CWE (gemeenschappelijke opsomming van zwakke punten) is een gestandaardiseerde lijst van veelvoorkomende zwakke plekken en ontwerpfouten in software. In tegenstelling tot CVE, dat individuele kwetsbaarheden opsomt, richt CWE zich op de hoofdoorzaken - de codeer- of architectuurfouten die tot beveiligingsproblemen leiden. Het stelt ontwikkelaars, beveiligingsteams en organisaties in staat om veiligere software te bouwen door kwetsbaarheden bij de bron aan te pakken.
Hoe werkt CWE?
CWE wordt onderhouden door MITRE en bevat honderden zwakke punten in software. Elke CWE invoer omvat:
- Een beschrijving van de zwakke plek (bijv. buffer overflows, hardcoded credentials, onjuiste invoervalidatie);
- Potentiële impact;
- Voorbeelden uit de echte wereld;
- Preventiestrategieën en tips voor veilig coderen.
CWE is geen lijst van incidenten, maar van patronen. Het ondersteunt proactieve beveiliging door het ontwikkelingsproces van software robuuster te maken.
Een bekend voorbeeld is CWE-79: Cross-site scripting (XSS) - waarbij gebruikersinvoer niet goed wordt gezuiverd, waardoor schadelijke scripts in een browser kunnen worden uitgevoerd.
Waarom is CWE belangrijk?
CWE helpt organisaties:
- Code veilig gebaseerd op bekende foutpatronen;
- Gestructureerde codebeoordelingen uitvoeren en risicobeoordelingen;
- Gebruik maken van SAST-tools effectiever;
- Veilige ontwikkelingslevenscycli implementeren.
In toeleveringsketens, waar veel externe software wordt gebruikt, helpt inzicht in CWE bij het beoordelen van de codeerpraktijken en softwarekwaliteit van leveranciers.
CWE en RiskStudio
RiskStudio verbindt CVE-gegevens met onderliggende CWE-patronen. Wanneer een kwetsbaarheid wordt gevonden in het systeem van een leverancier, biedt RiskStudio context over de onderliggende zwakte, zoals een onveilige bestandsupload (CWE-434) of cross-site request forgery (CWE-352). Hierdoor kunnen organisaties niet alleen reageren op risico's, maar ook terugkerende beveiligingsproblemen in hun digitale toeleveringsketen opsporen. Met dit inzicht kunt u acties prioriteren, gesprekken met leveranciers verbeteren en veerkracht op de langere termijn opbouwen.
