CWE nedir; TR7 WAF loglarında ve raporlarında neden görünür?

Kısa cevap

CWE (Common Weakness Enumeration), MITRE'nin yürüttüğü, yazılım ve donanım güvenlik zayıflığı türlerinin standart kataloğudur; her zayıflık türünün CWE-89 (SQL Injection) gibi bir kodu vardır. Belirli bir üründeki açığı değil, açığa yol açan zayıflık türünü tanımlar ve bir saldırının hangi zayıflığı hedeflediğini araçlar arasında ortak bir dille ifade etmeye yarar. TR7 WAF imzalarını CWE kodlarıyla eşler; bu yüzden CWE, Signature & Rule Library'deki CWE Coverage kartında ve CWE kolonunda, WAF Event Logs'taki CWE filtresinde ve log önizlemesinde, WAF Report'un Overview sekmesindeki Top CWE göstergesinde ve Classification sekmesinde görünür; Attack Details in WAF Info alanında CWE (List) seçilirse SIEM'e giden saldırı kaydında da yer alır. Kullanıcının eklediği özel kurallarda ve CWE eşlemesi olmayan yerleşik kurallarda bu alan boş kalır.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
WAF → Signature & Rule Library	CWE Coverage kartı; CWE kolonu; Filter → CWE Coverage	İmzalarda geçen tekil CWE kodu sayısı; bir kuralın CWE kodları
WAF-Protected vService → Event Logs	CWE filtresi; önizlemenin Summary sekmesindeki CWE satırı	Tetiklenen imzaların hedeflediği zayıflık türleri
WAF Management → WAF Report	Overview → Top CWE; Classification → CWE	Dönemde en çok hedeflenen zayıflık türleri
WAF Management → SIEM & Attack Details	Attack details in WAF info → CWE (List)	SIEM'e giden saldırı kaydına cwe alanını ekleme; kural CWE taşımıyorsa değer null gönderilir

Sık Karıştırılan Noktalar

• "CWE bir güvenlik açığı numarasıdır." CWE zayıflık türünü gösterir; belirli bir üründeki tekil açık CVE koduyla tanımlanır.
• "Her kuralın CWE kodu vardır." Kullanıcının eklediği özel kurallarda ve CWE eşlemesi olmayan bazı yerleşik kurallarda alan boştur.
• "CWE ile CAPEC aynı şeyi anlatır." CWE hedeflenen zayıflığı, CAPEC saldırganın kullandığı saldırı desenini tanımlar: CAPEC nedir; CWE'den farkı ne?

Bir kuralın CWE ve diğer karşılıklarını görme: Bir kuralın hangi OWASP Top 10, CWE, CAPEC ve MITRE ATT&CK karşılıkları olduğunu nasıl görürüm?

Dokümantasyonda nasıl yapılır

• Signature & Rule Library · Kütüphane Özeti Kartları
• WAF Event Logs · Summary Sekmesi
• SIEM Attack Details · Attack Details in WAF Info

İlgili sorular

• Bir kuralın hangi OWASP Top 10, CWE, CAPEC ve MITRE ATT&CK karşılıkları olduğunu nasıl görürüm?
• SIEM'e gönderilen saldırı alanları nelerdir (score, severity, scope, name, category, CWE, MITRE, CAPEC, OWASP, target)?
• CAPEC nedir; CWE'den farkı ne?