CWE
Yazılım ve donanım tasarım/uygulamalarındaki tekrar eden zayıflık türlerini sınıflandıran ortak taksonomi.
CWE (Common Weakness Enumeration), yazılım ve donanım tasarım ya da uygulamalarında tekrar eden zayıflık türlerini sınıflandıran ortak bir taksonomidir; CVE gibi tekil zafiyet kimliği değildir.
Siber Güvenlik Bağlamı
Buffer overflow, improper input validation veya authorization hataları gibi root-cause sınıfları CWE ile ifade edilebilir. Secure coding, static analysis ve vulnerability taxonomy için kullanılır.
Tehdit Modeli Sınırı
CWE belirli bir ürün zafiyetine verilen olay kimliği değildir; CVE tekil zafiyet kaydı, CWE ise zayıflık sınıfıdır.
İlişkili Güvenlik Kavramları
- CVE
- CVSS
- Static Analysis
- Secure Coding
Kaynak
- https://csrc.nist.gov/glossary/term/cwe
CWE, CVE ve Zafiyet Kaydı Ayrımı
CWE tekrar eden zayıflık türlerini sınıflandırır; CVE ise kamuya açıklanmış belirli zafiyet kayıtlarını tanımlar. Bir CVE bir veya daha fazla CWE sınıfıyla ilişkilendirilebilir, ancak iki sistem aynı amaçla kullanılmaz. Güvenli yazılım geliştirmede CWE tasarım ve kodlama hatası sınıflarını izlemek için, CVE ise somut ürün/sürüm etkisini takip etmek için daha uygundur.