As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
# Visualizar a pontuação do Amazon Inspector e entender os detalhes da inteligência de vulnerabilidade
O Amazon Inspector cria uma pontuação para descobertas da instância do Amazon Elastic Compute Cloud (Amazon EC2). Você pode visualizar a pontuação do Amazon Inspector e detalhes da inteligência de vulnerabilidade no console do Amazon Inspector. A pontuação do Amazon Inspector fornece detalhes que você pode comparar com as métricas do [Common Vulnerability Scoring System](https://www.first.org/cvss/v3.1/specification-document). Esses detalhes estão disponíveis apenas para descobertas de [vulnerabilidade de pacotes](https://docs.aws.amazon.com/inspector/latest/user/findings-types.html#findings-types-package). Esta seção descreve como interpretar a pontuação do Amazon Inspector e entender os detalhes da inteligência de vulnerabilidade.
## Pontuação do Amazon Inspector
O Amazon Inspector cria uma pontuação para cada descoberta do Amazon EC2. O Amazon Inspector determina a pontuação pela correlação das informações de pontuação base do CVSS com as informações do ambiente de computação, como acessibilidade da rede e dados de explorabilidade. O Amazon Inspector é compatível com os fornecedores Amazon, Debian e RHEL. Cada fornecedor oferece uma pontuação base do CVSS v3.1. Para outros fornecedores, o Amazon Inspector usa uma pontuação base do CVSS fornecida pelo [National Vulnerability Database (NVD)](https://nvd.nist.gov/vuln).
Devido aos requisitos do FedRAMP, o Amazon Inspector usa a pontuação base do CVSS v3.1 como a pontuação padrão. No entanto, uma pontuação base do [CVSS 4.0](https://www.first.org/cvss/v4-0/specification-document) será incluída nos metadados de vulnerabilidade quando estiver disponível. A pontuação base do CVSS 4.0 fornece métricas adicionais para melhorar a avaliação da vulnerabilidade. Você pode consultar a origem e a versão de uma pontuação base do CVSS nos detalhes da vulnerabilidade de uma descoberta e nas descobertas exportadas.
**nota**
A pontuação do Amazon Inspector não está disponível para instâncias do Linux executando o Ubuntu. O Ubuntu usa um sistema de classificação de gravidade personalizado que difere das pontuações do CVSS.
### Detalhes de pontuação do Amazon Inspector
Ao abrir a página de detalhes de uma descoberta, você pode selecionar a guia **Pontuação do Inspector e a inteligência de vulnerabilidade**. Esse painel mostra a diferença entre a pontuação base e a **pontuação do Inspector**. Esta seção explica como o Amazon Inspector atribuiu a classificação de severidade com base em uma combinação da pontuação do Amazon Inspector e da pontuação do fornecedor para o pacote de software. Se as pontuações forem diferentes, este painel mostra uma explicação do porquê.
Na seção de **Métricas de pontuação CVSS**, você pode ver uma tabela com comparações entre as métricas de pontuação base do CVSS e a **pontuação do Inspector**. As métricas comparadas são as métricas básicas definidas no [documento de especificação do CVSS](https://www.first.org/cvss/specification-document) mantido pela first.org. A seguir é apresentado um resumo das métricas básicas:
**Vetor de ataque**
O contexto pelo qual uma vulnerabilidade pode ser explorada. No caso de descobertas do Amazon Inspector, isso pode ser Rede, **Rede** **Adjacente** ou **Local**.
**Complexidade do ataque**
Isso descreve o nível de dificuldade que um invasor enfrentará ao explorar a vulnerabilidade. Uma pontuação **Baixa** significa que o atacante precisará atender a pouca ou nenhuma condição adicional para explorar a vulnerabilidade. Uma pontuação **Alta** significa que um invasor precisará investir uma quantidade considerável de esforço para realizar um ataque bem-sucedido com essa vulnerabilidade.
**Privilégios Obrigatórios**
Isso descreve o nível de privilégio que um invasor precisará para explorar uma vulnerabilidade.
**Interação com o usuário**
Essa métrica indica se um ataque bem-sucedido usando essa vulnerabilidade requer um usuário humano, que não seja o atacante.
**Escopo**
Isso indica se uma vulnerabilidade em um componente vulnerável afeta os recursos em componentes além do escopo de segurança do componente vulnerável. Se esse valor for **Inalterado**, o recurso afetado e o recurso impactado serão iguais. Se esse valor for **Alterado**, o componente vulnerável poderá ser explorado para impactar os recursos gerenciados por diferentes autoridades de segurança.
**Confidencialidade**
Isso mede o nível de impacto na confidencialidade dos dados em um recurso quando a vulnerabilidade é explorada. Isso varia de **Nenhuma**, onde nenhuma confidencialidade é perdida, até **Alta**, onde todas as informações dentro de um recurso são divulgadas ou informações confidenciais, como senhas ou chaves de criptografia, podem ser divulgadas.
**Integridade**
Isso mede o nível de impacto na integridade dos dados dentro do recurso afetado se a vulnerabilidade for explorada. A integridade está em risco quando o invasor modifica arquivos dentro dos recursos afetados. A pontuação varia de **Nenhuma**, em que a exploração não permite que um invasor modifique nenhuma informação, até **Alta**, em que, se explorada, a vulnerabilidade permitiria que um invasor modificasse qualquer um ou todos os arquivos, ou os arquivos que poderiam ser modificados teriam consequências graves.
**Disponibilidade**
Isso mede o nível de impacto na disponibilidade do recurso afetado quando a vulnerabilidade é explorada. A pontuação varia de **Nenhuma**, quando a vulnerabilidade não afeta a disponibilidade, até **Alta**, em que, se explorada, o invasor pode negar completamente a disponibilidade do recurso ou fazer com que um serviço fique indisponível.
## Inteligência de vulnerabilidade
Esta seção resume a inteligência disponível sobre o CVE da Amazon, bem como as fontes de inteligência de segurança padrão do setor, como a Agência de Segurança Cibernética e de Infraestrutura (CISA).
**nota**
A Intel da CISA ou da Amazon não estará disponível para todos CVEs.
Você pode ver os detalhes da inteligência de vulnerabilidade no console ou usando a API [https://docs.aws.amazon.com/inspector/v2/APIReference/API_BatchGetFindingDetails.html](https://docs.aws.amazon.com/inspector/v2/APIReference/API_BatchGetFindingDetails.html). Os detalhes a seguir estão disponíveis no console:
**ATT&CK**
Esta seção mostra as táticas, técnicas e procedimentos do MITRE (TTPs) associados ao CVE. Os associados TTPs são mostrados. Se houver mais de dois aplicáveis, TTPs você poderá selecionar o link para ver uma lista completa. Selecionar uma tática ou técnica abre informações sobre ela no site do MITRE.
**CISA**
Esta seção aborda as datas relevantes associadas à vulnerabilidade. A data em que a CISA (Agência de Segurança Cibernética e de Infraestrutura) adicionou a vulnerabilidade ao Catálogo de Vulnerabilidades Exploradas Conhecidas, com base em evidências de exploração ativa, e a data de vencimento que a CISA espera que os sistemas sejam corrigidos. Essas informações são provenientes da CISA.
**Malware conhecido**
Esta seção mostra ferramentas e kits de exploração conhecidos que exploram essa vulnerabilidade.
**Hora do último relatório**
Esta seção mostra a data da última exploração pública conhecida dessa vulnerabilidade.