Ergebnisse, erkannte Probleme und Abdeckung

Sicherheitsbewertung und -note

VICE beginnt bei 100 und subtrahiert versionierte Strafen von umsetzbaren erkannten Problemen. Kritisch kostet 15 Punkte, hoch 8, mittel 3, niedrig 1 und informativ 0. Dieselbe Regel kann höchstens drei Strafen verursachen, sodass ein lauter Check das Ergebnis nicht dominiert.

• A: 90 bis 100.
• B: 75 bis 89.
• C: 60 bis 74.
• D: 40 bis 59.
• E: 20 bis 39.
• F: 0 bis 19.

Der Schweregrad beschreibt die Auswirkung

• Kritisch: unmittelbares, äußerst schädliches Risiko, das durch starke Beweise gestützt wird.
• Hoch: ernstes Risiko, das schnell behoben werden sollte.
• Mittel: Bedeutende Schwäche mit mäßiger Auswirkung oder Reichweite.
• Niedrig: begrenztes Risiko oder geringe Verhärtungsmöglichkeit.
• Info: Kontext- oder Abdeckungssignal ohne Abzug der Sicherheitsbewertung.

Klassifizierung und Konfidenz beschreiben Beweise

Die Klassifizierung erklärt, wie zu der Schlussfolgerung gelangt wurde. Vertrauen erklärt, wie zuverlässig die Beweise es stützen. Beides ersetzt keine Schwere.

• Bestätigt bedeutet, dass VICE das relevante Verhalten oder die entsprechende Exposition direkt beobachtet hat.
• „Wahrscheinlich“ bedeutet, dass starke Beweise die Schlussfolgerung stützen, aber ein Zusammenhang weiterhin abgeleitet wird.
• Heuristisch bedeutet, dass ein Muster auf ein Risiko hinweist und eine manuelle Bestätigung erfordert.
• Härtung bedeutet eher eine vertretbare Verbesserung als einen nachgewiesenen Exploit.
• Die Zuverlässigkeit der Schlussfolgerung wird mit hoher, mittlerer und niedriger Konfidenz bewertet.

Lesen Sie die Anatomie des erkannten Problems

• Titel und Modul kennzeichnen den betroffenen Sicherheitsbereich.
• Details und Beweise erklären, was VICE beobachtet hat, wobei sensible Werte maskiert wurden.
• Die Empfehlung gibt eine konkrete Sanierungsrichtung vor.
• Der Standort verbindet lokal erkannte Probleme mit einem Quellpfad, sofern verfügbar.
• Der Status zeichnet auf, ob das Problem offen bleibt oder in der Plattform gelöst wurde.

Regeln, Fingerabdrücke und Abdeckung

Die Regel-ID identifiziert die Erkennungslogik und unterstützt Gruppierung oder Richtlinie. Der Fingerabdruck identifiziert ein stabiles Vorkommen dieser Regel an einem Ziel- oder Quellort und ermöglicht baselines und Unterschiede.

• „Abgeschlossen“ bedeutet, dass die ausgewählten Prüfungen ohne Materialbeschränkung abgeschlossen wurden.
• Teilweise bedeutet, dass nützliche Beweise vorliegen, eine oder mehrere geplante Kontrollen jedoch begrenzt waren.
• Unvollständig bedeutet, dass das Ergebnis das ausgewählte Profil nicht zuverlässig darstellen kann.