· 5 minuti di lettura.
Perché un record incompleto è costoso
Prendiamo due documenti pubblicati lo stesso giorno per due difetti di simile gravità.
Il primo specifica il fornitore, il prodotto, le versioni da 2.0 a 2.14.1, un identificatore di prodotto standardizzato, un CVSS vettore e a CWE. Uno strumento di monitoraggio lo confronta con il tuo inventario in una frazione di secondo e ricevi un avviso o niente: una risposta in ogni caso.
Il secondo dice che "una vulnerabilità colpisce il prodotto X", senza versione. Nessuno strumento può decidere. Ci sono due possibili risultati, entrambi negativi: scartarlo e correre un rischio, oppure farlo emergere e aggiungere rumore. Tale costo è ciò che la classificazione mira a rendere visibile.
I quattro criteri
Ciascun CNA riceve un voto complessivo basato sulla quota dei suoi record che compilano correttamente i seguenti quattro campi:
| Criterio | Domanda posta al verbale | Cosa consente |
|---|---|---|
| Venditore | È stato identificato il fornitore interessato? | Il primo filtro, prima ancora del prodotto |
| Prodotto e versione | Il prodotto e la sua gamma di versioni sono presenti in forma standardizzata? | Abbinamento automatico con un inventario |
| Punteggio CVSS | Viene fornito un vettore completo? | Ordinamento per gravità e lettura del vettore |
| Debolezza (CWE) | La classe dei difetti è compilata? | Analisi delle tendenze e lavoro a lungo termine |
Questi quattro criteri non valutano l'accuratezza di un record: non abbiamo modo di verificarlo su larga scala. Lo valutano completezza, ovvero quanto bene una macchina può elaborarlo. È una misura modesta, ed è esattamente ciò che la rende onesta.
La scala di valutazione
| Grado | Registrare la completezza |
|---|---|
| A | Eccellente: quasi tutti i campi compilati, quasi sempre |
| B | Buono: regolarmente manca un campo, di solito CWE |
| C | Giusto: le versioni interessate sono compilate in modo incoerente |
| D | Scarso: la corrispondenza automatica spesso fallisce |
| F | Molto incompleto: il record deve essere rielaborato a mano |
Il volume non è qualità
Il risultato più coerente: alcune CNA con volumi molto elevati mostrano una scarsa completezza, mentre CNA specializzate che pubblicano dieci volte meno producono record quasi perfetti. Il grado annulla l'effetto dimensione lavorando sulle proporzioni, mai sui totali.
Questa non è un'accusa. Un CNA che gestisce migliaia di segnalazioni di comunità all'anno non dispone delle risorse del team di prodotto del fornitore. La classifica è lì per dirti cosa aspettarti, non per distribuire stelle d'oro.
Cosa significa per te, in pratica
Anche senza classifica pubblicata, la griglia può essere riutilizzata così com'è: quando un avviso ti lascia perplesso, controlla i quattro campi in ordine. Venditore, versione, vettore, debolezza. Se ne mancano due o più, non cercare l'errore nel tuo strumento: vai a leggere l'avviso di sicurezza del fornitore, che quasi sempre contiene ciò che il record ha tralasciato.
Domande frequenti
Come viene calcolato il voto?
Sulla quota di record di CNA che soddisfano correttamente i quattro criteri, indipendentemente dal volume pubblicato. Un CNA che pubblica 30 dischi e uno che ne pubblica 3.000 vengono confrontati su un piano di parità.
Un voto basso significa un CNA negligente?
No. Contrassegna i record difficili da elaborare automaticamente. Diverse CNA pubblicano rapidamente e in massa, il che è utile per la copertura, al costo di metadati incompleti. Queste sono due qualità diverse e non puoi sempre averle entrambe.
La classifica CNA è pubblicata?
Non ancora. Il metodo viene applicato internamente per valutare la fiducia accordata a ciascuna fonte. Pubblicheremo la classifica una volta che la storia sarà sufficientemente approfondita da rendere difendibile un voto pubblico.