PatchFirst
Bewertung und Gesamtbewertung
Die Bewertung zeigt erkannte Risiken; die Gesamtbewertung berücksichtigt den Anteil der geprüften Software.
Bewertung
Die Hauptbewertung von 0 bis 100 und die zugehörige Buchstabennote beziehen sich auf geprüfte Komponenten. Höhere Werte bedeuten weniger erkanntes Risiko. Diese Bewertung bestimmt das Urteil und die Farbe im Bericht. Die Prioritäten P0–P3 helfen bei der Reihenfolge der Updates.
Die Bewertung beruht auf der erfassten Software und den zum Prüfzeitpunkt verfügbaren Informationen zu Schwachstellen. Sie garantiert nicht, dass keinerlei Bedrohungen bestehen.
Gesamtbewertung
Die Gesamtbewertung steht daneben und ist mit einem Sternchen versehen. Der geprüfte Anteil erhält die Hauptbewertung, der ungeprüfte Anteil 50 Punkte für unbekanntes Risiko.
Beispiel: Bewertung 90 / 100
Gesamtbewertung 70 / 100* · 400 von 800 Komponenten geprüft
coverage = checked / total
global_score = round(score × coverage + 50 × (1 − coverage))Liegt die Hauptbewertung über 50, senkt der unbekannte Anteil die Gesamtbewertung. Unter 50 kann die Gesamtbewertung höher ausfallen. Bei vollständiger Prüfung stimmen beide Werte überein; die Buchstabenskala ist dieselbe.
„Ungeprüft“ bedeutet nicht „verwundbar“: Für den Vergleich fehlen noch Angaben. Wurde die Liste der installierten Serverpakete nicht erfasst, zeigen beide Bewertungen „?“. Bei einem Cluster werden die erkannten Programme und Knoten bewertet.
Die Gesamtbewertung der Flotte nutzt dieselben Gewichte wie die Hauptbewertung: Server mit der Rolle prod zählen doppelt, andere einfach. Server mit „?“ werden weder im Durchschnitt noch im Prüfumfang der Flotte berücksichtigt.
Was zum Prüfumfang zählt
Der Prüfumfang ist das Verhältnis der geprüften zu allen erkannten Komponenten. Wir zählen installierte Pakete, Anwendungsabhängigkeiten, eigenständige Programme und Container-Images. Mehrfach vorkommende identische Abhängigkeiten und Images zählen nur einmal.
Ein Paket gilt als geprüft, wenn seine Version mit Informationen zu Schwachstellen verglichen wurde. Das gilt auch für Pakete aus Drittanbieter-Repositories und Pakete unbekannter Herkunft: Sind Produkt und genaue Version bekannt, erfolgt die Prüfung anhand der Angaben des Produktherstellers. Paket und darin erkanntes Produkt werden nicht doppelt gezählt.
Bei einem Container prüfen wir das erkannte Programm mit genauer Version. Nicht erkannte Images und Images ohne genaue Version bleiben ungeprüft. Unbekannte Image-Inhalte erzeugen keine zusätzlichen angenommenen Komponenten. Ein Cluster-Knoten ohne Paketliste zählt als ein ungeprüftes Betriebssystem.
Geprüft wird der laufende Systemkern. Alte, nicht laufende Kernel und ihre Hilfsdateien gehören nicht zum Prüfumfang. Eine gefundene Schwachstelle verringert den Prüfumfang nicht: Die Komponente wurde geprüft, das Ergebnis beeinflusst die Bewertung. Auch ausgeblendete Befunde mit geringem Risiko ohne verfügbare Korrektur verringern ihn nicht.
Ungeprüft bleiben können eigene Pakete, Programme ohne Versionsangabe, nicht erkannte Produkte, nicht vergleichbare Versionen und Komponenten mit vorübergehend nicht verfügbaren Datenquellen. Die Gründe stehen in einem eingeklappten Abschnitt am Berichtsende. Die kostenlose Prüfung zeigt keine Namen oder Versionen.
Prüfumfang erhöhen
- Erfassen Sie mit dem Agenten eine aktuelle Softwareliste mit genauen Versionsangaben.
- Verwenden Sie für Container genaue Versionen statt wechselnder Kennzeichnungen. Prüfen Sie die ausführenden Server gesondert.
- Klären Sie unbekannte Versionen und wiederholen Sie die Prüfung, sobald die Datenquellen wieder verfügbar sind. Beheben Sie erkannte Bedrohungen nach den Prioritäten im Bericht.