· 6 minuti di lettura.
I nove feed e ciò che ciascuno porta
| Fonte | Cosa porta | Quello che non ti dice | Frequenza |
|---|---|---|---|
| Elenco CVE (MITRE) | La pubblicazione principale, come il CNA l'ha scritto | Nessun punteggio, nessuno sfruttamento; a volte nessuna versione interessata | Breve intervallo |
| NVD (NIST) | Arricchimento: identificatori prodotto, configurazioni, vettore CVSS | Il suo arricchimento ha subito un forte rallentamento dal febbraio 2024 | Ogni giorno |
| CISA KEV | Sfruttamento osservato, con relativa data di conferma | Niente sullo sfruttamento senza prove pubblicabili | Breve intervallo |
| EPSS (FIRST) | La probabilità di sfruttamento entro 30 giorni, per ogni CVE | Niente sulla tua effettiva esposizione | Ogni giorno |
| PoC-in-GitHub | La comparsa del codice pubblico proof-of-concept | Né la qualità né l'uso nel mondo reale di quel codice | Breve intervallo |
| GHSA (GitHub) | Avvisi sull'ecosistema delle dipendenze: npm, PyPI, Maven... | Software esterno ai gestori di pacchetti | Ogni giorno |
| OSV.dev | Avvisi sulla distribuzione Linux: Red Hat, SUSE, Ubuntu... | Prodotti proprietari | Ogni giorno |
| CERT-FR (ANSSI) | Avvisi e allarmi del CSIRT nazionale francese, collegati all'CVEs da loro citato; un avviso segnala una minaccia immediata, in genere un difetto già sfruttato | Difetti che non ricevono consulenza: il CERT-FR sceglie ciò che pubblica | Ogni ora |
| EUVD (ENISA) | Il database europeo delle vulnerabilità, previsto dalla direttiva NIS2, con lo stato di sfruttamento conosciuto di ogni falla | Niente sulla tua esposizione effettiva: elenca, non ordina | Più volte al giorno |
La colonna centrale è la più importante in questa tabella. Mostra perché il controllo incrociato non è una bella cosa: un CVE può essere pubblicato senza punteggio dal suo CNA, ricevere un vettore da NVD tre settimane dopo e inserire KEV nel mezzo. Leggere una sola fonte significa vedere un'istantanea, non il film.
Nove feed per gli alert, dodici fonti per il brief
Una confusione comune che vale la pena chiarire: lavoriamo con due gruppi di fonti che differiscono sia per ruolo che per numero.
- Il nove feed di vulnerabilità sopra guidare il avvisi. Si tratta di dati strutturati, confrontati con il tuo inventario.
- Il dodici fonti editoriali — CERT-FR, blog dei venditori, stampa specializzata — alimenta il breve quotidiano. Si tratta di articoli, letti e riassunti, mai confrontati con un inventario.
Il CERT-FR appare in entrambi gli insiemi, in due ruoli: i suoi avvisi e avvisi, collegati all'CVEs che citano, alimentano gli avvisi; il suo feed di pubblicazione alimenta anche il brief.
Un semplice numero (“le nostre fonti”) mescolerebbe i due e non significherebbe nulla. Nove o dodici, a seconda di cosa stiamo parlando.
Cosa attiva un avviso: le transizioni
Un CVE non è un evento, è una traiettoria. Viene pubblicato, poi arricchito, a volte contrassegnato come sfruttato, a volte corretto. Il monitoraggio che ascolta solo la pubblicazione non tiene conto di ciò che conta di più.
Le transizioni che monitoriamo e che attivano una notifica:
- un nuovo CVE influisce su un componente dichiarato nel tuo inventario;
- un CVE che segui entra nel catalogo KEV, o diventa oggetto di a Allerta CERT-FR;
- una prova pubblica del concetto appare;
- suo Punteggio EPSS attraversa una soglia che hai impostato;
- suo versioni interessate cambiamento: un CVE escluso ieri potrebbe preoccuparti oggi.
Due ritardi per non confondere
Questa è la domanda più frequente e merita una risposta in due parti anziché un singolo numero:
- il ritardo di sincronizzazione: effettuiamo sondaggi su CVE List, KEV, EPSS e prove di concetto a breve intervallo, nell'ordine di pochi minuti. Nessuno può essere più veloce di quel ciclo;
- il ritardo nell'elaborazione: una volta rilevato l'CVE, confrontalo con il tuo inventario, assegnagli la priorità e invia l'avviso meno di 30 secondi.
In pratica, per una segnalazione critica, vieni avvisato entro pochi minuti dalla sua pubblicazione. Affermare solo “30 secondi” sarebbe falso: si tratta del secondo ritardo, non del primo.
Il controllo incrociato non basta: filtrare
L'aggregazione di nove feed produce un volume ingestibile se ti fermi qui. Il passo che conta è la corrispondenza con il tuo inventario dichiarato: fornitore, prodotto, versione. Tutto ciò che non tocca alcuna riga di quell'inventario scompare dal campo di applicazione, ed è lì che scompare quasi tutto il rumore.
Questa corrispondenza si basa su identificatori di prodotto standardizzati quando esistono e su corrispondenze nome-versione quando mancano, il che è comune ed è proprio il motivo per cui completezza della fonte conta così tanto per noi.
Gli avvisi GHSA e OSV senza identificativo CVE sono associati tramite l'URL del pacchetto (purl) non appena una versione è fissata. Compaiono con il loro identificativo e la loro fonte. Zero CVE non è zero rischio: 0 CVE ≠ 0 risque.
Licenze e attribuzioni
Tutte le fonti che aggreghiamo lo sono dati pubblici, utilizzabili gratuitamente, anche a scopo commerciale, previa attribuzione. La tabella seguente copre i nove feed di avvisi più tre set di dati di arricchimento: ecco perché ha dodici righe, non nove.
| Fonte | Licenza/termini | Attribuzione |
|---|---|---|
| Elenco CVE (MITRE / CVE.org) | Termini di utilizzo di CVE: ridistribuzione gratuita | Obbligatorio |
| NVD (NIST) | Lavoro del governo statunitense: dominio pubblico | Consigliato |
| CISA KEV | Governo degli Stati Uniti: utilizzo gratuito | Consigliato |
| EPSS (FIRST.org) | Dati Free, forniti senza garanzia | Richiesto (credito FIRST) |
| GHSA (Avvisi sulla sicurezza GitHub) | CC BY 4.0 | Obbligatorio |
| OSV.dev | Licenze aperte (spesso CC BY 4.0); può variare in base al record | Obbligatorio |
| RedHat, SUSE, Ubuntu, AlmaLinux, Rocky Linux (tramite OSV) | CC BY 4.0, CC BY-SA 4.0 (Ubuntu), MIT, BSD a seconda della distribuzione | Obbligatorio |
| PoC-in-GitHub | Collegamenti pubblici e metadati: nessun codice exploit ridistribuito | Consigliato |
| CERT-FR (ANSSI) | Licenza Ouverte / Licenza aperta 2.0 (Etalab) | Obbligatorio |
| EUVD (ENISA) | Riutilizzo autorizzato purché venga citata la fonte, salvo diversa indicazione | Obbligatorio (credito ENISA) |
| data.di.fine | Progetto di comunità aperta, API gratuito | Consigliato |
| webappanalyzer (rilevamento della tecnologia) | GPL-3.0 (enthec/webappanalyzer) | Obbligatorio (avviso GPL-3.0 mantenuto) |
Le anteprime degli articoli di monitoraggio mostrano solo il file titolo e un breve estratto e rimandiamo sempre alla fonte originale: l'intero contenuto non viene mai ripubblicato.
I dettagli per ciascuna fonte, con le attribuzioni e gli avvisi di licenza, si trovano su Fonti e licenze.
Domande frequenti
Ti occupi dell'open source?
Sì, attraverso due canali: GHSA per le dipendenze delle applicazioni (npm, PyPI, Maven, RubyGems, Go…) e OSV.dev per i pacchetti di distribuzione (Red Hat, SUSE, Ubuntu…). Sono due mondi separati: lo stesso difetto può portare al suo interno due identificatori diversi.
Perché seguire il CERT-FR e l’EUVD?
Perché il monitoraggio che legge solo le fonti americane ne eredita i punti ciechi. CERT-FR, il CSIRT nazionale francese, pubblica i suoi avvisi e avvisi in francese; anche l’EUVD, gestito dall’ENISA ai sensi della direttiva NIS2, segnala le vulnerabilità sfruttate. Lo sfruttamento segnalato da uno dei due conta, per la definizione delle priorità, come una voce nel catalogo KEV. Vedi anche cosa coprono i nostri strumenti per NIS2.
Con quale rapidità vengo avvisato?
Si sommano due ritardi. Il sincronizzazione interroga i feed a breve intervallo, nell'ordine di pochi minuti: questo è il terreno duro. Il elaborazione - corrispondenza, definizione delle priorità, invio - richiede quindi meno di 30 secondi. Per un segnale critico, attendere alcuni minuti dopo la sua pubblicazione.
Perché effettuare un controllo incrociato di diverse fonti?
Perché nessuno di loro è completo. Un disco può essere pubblicato senza partitura, ricevere il suo vettore tre settimane dopo ed entrare nel catalogo KEV nel frattempo. Leggere una sola fonte significa perdere o il difetto o il momento in cui diventa urgente.
Posso utilizzare questi dati a fini commerciali?
Sì. I feed aggregati sono pubblici e di libero utilizzo, anche commerciale, soggetto ad attribuzione (CVE/MITRE, NVD, CISA KEV, FIRST EPSS, GHSA, OSV…). Il rilevamento della tecnologia si basa su webappanalyzer, concesso in licenza con GPL-3.0: utilizzabile gratuitamente in un servizio ospitato, a condizione che venga mantenuta l'avviso di licenza.