Общие уязвимости и факторы риска
-
Определение и назначение CVE
- CVE (Common Vulnerabilities and Exposures) — это система нумерации уязвимостей в программном обеспечении.
- CVE-идентификаторы используются для классификации и отслеживания уязвимостей.
- CVE-идентификаторы присваиваются органом по нумерации CVE (CNA), который был создан в 2005 году.
-
Процесс присвоения CVE-идентификатора
- CVE-идентификаторы присваиваются после регистрации и одобрения MITRE.
- CNA может запросить блоки номеров CVE для своих продуктов.
- CVE-идентификаторы могут быть зарезервированы для будущих проблем безопасности.
-
Структура и поля CVE-идентификатора
- CVE-идентификатор состоит из префикса CVE, года и произвольных цифр.
- В 2014 году был введен новый синтаксис CVE-идентификатора для поддержки идентификаторов за пределами CVE-9999.
-
Разделение и слияние CVE
- CVE стремится назначить один CVE на каждую проблему безопасности, но иногда это приводит к большому количеству CVE.
- Руководящие принципы CVE описывают разделение и объединение проблем по различным критериям.
-
Поиск и использование CVE-идентификаторов
- CVE-идентификаторы используются для обмена данными и оценки охвата средств безопасности.
- Пользователям рекомендуется указывать CVE-идентификаторы в отчетах о безопасности.
-
Проблемы с назначением CVE
- Существует риск конфликта интересов между поставщиками и CNA при присвоении CVE.
- Проект «!CVE» направлен на сбор уязвимостей, отрицаемых поставщиками.
-
Дополнительные ресурсы
- Ссылки на официальный веб-сайт CVE, NVD и CCE, а также инструкции по загрузке баз данных уязвимостей.