· 6 minuti di lettura.
Cosa fa effettivamente un CNA
Quando un ricercatore segnala un difetto in un prodotto, contatta l'CNA che si occupa di quel prodotto, solitamente il fornitore stesso. L'CNA riserva un identificatore, mantiene i dettagli riservati mentre viene preparata la correzione, quindi pubblica il record il giorno della divulgazione.
MITRE non ha alcun ruolo in questo processo: autorizza le CNA, risolve le controversie e funge da rete di sicurezza per i prodotti che nessuno copre. In altre parole, la qualità di ciò che leggi in un record CVE non dipende dal programma: dipende dall'organizzazione che lo ha pubblicato.
Le CNA che incontrerai più spesso
L'elenco ufficiale completo è pubblicato e mantenuto aggiornato dal programma CVE; non copiamo qui le sue centinaia di righe, poiché diventerebbero obsolete entro un mese. Ecco invece quelli le cui pubblicazioni costituiscono la maggior parte del feed di monitoraggio in lingua francese:
| CNA | Digitare | Ambito |
|---|---|---|
| MITRE | Radice e segreteria | Qualsiasi prodotto senza un CNA assegnato; arbitraggio del programma |
| Microsoft | Venditore | Windows, Office, Azure e il relativo ecosistema |
| mela | Venditore | macOS, iOS, Safari e servizi |
| Google/Cromo | Venditore | Chrome, Android, servizi Google |
| Cappello Rosso | Venditore | RHEL e il pacchetto open source di Red Hat |
| Cisco | Venditore | Apparecchiature di rete e relativo software |
| Oracolo | Venditore | Database, Java, applicazioni aziendali |
| GitHub (GHSA) | Venditore e coordinatore | Dipendenze negli ecosistemi npm, PyPI, Maven, RubyGems… |
| CERT/CC | Coordinatore | Prodotti il cui fornitore non è CNA, informativa coordinata |
| CISA / ICS-CERT | Governo | Sistemi industriali e infrastrutture critiche |
| PatchStack, Wordfence | Ricercatore | Plugin e temi WordPress, a volume molto elevato |
Quattro famiglie, quattro comportamenti
| Digitare | Cosa pubblica | Cosa aspettarsi da esso |
|---|---|---|
| Venditore | Difetti nei propri prodotti | Versioni interessate precise e correzione lo stesso giorno |
| Coordinatore | Difetti in prodotti di terze parti senza fornitore autorizzato | Una descrizione attenta, a volte senza alcuna soluzione disponibile |
| Ricercatore/piattaforma | Difetti segnalati dalla sua comunità | Volume, con completezza che varia da un disco all'altro |
| Governo | Un ambito nazionale o specifico di settore | Copertura delle aree in cui il mercato è scarsamente servito |
CNA, Root, ADP: chi fa cosa
- CNA: assegna e pubblica gli identificatori nel suo ambito.
- Radice: supervisiona un gruppo di CNA, le recluta e risolve le controversie. MITRE è la radice dell'ultima risorsa.
- ADP (Editore dei dati autorizzato): non assegna identificatori ma arricchisce record esistenti. CISA è uno di questi, attraverso il suo programma Vulnrichment, che aggiunge punteggi e classificazioni ai record che ne sono sprovvisti.
Quest'ultimo ruolo è cresciuto di importanza da quando l'arricchimento di NVD ha subito un rallentamento: una parte dei record viene ora completata attraverso questo canale anziché attraverso il percorso storico.
Perché CNA determina la qualità dei tuoi avvisi
Un record CVE senza versione interessata e senza identificatore di prodotto standardizzato non può essere abbinato a nessun inventario: nessuno strumento, qualunque esso sia, può indovinare se ti riguarda. Finirà per essere ignorato o emergerà “per ogni evenienza” – in altre parole, come rumore.
Tuttavia, la presenza di questi campi dipende interamente dalla pubblicazione CNA. Alcuni pubblicano rapidamente e scarsamente; altri pubblicano lentamente e completamente. Questa è una caratteristica strutturale del programma, non un incidente: ecco perché noi misurare la completezza della sorgente e perché controlliamo ogni record con diversi feed.
Cosa significa per te, in pratica
Due abitudini utili:
- Controlla chi sta pubblicando prima di concludere che un avviso è vago. Una documentazione concisa di un CNA ad alto volume spesso significa che è necessario leggere l'avviso del fornitore, che è preciso.
- Segnalare record incompleti. Le CNA accettano richieste di correzione e un record arricchito avvantaggia tutti, incluso lo strumento di monitoraggio il mese successivo.
Domande frequenti
Quante CNA esistono?
Più di 400 organizzazioni autorizzate in tutto il mondo e il numero cresce ogni mese. L'elenco ufficiale pubblicato dal programma CVE è l'unico aggiornato; qualsiasi cifra congelata in un articolo diventa stantia nel giro di poche settimane.
Un CNA può riempire male il suo CVEs?
Sì, e succede soprattutto con chi pubblica a volumi molto elevati. I campi mancanti sono molto spesso la versione interessata e l'identificatore del prodotto standardizzato, proprio i due che consentono la corrispondenza automatica con un inventario.
Come fa un'organizzazione a diventare CNA?
Rivolgendosi a un Root, impegnandosi a seguire le regole del programma (tempistiche, formato del record, ambito dichiarato) e designando un contatto di sicurezza raggiungibile. Il processo è aperto sia ai fornitori che ai progetti open source.