/ancestors?view={viewId})

  • API作用：查找弱点节点在各个视图中的祖先，即查找这个节点的父节点，直到根节点。
    • 请求：查找 CWE-119:内存缓冲区边界内操作的限制不恰当 各视图 中祖先
      https://cwe-api.mitre.org/api/v1/cwe/119/ancestors
    • 响应回复

很多视图中都包含 CWE-119:内存缓冲区边界内操作的限制不恰当。

  • API作用：查找弱点节点在指定视图中的祖先。

    • 请求：查找 CWE-119:内存缓冲区边界内操作的限制不恰当 在视图 CWE-1000:研究者视图 中祖先
      https://cwe-api.mitre.org/api/v1/cwe/119/ancestors?view=1000

    • 响应回复

[
    {
        "Data": {
            "Type": "class_weakness",
            "ID": "119",
            "ViewID": "1000"
        },
        "Parents": [
            {
                "Data": {
                    "Type": "class_weakness",
                    "ID": "118",
                    "ViewID": "1000"
                },
                "Parents": [
                    {
                        "Data": {
                            "Type": "pillar_weakness",
                            "ID": "664",
                            "ViewID": "1000"
                        },
                        "Parents": [
                            {
                                "Data": {
                                    "Type": "view",
                                    "ID": "1000",
                                    "ViewID": "1000"
                                },
                                "Parents": null
                            }
                        ]
                    }
                ]
            }
        ]
    }
]
  • CWE-119:内存缓冲区边界内操作的限制不恰当 在CWE-1000:研究者视图中的祖先

4. CWE REST API 提供的 CWE JSON 格式

在 https://github.com/CWE-CAPEC/REST-API-wg/ 还提供了 CWE 的 JSON 格式。

  • REST-API 目录结构如下

4.1. Json Schema

Json schema 是用来定义Json 文件的格式。这里使用的是 2020-12 的版本： “https://json-schema.org/draft/2020-12/output/schema”

Json schema 存放在目录: specifications 目录下。

这些 Schema 为每个 Json 文件给出了 Json 文件格式的定义，包括 Json 结构，字段类型，枚举值等。可以用这些 Json schema 来校验里面的 Json文件。

4.2. CWE Json 文件

  • 所有 CWE REST API 需要用到的 Json 文件 都存放在目录： json_repo 目录下。
    • C 目录：存放 409 个 CWE 类 Json 文件；
    • V 目录: 存放 54 个 CWE 视图 Json 文件；
    • W 目录: 存放 964 个 CWE 弱点 Json 文件；

  • 在项目的根目录下还有两个可以利用的 Json 文件：
    • cwe.json： CWE 各节点信息；
    • cwe_tree.json: CWE 节点关系；

5. 总结

  • CWE REST API 为安全需要提供了一种简单的获取 CWE 信息的接口；
  • API 提供了查找：版本、节点类型、节点（弱点、类、视图）信息, 以及节点在视图中的父节点、祖先、子节点和所有子节点的查询能力；
  • 提供了 CWE 的 Json 格式文件, 让使用者在除了 XML 格式外多了一个选择；

6. 参考

华为云PaaS服务小智
关注
  • 9
    点赞
  • 踩
  • 14
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
用 CWE API 减轻软件产品中的安全风险
shendong70的博客
08-19 1135
CWE REST API 的相关介绍放在了：API 主要包含以下API：CWE REST API 为安全需要提供了一种简单的获取 CWE 信息的接口；API 提供了查找：版本、节点类型、节点（弱点、类、视图）信息, 以及节点在视图中的父节点、祖先、子节点和所有子节点的查询能力；提供了 CWE 的 Json 格式文件, 让使用者在除了 XML 格式外多了一个选择；
安全编码实践：什么是安全编码标准?
Trinity_Techologies的博客
04-18 4055
安全编码实践和安全编码标准至关重要，因为高达90%的软件安全问题是由编码错误引起的。 在这里，我们将阐释什么是安全编码标准，哪些是您应该执行的安全编码实践，以及如何实施安全标准。
软件测试之安全怎么做？
06-08 1万+
敏感数据：敏感数据的具体范围取决于产品具体的应用场景，产品应根据风险进行分析和判断。典型的敏感数据包括口令、银行帐号、大批量个人数据、用户通信内容和密钥等。个人数据：指直接通过该数据或者结合该数据与其他的信息，可以识别出自然人的信息。
全文翻译 | OWASP《LLM安全与治理检查清单》
lurenjia404的博客
07-17 1001
本文是OWASP（开放式网络应用安全项目）发布的《LLM AI安全与治理清单》（以下简称“清单”），旨在为使用大型语言模型（LLM）的组织提供安全与治理方面的指导。清单强调了负责任和可信的人工智能（AI）的重要性，并指出AI技术，尤其是LLM，在创新、效率和商业成功方面具有巨大潜力，同时也带来了明显的挑战。文中讨论了LLM面临的挑战，包括控制和数据平面的不可分割性、非确定性设计、语义搜索的使用等，并强调了LLM增加的攻击面和相关风险。
【软件工程】软件安全技术 全章节 两万字总结！
Mr.zwX
06-20 1394
Typora要搭图床才能很方便地移植图片，考虑到这次总结的内容比较繁杂，那么这次软件安全的整理就直接在博客上写。 . 软件安全技术 . 文章目录CH01 软件与软件安全1.1 计算环境与软件1.1.1 计算环境1.1.2 二进制1.1.3 指令与指令集1.1.4 软件的形式和概念1.1.4.1 软件概念1.1.4.2 软件主要内容1.1.4.3 软件的形式1.2 信息安全与软件安全1.2.1 信息与信息安全1.2.2 软件安全概念1.3 软件安全的几个重要概念1.3.1 漏洞和脆弱性1.3.2 软件质量与安
matlab之产品大全
热门推荐
珞瑜的博客
12-16 1万+
matlab大全链接：入口1或者入口2 这里仅对matlab存在的工具做一个简单梳理，方便日后使用。 Matlab版本：R2020b 应用如下： 一、数学、统计和优化 1.曲线拟合工具箱 使用回归，插值和平滑使曲线和曲面适合数据 Curve Fitting Toolbox™：提供了用于将曲线和曲面拟合到数据的应用程序和功能。 该工具箱可让您执行探索性数据分析，预处理和后处理数据，比较候选模型并删除异常值。 您可以使用提供的线性和非线性模型库进行回归分析，也可以指定自己的自定义方程式。 该...
【文献翻译】软件设计级漏洞分类模型-Software Design Level Vulnerability Classification Mode
Mrong1013967的博客
02-22 603
摘要 软件安全漏洞的分类无疑有助于对安全相关信息的理解，并加速了对漏洞的分析。缺乏适当的分类不仅阻碍了对它的理解，而且还影响了为集群漏洞设计缓解机制的策略。现在，软件开发人员和研究人员都认为，软件的需求和设计阶段是安全问题产生最大效益的阶段。在本文中，我们试图设计一个分类器，可以识别和分类设计层面的漏洞。在这个分类器中，首先根据已建立的安全属性（如认证和授权）来确定漏洞类别。漏洞训练数据是从各种真实的来源收集的，如Common W eakness Enumeration（CWE）、Common Vulne
论文中文翻译——VulDeePecker: A Deep Learning-Based System for Vulnerability Detection
IronmanJay的博客
10-16 1543
VulDeePecker：基于深度学习的漏洞检测系统 软件漏洞的自动检测是一个重要的研究课题。然而，该问题的现有解决方案依赖于人类专家来定义特征，并且往往遗漏了许多漏洞（即导致高假阴性率）。在本文中，我们发起了使用基于深度学习的漏洞检测的研究，将人类专家从手动定义特征的繁琐和主观任务中解脱出来。由于深度学习的动机是处理与漏洞检测问题截然不同的问题，因此我们需要一些指导原则来将深度学习应用于漏洞检测。特别是，我们需要找到适合深度学习的软件程序的表示。为此，我们建议使用代码小工具表示程序，然后将其转换为向量，其
SAEJ3061汽车信息安全指南文档
博大汽车信息安全
04-09 9609
基本原理更多智能汽车信息安全信息，请关注博大汽车信息安全  公众号BodaSecurity。网络物理车载系统在整个开发生命周期进程中，需要提供一个网络安全进程框架和指导，帮助企业识别和评估网络安全威胁和设计网络安全。定义一个完整的生命周期过程框架，能够被定制和应用到每个产品的开发进程中，从产品的概念阶段到生产，经营，服务，以及售后维修等过程将网络安全纳入到网络物理车辆系统。提供高水平的指导准则。提...
2021年开源软件供应链安全风险研究报告.pdf
08-17
2021 年开源软件供应链安全风险研究报告 本报告对 2021 年开源软件供应链安全风险进行了深入研究和分析，旨在帮助读者了解开源软件供应链安全风险的现状、趋势和解决方案。本文将从开源软件漏洞发展现状、开源组件...
软件供应链安全产品介绍
02-02
【软件供应链安全产品介绍】 软件供应链安全已经成为当前信息安全领域的重要关注点。随着技术的发展，黑客开始将目光转向软件供应链的底层——固件，利用其中的漏洞进行攻击。据统计，近年来针对固件的攻击显著增加...
信息安全_数据安全_cwe_checker：Hunting Binary Code .pdf
08-21
cwe_checker工具通过检测代码中可能存在的CWE（Common Weakness Enumeration，常见弱点枚举）来揭示潜在的安全风险，从而增强组织的态势感知能力。 4. 基础设施与应用审计 基础设施的稳固是信息安全的基础，而应用...
关于NVD CAPEC CWE CPE的信息安全知识图谱.zip
08-10
关于NVD CAPEC CWE CPE的信息安全知识图谱.zip
CWE-checker分析.pptx
10-24
通过使用CWE Checker，开发人员能够及早发现潜在的安全隐患，并根据工具提供的建议来实施修复措施，从而提高软件的安全性。 **CWE Checker 原理** CWE Checker 的核心在于静态分析技术。静态分析是在不执行代码的...
AI安全-文生图
深度安全实验室
08-15 427
AI安全-文生图
探索802.1X：构筑安全网络的认证之盾
XINERTEL的博客
08-21 680
首先，让我们了解一下什么是802.1x。802.1x是一个基于端口的网络访问控制机制，由IEEE（电气电子工程师学会）开发，属于IEEE 802.1标准家族。它的主要作用是通过认证管理用户和设备对网络的访问权限。更通俗地说，802.1x就像是网络的门卫，负责检查每一个试图进入网络的设备或用户的身份，只有通过认证的合法用户才能进入。这不仅可以防止未授权的设备接入，还可以确保网络的安全和稳定。
CISAW安全集成和别的类型有什么区别
最新发布
2402_84109700的博客
08-21 134
对于CISAW安全运维方向，申请人须通过相应的考试，并且满足以下任一条件：具有硕士及以上学位并有2年信息安全相关工作经验，其中至少1年与安全运维相关；其次，CISAW的安全集成方向侧重于评估申请人在信息系统安全集成方面的基础知识和技能的掌握程度，以及运用这些知识分析和解决安全集成问题的能力。- 对于CISAW安全集成方向，申请人同样需要通过相应考试，并满足类似的工作经验要求，但针对的是安全集成领域的专业经验。- 对于CISAW安全管理方向，报名条件与前两者相似，但侧重于风险管理专业方向的相关工作经验。
如何选择较为安全的第三方依赖版本？
极客星云-CSDN博客
08-16 185
本篇博文分享如何选择较为安全的第三方依赖版本的方法。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值