ライブラリのスコアガイド
Contrastでは、アプリケーションのライブラリの安全性を文字で表したグレードで提供し、分析時の目安として使用することができます。以下のとおり、スコアをグレード(AからFの文字)に置き換えます。
A： 90 - 100
B：80 - 89
C：70 - 79
D：60 - 69
F：35 - 59
スコアは、次の3つのペナルティ要素に基づきます。
時間： ライブラリの古さです。アプリケーションで使用されているバージョンのリリース日から最新バージョンのリリース日までの年数に、2.5を掛けた数が減算されます。
ステータス： ステータスは、ライブラリの日付以降のバージョン数です。アプリケーションの現在のライブラリ以降にリリースされたバージョンの数に、10を掛けた数が減算されます。
セキュリティ： ライブラリに影響を与えるCVE数です。ライブラリのCVEペナルティは、このライブラリの全ての既知のCVEの中で最も高い深刻度に、10を掛けた数が減算されます。
注記
Organization administrators can adjust the scoring method to include only security criteria.
ヒント
例：
2010年1月にリリースされたライブラリを使用していて、最新版が2013年9月にリリースされた場合は、経過した年数は2となります。そのため、時間のペナルティは次のようになります。
2 x 2.5 = 5
バージョン1.1.1を使用しているが、バージョン1.1.2と1.1.3がリリースされている場合は、ペナルティは次のようになります。
2 x 10 = 20
セキュリティのスコアに2.4と2.2があるライブラリがある場合、ペナルティは次のようになります。
2.4 x 10 = 24
ライブラリの最終的なスコアは、3つのペナルティそれぞれの値を100から引くことによって計算されます。
100 - 5 - 20 - 24 = 51
51のスコアには、「F」という文字が評価として割り当てられます。
注記
ContrastContrast updates its CVE database regularly, but there may be a delay between when a CVE is publicly disclosed and when it appears in the ContrastContrast analysis.