Skip to content

Оценка приоритета дефекта

Новое в 2026.10.1

Оценка приоритета - число от 0 до 100, которое помогает выбрать, с каких дефектов начинать исправление, когда открытых дефектов высокой и критической критичности много. Чем выше оценка, тем раньше дефект стоит разобрать.

Оценка рассчитывается по формуле для типа сканирования:

  • SAST - критичность дефекта, критичность продукта и репозитория, категория файла (тесты и документация влияют меньше, чем основной код);
  • SCA - критичность дефекта, критичность продукта и репозитория, тип зависимости и внешние данные об уязвимости: EPSS, наличие в CISA KEV, данные БДУ ФСТЭК и NIST NVD;
  • DAST - критичность дефекта, критичность продукта и ассета, область развёртывания ассета.

Это формулы по умолчанию. Расчёт включается автоматически после первой синхронизации внешних каталогов; до этого у дефектов нет оценки. Администратор может отключить расчёт и изменить формулы в Настройки оценки приоритета. Если расчёт отключить, уже рассчитанные оценки остаются, но не обновляются.

Пока расчёт включён, оценка пересчитывается автоматически: при загрузке новых дефектов, при повторном открытии дефекта, при изменении критичности дефекта, продукта, репозитория или ассета и при обновлении внешних каталогов. Пока оценка ожидает расчёта, вместо числа отображается в очереди или пересчитывается....

Список дефектов

В таблице дефектов оценка показана в колонке Приоритет, по ней можно сортировать. В Фильтрах раздел Оценка приоритета задаёт диапазон значений; флажок Без оценки отбирает дефекты, для которых оценка не рассчитана.

Карточка дефекта

В шапке карточки рядом с критичностью отображается Приоритет в виде 89/100. Если навести курсор на оценку, откроется подсказка: значения переменных (На основе:), время расчёта (Рассчитано:) и рекомендация:

  • до 40 - Триаж при наличии ресурсов;
  • от 40 до 69 - Запланировать триаж;
  • от 70 - Триаж как можно скорее.

Внешние источники

На вкладке Доп. сведения отображается блок Внешние источники: данные CISA KEV, EPSS, БДУ ФСТЭК и NVD по CVE дефекта. Если CVE нет или данных по нему не найдено, в блоке отображается Для этой проблемы не найдены данные внешних источников. Для каждого источника можно открыть исходную запись по ссылке или посмотреть ответ источника кнопкой Смотреть сырые данные.

Пока данные загружаются, у источника отображается В очереди..., Загрузка... или Обновление...; при ошибке - Не удалось загрузить или Не удалось обновить.

История

Изменения оценки фиксируются на вкладке История. Чтобы показать или скрыть их, используйте флажок Приоритет в Настройках истории.

Дашборд

Карточка Проблемы для разбора в первую очередь показывает пять незакрытых дефектов с наибольшей оценкой, см. Карточки дашбордов.

Отличие от других показателей

  • Критичность задаёт сканер, правило или пользователь. Оценка приоритета учитывает критичность как одну из переменных.
  • Оценка риска относится к репозиторию или продукту целиком, а не к отдельному дефекту.
  • Оценка ложно-позитивности Vampy BRO показывает вероятность ложного срабатывания и в оценку приоритета не входит.