· 5 Minuten Lesezeit.
Warum eine unvollständige Aufzeichnung kostspielig ist
Nehmen Sie zwei am selben Tag veröffentlichte Aufzeichnungen für zwei Mängel mit ähnlicher Schwere.
Die erste spezifiziert den Anbieter, das Produkt, Versionen 2.0 bis 2.14.1, eine standardisierte Produktkennung, a CVSS Vektor und a CWE. Ein Überwachungstool gleicht es im Bruchteil einer Sekunde mit Ihrem Inventar ab und Sie erhalten entweder eine Warnung oder nichts – eine Antwort in jedem Fall.
Im zweiten steht: „Eine Schwachstelle betrifft Produkt X“, ohne Version. Kein Werkzeug kann entscheiden. Es gibt zwei mögliche Ergebnisse, die beide schlecht sind: Entweder man verwirft es und geht ein Risiko ein, oder man bringt es an die Oberfläche und erhöht den Lärm. Diese Kosten sollen durch die Bewertung sichtbar gemacht werden.
Die vier Kriterien
Jeder CNA erhält eine Gesamtnote basierend auf dem Anteil seiner Datensätze, die die folgenden vier Felder korrekt ausfüllen:
| Kriterium | Frage zum Protokoll gestellt | Was es ermöglicht |
|---|---|---|
| Anbieter | Ist der betroffene Anbieter identifiziert? | Der erste Filter, noch vor dem Produkt |
| Produkt und Version | Liegen das Produkt und sein Variantenspektrum in standardisierter Form vor? | Automatischer Abgleich mit einem Inventar |
| CVSS-Punktzahl | Wird ein vollständiger Vektor bereitgestellt? | Nach Schweregrad sortieren und den Vektor lesen |
| Schwäche (CWE) | Ist die Fehlerklasse ausgefüllt? | Trendanalyse und Langzeitarbeit |
Diese vier Kriterien beurteilen nicht die Genauigkeit eines Datensatzes – wir haben keine Möglichkeit, dies im großen Maßstab zu überprüfen. Sie beurteilen es Vollständigkeit, also wie gut eine Maschine es verarbeiten kann. Es ist eine bescheidene Maßnahme, und genau das macht sie ehrlich.
Die Notenskala
| Note | Vollständigkeit erfassen |
|---|---|
| A | Hervorragend – fast alle Felder ausgefüllt, fast immer |
| B | Gut – regelmäßig fehlt ein Feld, normalerweise das CWE |
| C | Mittelmäßig – betroffene Versionen werden inkonsistent ausgefüllt |
| D | Schlecht – der automatische Abgleich schlägt oft fehl |
| F | Sehr unvollständig – die Aufzeichnung muss von Hand nachbearbeitet werden |
Lautstärke ist nicht Qualität
Das konsistenteste Ergebnis: Einige CNAs mit sehr hohem Volumen weisen eine geringe Vollständigkeit auf, während spezialisierte CNAs, die zehnmal weniger veröffentlichen, nahezu perfekte Datensätze produzieren. Die Note hebt den Größeneffekt auf indem man an Proportionen arbeitet, niemals an Summen.
Dies ist keine Anklage. Ein CNA, der jedes Jahr Tausende von Community-Berichten verarbeitet, verfügt nicht über die Ressourcen des Produktteams eines Anbieters. Das Ranking soll Ihnen sagen, was Sie erwartet, und nicht, um goldene Sterne zu verteilen.
Was es für Sie in der Praxis bedeutet
Auch ohne veröffentlichtes Ranking kann das Raster unverändert wiederverwendet werden: Wenn eine Warnung Sie verwirrt, überprüfen Sie die vier Felder der Reihe nach. Anbieter, Version, Vektor, Schwäche. Wenn zwei oder mehr fehlen, suchen Sie den Fehler nicht in Ihrem Tool: Lesen Sie die Sicherheitshinweise des Anbieters, die fast immer enthalten, was im Datensatz ausgelassen wurde.
FAQ
Wie wird die Note berechnet?
Auf den Anteil der Datensätze eines CNA, die die vier Kriterien korrekt erfüllen, unabhängig vom veröffentlichten Band. Ein CNA, der 30 Datensätze veröffentlicht, und einer, der 3.000 veröffentlicht, werden gleichberechtigt verglichen.
Bedeutet eine schlechte Note ein nachlässiges CNA?
Nein. Es markiert Datensätze, die schwer automatisch zu verarbeiten sind. Mehrere CNAs veröffentlichen schnell und in großen Mengen, was für die Berichterstattung wertvoll ist, allerdings auf Kosten unvollständiger Metadaten. Das sind zwei unterschiedliche Eigenschaften, und man kann nicht immer beides haben.
Wird das CNA-Ranking veröffentlicht?
Noch nicht. Die Methode wird intern angewendet, um das jeder Quelle entgegengebrachte Vertrauen zu gewichten. Wir werden das Ranking veröffentlichen, sobald die Historie tief genug ist, um eine öffentliche Bewertung zu rechtfertigen.