Ликбез: Что такое CVE и почему без него нам всем будет плохо?

В свете недавних новостей об остановке госфинансирования США для программы CVE, давайте кратко вспомним, что это за зверь и почему он критически важен для нашей с вами работы. CVE (Common Vulnerabilities and Exposures) – это, по сути, общедоступный словарь уникальных идентификаторов для известных уязвимостей безопасности в софте и железе. Оператором выступает MITRE, но присвоением ID занимается глобальная сеть Центров Нумерации CVE (CNA) – их сейчас 376 в 41 стране мира.

Процесс получения CVE ID выглядит примерно так: кто-то (исследователь, вендор, пользователь) обнаруживает и сообщает об уязвимости. Соответствующий CNA проверяет отчет, убеждается, что уязвимость реальна, уникальна, соответствует критериям (включая серьезность и возможность исправления), и только потом присваивает ей номер формата CVE-ГОД-НОМЕР. Затем информация об уязвимости с этим ID публикуется в общем каталоге, доступном всем. Это не просто номер, это общий язык для всей индустрии ИБ.

Зачем это нужно? CVE позволяет всем – вендорам, админам, исследователям, сканерам уязвимостей – говорить об одной и той же дыре, используя стандартный идентификатор. Это упрощает поиск информации, отслеживание, патчинг и приоритизацию. К CVE часто привязывается оценка серьезности по шкале CVSS (от 0 до 10), помогающая понять, насколько срочно нужно латать дыру. Запись CVE также содержит описание, затронутые продукты, ссылки на патчи, обходные пути и другие полезные метаданные.

Без этой централизованной системы нас ждет возврат во времена, когда одна и та же уязвимость имела десяток разных названий у разных вендоров, что превращало управление уязвимостями и патчинг в настоящий ад. Система CVE – это фундамент, на котором держится значительная часть современной кибербезопасности.

Источник: vk.com

Комментарии: