Wie lange jede Schwachstelle bis zur Behandlung brauchte, gemessen an Ihren Zielen pro Schweregrad, und das datierte Nachweisprotokoll.

Der CRA verlangt, Schwachstellen unverzüglich zu behandeln (Anhang I, Teil II). Behebungszeiten misst, wie lange Sie tatsächlich brauchen, gemessen an den Zielen, die Sie festlegen, und gibt Ihnen einen datierten Nachweis darüber. Die Funktion ist Teil der kostenpflichtigen Tarife.

Öffnen Sie Behebungszeiten unter Melden. Für jeden Schweregrad und für aktiv ausgenutzte Schwachstellen sehen Sie das Ziel, wie viele in den letzten 12 Monaten behandelt wurden, wie viele davon innerhalb des Ziels, die mittlere Dauer (Median) und wie viele noch offen oder überfällig sind.
Darunter die überfälligen Schwachstellen, die am längsten überfällige zuerst.
Inhaber und Admins legen die Ziele in ganzen Tagen fest, von 1 bis 365. Standardmäßig: 7 Tage für eine aktiv ausgenutzte oder kritische Schwachstelle, 30 für hoch, 90 für mittel, 180 für niedrig. Lassen Sie ein Feld leer, um kein Ziel festzulegen. Jede Änderung wird im Nachweisjournal festgehalten.
Klicken Sie auf Nachweisprotokoll herunterladen (CSV): eine Zeile pro Schwachstelle, mit dem Beginn der Zählung, wie und wann sie behandelt wurde, den benötigten Tagen und dem Ziel. Ihr SHA-256-Fingerabdruck steht im Nachweisjournal, sodass Sie später zeigen können, dass eine Kopie nicht verändert wurde.

Wie gemessen wird. Eine Schwachstelle ist ein Sicherheitshinweis in einer Komponentenversion eines Produkts, wie bei einer VEX-Aussage. Die Zählung beginnt, wenn die Überwachung sie zum ersten Mal im Produkt gefunden hat; bei einer aktiv ausgenutzten ab dem Zeitpunkt, an dem ein Katalog (CISA KEV, EUVD) sie zum ersten Mal gemeldet hat, und es gilt das Ziel für ausgenutzte Schwachstellen, unabhängig vom Schweregrad. Sie gilt als behandelt, wenn Sie sie als nicht betroffen oder behoben bewerten (zum Datum, an dem Sie sie zuerst geschlossen haben: eine spätere Textänderung verschiebt es nicht) oder wenn keine unterstützte Version des Produkts sie mehr enthält (wenn die Überwachung sie nicht mehr gefunden hat). In Untersuchung und betroffen lassen sie offen. Eine Schwachstelle, die bewertet wurde, bevor ein Katalog sie als ausgenutzt gemeldet hat, wird nach ihrem eigenen Schweregrad beurteilt. Es zählt der neueste Schweregrad: eine auf kritisch hochgestufte Schwachstelle wird am Ziel für kritisch gemessen. Schwachstellen ohne Schweregrad werden erst gezählt, wenn sie ausgenutzt werden, und in einem archivierten Produkt offen gebliebene zählen nirgends.

Für diese Seite wird nichts gespeichert: Sie wird jedes Mal aus den Befunden der Überwachung und Ihren VEX-Aussagen berechnet.