ARK. 1System · Standardy
OCSF — czym jest Finding, zanim ktoś przeczyta jego typ.
OCSF (Open Cybersecurity Schema Framework) to otwarty schemat zdarzeń bezpieczeństwa, którego używają SIEM-y i narzędzia chmurowe. W kategorii „Findings” rozróżnia, czym jest znalezisko: luką (Vulnerability Finding), wynikiem sprawdzenia względem standardu (Compliance Finding) albo wykryciem działania napastnika (Detection Finding). Każdy typ Findingu LAB247 dostaje jedną z tych klas albo żadnej — strona, która nie odpowiada, nie jest findingiem bezpieczeństwa i nie udajemy, że jest.
Źródło: OCSF 1.9.0, kategoria 2 Findings (schema.ocsf.io, odczyt 30.09.2026). Przypisanie typu do klasy jest oceną LAB247 według reguł z TAB. 2. Inne osie: OWASP ASVS, OWASP Top 10, MITRE ATT&CK, SSVC.
- Vulnerability Finding
- 27class_uid 2002
- Compliance Finding
- 28class_uid 2003
- Detection Finding
- 45class_uid 2004
- Bez klasy
- 63dostępność, SEO, monitoring, informacja
TAB. 1Klasy i typy FindingówOCSF 1.9.0
| Klasa | UID | Co znaczy | Typy LAB247 |
|---|---|---|---|
| Vulnerability Finding | 2002 | słabość systemu albo jego wdrożenia, którą zagrożenie może wykorzystać | wc_templates_outdated · exposure_git · exposure_env · exposure_wpconfig_bak · exposure_wpconfig_tilde · exposure_backup_archive · exposure_sql_dump · exposure_htaccess_bak · exposure_phpinfo · exposure_db_console · exposure_debug_log · exposure_directory_listing · exposure_path_leak · exposure_xmlrpc · exposure_users_enum · exposure_author_enum · exposure_readme · exposure_dev_manifest · exposure_ds_store · exposure_wpcron · vuln_cve · vuln_cve_krytyczna · vuln_wp_core · vuln_wp_core_krytyczna · eol_cms · posture_php_eol · outdated_php |
| Compliance Finding | 2003 | wynik sprawdzenia zasobu względem standardu bezpieczeństwa (tu: OWASP ASVS, WordPress Hardening) | ssl · ssl_hostname_mismatch · ssl_expiry · redirect · mixed_content · open_registration · outdated_plugin · outdated_theme · outdated_wp · risky_tool_present · plugin_unknown_source · wtyczka_administracyjna_niezweryfikowana · cron_dependency_at_risk · posture_file_edit_allowed · posture_registration_open · posture_debug_display_on · posture_no_2fa_admins · posture_cron_orphans · missing_hsts · missing_xframe · missing_nosniff · missing_csp · missing_referrer_policy · missing_permissions_policy · dns_spf_missing · dns_dmarc_missing · dns_mail_auth_removed · tls_przestarzaly |
| Detection Finding | 2004 | wykryte działanie napastnika albo jego ślad (infekcja, zmiana plików, nowe konto) | infection_safe_browsing · safebrowsing_flagged · infection_base64_eval · infection_cloaking · infection_same_origin_loader · infection_socgholish_gateway · infection_etherhiding · infection_seo_spam · key_page_tampered · infection_foreign_script · infection_hidden_iframe · critical_file_changed · wp_config_injected · backdoor_pattern · htaccess_mass_change · htaccess_prepend · uploads_fake_core_dir · root_php_unknown · wp_config_anomaly · uploads_executable · cron_foreign · robots_foreign_sitemap · key_files_changed · theme_functions_changed · mu_plugin_new · posture_new_users · admin_changed_outside_wordpress · admin_session_without_login · admin_added_without_login · admin_added · admin_credentials_changed · admin_login_new_address · event_flood · plugin_changed_outside_wordpress · monitor_plugin_settings_changed · plugin_installed · plugin_activated · plugin_deactivated · plugin_deleted · ip_changed · dns_ns_changed · dns_mx_changed · exposure_script_domain_unregistered · sklep_obcy_skrypt_kasy · sklep_zmiana_platnosci |
| Incident Finding | 2005 | naruszenie, które spina powiązane Findingi, techniki ATT&CK i ślady; ma własny status i rozstrzygnięcie | żaden typ — rekord Incydentu w bazie Skanera spina Findingi (finding_info_list) |
| bez klasy | — | poza findingami bezpieczeństwa: dostępność, SEO, monitoring, informacja, kontener | tcp · http · dns · content · partial_availability · www_redirect · ttfb · domain_expiry · domena_wygasa · domena_wygasla · app_error · zepsuty_kontakt · indexed_pages_drop · shop_test_order_failed · wc_orders_silence · wc_failed_payments · wc_mail_failed · wc_scheduler_overdue · key_page_unavailable · formularz_nie_dziala · cron_dead · infection_scan_unknown · bot_protection_detected · exposure_scan_unreliable · wp_fingerprint · wersja_nieznana · wtyczki_poza_skanem_luk · update_data_missing · admin_login · admin_role_revoked · admin_deleted · monitor_plugin_silent · monitor_plugin_deactivated · uploads_scan_partial · admins_hidden · backend_poza_monitoringiem · network_block · ip_lockout_wp_defender · noindex · robots_block_all · robots_missing · sitemap_absurd_url_count · sitemap_declared_404 · seo_canonical_missing · seo_title_missing · seo_http_https_mismatch · sklep_koszyk_nie_dziala · sklep_kasa_nie_dziala · sklep_brak_platnosci · wydajnosc_zla · wydajnosc_slaba · wydajnosc_brak_kompresji · wydajnosc_brak_cache_strony · wydajnosc_brak_http2 · wydajnosc_krotki_cache_plikow · wydajnosc_pogorszenie · wydajnosc_ciezka_strona · wydajnosc_lcp · wydajnosc_cls · wydajnosc_tbt · wydajnosc_crux · wydajnosc_podstrony · audyt |
TAB. 2Reguły przypisaniapierwsza pasująca wygrywa
| # | Warunek | Klasa |
|---|---|---|
| 1 | wyjątek z listy (TAB. 3) | z wyjątku |
| 2 | zdarzenie albo werdykt reputacji (Safe Browsing) | Detection Finding |
| 3 | złośliwy kod: CWE-506, CWE-829 | Detection Finding |
| 4 | zależność z luką albo komponent bez wsparcia: CWE-1395, CWE-1104 | Vulnerability Finding |
| 5 | publicznie dostępny plik albo endpoint (exposure_*) z CWE | Vulnerability Finding |
| 6 | inny typ z CWE, ustawienie, higiena | Compliance Finding |
| 7 | dostępność, SEO, monitoring, informacja, kontener | bez klasy |
TAB. 3Wyjątki od reguł1
| Typ | Klasa | Dlaczego |
|---|---|---|
| uploads_executable | Detection Finding | plik PHP w katalogu wgrywanych plików to ślad wgrania furtki (T1505.003), nie sama słabość CWE-434 |
TAB. 4Severity → severity_ideksport i oś czasu
| Severity LAB247 | severity_id | Nazwa w OCSF |
|---|---|---|
| Krytyczna | 5 | critical |
| Wysoka | 4 | high |
| Średnia | 3 | medium |
| Niska | 2 | low |
| Nieoceniona | 0 | unknown |
TAB. 5Jak czytaćgranice osi
- Klasa ≠ Severity
- klasa mówi, czym jest Finding; jak groźny — mówi Severity. Wykrycie może mieć niską Severity (nowa wtyczka), luka — krytyczną.
- Incident Finding (2005)
- używana od 01.10.2026: każdy Incydent jest w bazie Skanera rekordem tej klasy (status_id New · In Progress · On Hold · Resolved · Closed, verdict_id, finding_info_list z powiązanymi Findingami, techniki ATT&CK) i eksportuje się jako zdarzenie OCSF. Typom Findingów jej nie przypisujemy: incydent ogłasza się dla konkretnego Findingu według spisanych kryteriów (NIST SP 800-61), a nie z samego typu.
- Gdzie widać
- kolumna OCSF na liście Findings w panelu, karta Findingu (TAB. Klasyfikacja), API skanera (pole standardy.ocsf).