· 6 Minuten Lesezeit.
Was ein CNA eigentlich macht
Wenn ein Forscher einen Fehler in einem Produkt meldet, kontaktiert er den CNA, der dieses Produkt betreut – normalerweise den Anbieter selbst. Der CNA reserviert eine Kennung, behandelt die Details während der Vorbereitung des Fixes vertraulich und veröffentlicht die Aufzeichnung dann am Offenlegungstag.
MITRE spielt in diesem Prozess keine Rolle: Es autorisiert CNAs, schlichtet Streitigkeiten und dient als Sicherheitsnetz für Produkte, die niemand abdeckt. Mit anderen Worten: Die Qualität dessen, was Sie in einem CVE-Datensatz lesen, hängt nicht vom Programm ab, sondern von der Organisation, die ihn veröffentlicht hat.
Die CNAs, denen Sie am häufigsten begegnen werden
Die vollständige offizielle Liste wird vom Programm CVE veröffentlicht und auf dem neuesten Stand gehalten; Wir kopieren die Hunderte von Zeilen hier nicht, da sie innerhalb eines Monats nicht mehr aktuell wären. Hier sind stattdessen diejenigen, deren Veröffentlichungen den größten Teil eines französischsprachigen Monitoring-Feeds ausmachen:
| CNA | Typ | Umfang |
|---|---|---|
| MITRE | Wurzel und Sekretariat | Jedes Produkt ohne zugewiesenes CNA; Programmschlichtung |
| Microsoft | Anbieter | Windows, Office, Azure und das zugehörige Ökosystem |
| Apfel | Anbieter | macOS, iOS, Safari und Dienste |
| Google / Chrome | Anbieter | Chrome, Android, Google-Dienste |
| Roter Hut | Anbieter | RHEL und das Open-Source-Paket von Red Hat |
| Cisco | Anbieter | Netzwerkausrüstung und zugehörige Software |
| Orakel | Anbieter | Datenbank, Java, Unternehmensanwendungen |
| GitHub (GHSA) | Anbieter und Koordinator | Abhängigkeiten in den Ökosystemen npm, PyPI, Maven, RubyGems … |
| CERT/CC | Koordinator | Produkte, deren Anbieter kein CNA ist, koordinierte Offenlegung |
| CISA / ICS-CERT | Regierung | Industrielle Systeme und kritische Infrastruktur |
| Patchstack, Wordfence | Forscher | WordPress-Plugins und Themes in sehr großem Umfang |
Vier Familien, vier Verhaltensweisen
| Typ | Was es veröffentlicht | Was Sie davon erwarten können |
|---|---|---|
| Anbieter | Mängel in den eigenen Produkten | Genaue betroffene Versionen und ein Fix am selben Tag |
| Koordinator | Mängel in Produkten von Drittanbietern ohne autorisierten Anbieter | Eine sorgfältige Beschreibung, manchmal ohne verfügbare Lösung |
| Forscher / Plattform | Von der Community gemeldete Mängel | Umfang, dessen Vollständigkeit von Datensatz zu Datensatz unterschiedlich ist |
| Regierung | Ein nationaler oder sektorspezifischer Geltungsbereich | Abdeckung von Bereichen, die der Markt schlecht bedient |
CNA, Root, ADP: Wer macht was?
- CNA: weist die Bezeichner innerhalb seines Geltungsbereichs zu und veröffentlicht sie.
- Wurzel: Beaufsichtigt eine Gruppe von CNAs, rekrutiert sie und schlichtet Streitigkeiten. MITRE ist die Wurzel des letzten Auswegs.
- ADP (Autorisierter Datenherausgeber): weist keine Bezeichner zu, aber bereichert vorhandene Datensätze. CISA ist mit seinem Vulnrichment-Programm einer davon und fügt Datensätzen, denen diese fehlen, Bewertungen und Klassifizierungen hinzu.
Diese letzte Rolle hat an Bedeutung gewonnen, seit die NVD-Anreicherung verlangsamt wurde: Ein Teil der Datensätze wird jetzt über diesen Kanal und nicht mehr über den historischen Pfad abgeschlossen.
Warum der CNA die Qualität Ihrer Warnungen bestimmt
Ein CVE-Datensatz ohne betroffene Version und ohne standardisierte Produktkennung kann mit keinem Inventar abgeglichen werden: Kein Tool, um welches es sich auch handelt, kann erraten, ob es Sie betrifft. Am Ende wird es entweder ignoriert oder „nur für den Fall“ an die Oberfläche gebracht – mit anderen Worten: als Lärm.
Ob diese Felder vorhanden sind, hängt jedoch vollständig vom veröffentlichenden CNA ab. Manche veröffentlichen schnell und spärlich; andere veröffentlichen langsam und vollständig. Dies ist ein strukturelles Merkmal des Programms und kein Zufall: Deshalb haben wir Messen Sie die Vollständigkeit der Quelle und warum wir jeden Datensatz mit mehreren vergleichen füttert.
Was es für Sie in der Praxis bedeutet
Zwei nützliche Gewohnheiten:
- Überprüfen Sie, wer veröffentlicht bevor Sie zu dem Schluss kommen, dass eine Warnung vage ist. Eine knappe Aufzeichnung von einem CNA mit hohem Durchsatz bedeutet oft, dass Sie die Hinweise des Herstellers lesen müssen, die präzise sind.
- Unvollständige Aufzeichnungen melden. CNAs akzeptieren Korrekturanfragen und eine erweiterte Aufzeichnung kommt allen zugute – auch Ihrem Überwachungstool im Folgemonat.
FAQ
Wie viele CNAs gibt es?
Mehr als 400 autorisierte Organisationen weltweit, und die Zahl wächst jeden Monat. Die vom CVE-Programm veröffentlichte offizielle Liste ist die einzig aktuelle; Jede in einem Artikel eingefrorene Zahl veraltet innerhalb weniger Wochen.
Kann ein CNA seinen CVEs schlecht ausfüllen?
Ja, und das passiert meistens bei denen, die in sehr hohem Umfang veröffentlichen. Bei den fehlenden Feldern handelt es sich meist um die betroffene Version und die standardisierte Produktkennung – genau die beiden, die den automatischen Abgleich mit einem Lagerbestand ermöglichen.
Wie wird eine Organisation zu einem CNA?
Indem Sie sich bei einem Root bewerben, sich verpflichten, die Programmregeln einzuhalten (Zeitpläne, Aufzeichnungsformat, deklarierter Umfang) und einen erreichbaren Sicherheitskontakt benennen. Der Prozess steht Anbietern und Open-Source-Projekten gleichermaßen offen.