Common Weakness Enumeration
La Common Weakness Enumeration (CWE) è un sistema di categorizzazione delle debolezze hardware e software che potrebbero generare vulnerabilità informatiche. Concepita per comprendere meglio i difetti nel software e nell'hardware e creare strumenti automatizzati che possono essere utilizzati per identificarli, correggerli e prevenirli,[1] si pone i seguenti obiettivi:[2]
- gestire la tassonomia comune per la classificazione delle vulnerabilità comuni del software relativamente ad architettura, progettazione e codice;
- fornire una classificazione standard per tool di protezione del software;
- fornire una linea di base da cui partire per aiutare a identificare, attenuare e prevenire questo tipo di debolezza software.
_logo.svg){kind=logo}
Organizzazione e diffusione
modificaIl progetto è gestito in forma collaborativa da un'ampia community di soggetti, tra cui:[2]
- organizzazioni governative statunitensi: è sponsorizzato dal Dipartimento della sicurezza interna degli Stati Uniti d'America (DHS) e dalla Cybersecurity and Infrastructure Security Agency (CISA), collaborano alla gestione il Team di pronto intervento informatico degli Stati Uniti d'America (US-CERT) e la Divisione nazionale per la sicurezza informatica del DHS.[3][4];
- aziende private: è gestito dalla Mitre Corporation e nel consiglio di amministrazione siedono esponenti di NVIDIA, Red Hat, CISQ, Intel;[5]
- istituti accademici, educativi o di ricerca: la University of Nebraska Omaha, il SANS e la Homeland Security Systems Engineering and Development Institute (HSSEDI).[6]
Pur essendo un progetto nato e sviluppato negli USA, si è successivamente diffuso globalmente, diventando un framework di riferimento per la sicurezza informatica,[2][7][8][9][10] in particolare per quanto riguarda la CWE/SANS Top 25, ovvero la lista delle 25 vulnerabilità informatiche più pericolose.[11] I gruppi di lavoro e di interesse sono costituiti da forum pubblici in cui chiunque può partecipare, discutere, e collaborare per promuovere l'adozione della CWE e aumentarne la diffusione.[1]
L'elenco e la tassonomia di classificazione associata è stata pubblicata per la prima volta nel 2006.[12] Il 3 aprile 2025 è stata pubblicata la versione 4.17 dello standard CWE.[13]
La CWE ha oltre 600 categorie, tra cui classi per buffer overflow, errori di attraversamento di percorsi/directory tree, race condition, cross-site scripting, password hardcoded e numeri casuali non sicuri.[14]
Compatibilità con la CWE
modificaFino al 16/04/2024, la CWE offriva un programma di compatibilità, che consentiva di esaminare un servizio o un prodotto e registrarlo ufficialmente come "compatibile con la CWE" (in inglese CWE-Compatible) o "efficace secondo la CWE" (in inglese CWE-Effective). Il programma aiutava le organizzazioni a selezionare gli strumenti software più adatti e a individuare i possibili punti deboli e il loro possibile impatto.
Per ottenere lo status di compatibilità CWE, un prodotto o un servizio doveva soddisfare 4 dei seguenti 6 requisiti.
| Ricercabilità per CWE | Gli utenti possono cercare elementi di sicurezza utilizzando gli identificatori della CWE |
| Output CWE | Gli elementi di sicurezza presentati agli utenti includono, o consentono agli utenti di ottenere, gli identificatori della CWE associati |
| Precisione della mappatura | Gli elementi di sicurezza rimandano accuratamente agli identificatori della CWE appropriati |
| Documentazione CWE | La documentazione del prodotto o servizio descrive la CWE, la compatibilità con la CWE e come viene utilizzata la funzionalità correlata alla CWE nel prodotto o servizio |
| Copertura della CWE | Per la compatibilità con la CWE e l'efficacia secondo la CWE, la documentazione del prodotto o servizio elenca esplicitamente gli identificatori della CWE per i quali il prodotto o servizio rivendica copertura ed efficacia, individuati nel software |
| Risultati del test CWE | Per l'efficacia secondo la CWE, i risultati dei test sul prodotto o servizio che mostrano i risultati della valutazione del software secondo gli identificatori della CWE sono pubblicati sul sito web della CWE |
Critiche alla CWE
modificaAlcuni ricercatori ritengono che, pur rappresentando un notevole sforzo comunitario, la CWE contenga delle descrizioni delle vulnerabilità inaccurate, incomplete, incoerenti o ambigue. Per evitare o ridurre il problema, hanno proposto un approccio diverso alla classificazione delle vulnerabilità, puntando ad una "organizzazione naturale" come in una sorta di tavola periodica degli elementi. Ciò potrebbe aiutare la comunità a descrivere meglio e spiegare più dettagliatamente la natura e le classi delle vulnerabilità, con conseguenti miglioramenti nella loro rilevazione, mitigazione e prevenzione, e prevedere nuove classi di debolezze e vulnerabilità. Usando come base la CWE, hanno sviluppato definizioni più precise e accurate, e perfezionato ed esteso la classificazione.[15]
Note
modifica- ^ a b (EN) CWE - About CWE, su cwe.mitre.org. URL consultato il 16 maggio 2025.
- ^ a b c Agenzia per l'Italia digitale, Linee guida per l'adozione di un ciclo di sviluppo di software sicuro (PDF), pp. 41-43.
- ^ (EN) NVD - Categories, su nvd.nist.gov. URL consultato il 16 maggio 2025.
- ^ (EN) Katerina Goseva-Popstojanova e Andrei Perhinschi, On the capability of static code analysis to detect security vulnerabilities, in Information and Software Technology, vol. 68, 1º dicembre 2015, pp. 18–33, DOI:10.1016/j.infsof.2015.08.002. URL consultato il 16 maggio 2025.
- ^ CWE - CWE Board, su cwe.mitre.org. URL consultato il 5 giugno 2025.
- ^ (EN) CWE - Frequently Asked Questions (FAQ), su cwe.mitre.org. URL consultato il 16 maggio 2025.
- ^ SANS TOP 25 Most Dangerous Software Errors Over the Years., su www.clouddefense.ai. URL consultato il 5 giugno 2025.
- ^ SANS Top 25 | PointGuard AI Security Glossary, su www.pointguardai.com. URL consultato il 5 giugno 2025.
- ^ Michael Howard, Improving Software Security by Eliminating the CWE Top 25 Vulnerabilities, in IEEE Security & Privacy, vol. 7, n. 3, 2009-05, pp. 68–71, DOI:10.1109/MSP.2009.69. URL consultato il 5 giugno 2025.
- ^ Yuri Moretto, CWE Top 25 Most Dangerous Software Weaknesses - 2024, su Studio Consi, 17 dicembre 2024. URL consultato il 5 giugno 2025.
- ^ CWE - CWE Top 25 Most Dangerous Software Weaknesses, su cwe.mitre.org. URL consultato il 5 giugno 2025.
- ^ (EN) CWE - About - CWE History, su cwe.mitre.org. URL consultato il 16 maggio 2025.
- ^ (EN) CWE - News & Events - 2025, su cwe.mitre.org. URL consultato il 16 maggio 2025.
- ^ (EN) NIST Bugs Framework (BF): Formalizing Cybersecurity Security Weaknesses and Vulnerabilities, su usnistgov.github.io. URL consultato il 16 maggio 2025.
- ^ (EN) Paul E. Black, Irena V. Bojanova e Yaacov Yesha, Towards a "Periodic Table&" of Bugs, in NIST, 19 giugno 2015. URL consultato il 16 maggio 2025.
Voci correlate
modificaCollegamenti esterni
modifica- (EN) Sito ufficiale, su cwe.mitre.org.
