· 6 minuten lezen.
De negen feeds, en wat elke feed met zich meebrengt
| Bron | Wat het brengt | Wat het je niet vertelt | Frequentie |
|---|---|---|---|
| CVE-lijst (MITRE) | De primaire publicatie, zoals de CNA schreef het | Geen score, geen uitbuiting; soms geen getroffen versie | Korte pauze |
| NVD (NIST) | Verrijking: product-ID's, configuraties, CVSS-vector | De verrijking ervan is sinds februari 2024 sterk vertraagd | Dagelijks |
| CISA KEV | Waargenomen exploitatie, met de bevestigingsdatum | Niets over uitbuiting zonder publiceerbaar bewijs | Korte pauze |
| EPSS (FIRST) | De kans op exploitatie binnen 30 dagen, voor elke CVE | Niets over uw daadwerkelijke blootstelling | Dagelijks |
| PoC-in-GitHub | Het verschijnen van openbare proof-of-concept-code | Noch de kwaliteit, noch het echte gebruik van die code | Korte pauze |
| GHSA (GitHub) | Afhankelijkheidsecosysteemadviezen: npm, PyPI, Maven… | Software buiten pakketbeheerders | Dagelijks |
| OSV.dev | Linux-distributieadviezen: Red Hat, SUSE, Ubuntu... | Eigen producten | Dagelijks |
| CERT-FR (ANSSI) | Adviezen en waarschuwingen van het Franse nationale CSIRT, gekoppeld aan de CVEs die zij noemen; een waarschuwing markeert een onmiddellijke dreiging, meestal een fout die al wordt uitgebuit | Gebreken die geen advies krijgen: CERT-FR kiest wat het publiceert | Per uur |
| EUVD (ENISA) | De Europese kwetsbaarheidsdatabase, voorzien door de NIS2-richtlijn, met de bekende exploitatiestatus van elke fout | Niets over uw daadwerkelijke blootstelling: het geeft een lijst, het sorteert niet | Meerdere keren per dag |
De middelste kolom is de belangrijkste in deze tabel. Het laat zien waarom kruiscontrole geen aardigheid is: een CVE kan zonder score worden gepubliceerd door zijn CNA, drie weken later een vector ontvangen van NVD en tussendoor KEV invoeren. Slechts één bron lezen betekent dat u een momentopname ziet, niet de film.
Negen feeds voor waarschuwingen, twaalf bronnen voor de opdracht
Een veel voorkomende verwarring die de moeite waard is om op te helderen: we werken met twee sets bronnen die zowel qua rol als qua aantal verschillen.
- De negen kwetsbaarheidsfeeds hierboven rijden de waarschuwingen. Dit zijn gestructureerde gegevens, gekoppeld aan uw voorraad.
- De twaalf redactionele bronnen — CERT-FR, leveranciersblogs, vakpers — voeden de dagelijks kort. Dit zijn artikelen, gelezen en samengevat, nooit vergeleken met een inventaris.
CERT-FR verschijnt in beide sets, in twee rollen: de adviezen en waarschuwingen, gekoppeld aan de CVEs die zij aanhalen, voeden de waarschuwingen; de publicatiefeed voedt ook de opdracht.
Een kaal getal (“onze bronnen”) zou de twee vermengen en niets betekenen. Negen of twaalf, afhankelijk van waar we het over hebben.
Wat een waarschuwing activeert: overgangen
Een CVE is geen gebeurtenis, het is een traject. Het wordt gepubliceerd, vervolgens verrijkt, soms gemarkeerd als uitgebuit en soms gerepareerd. Toezicht dat alleen naar publicatie luistert, mist wat het belangrijkst is.
De transities die wij volgen en die een melding activeren:
- een nieuwe CVE heeft invloed op een component die in je inventaris is aangegeven;
- een CVE die je volgt komt in de KEV-catalogus terecht, of wordt het onderwerp van a CERT-FR-waarschuwing;
- a openbare proof-of-concept verschijnt;
- zijn EPSS-score een door u ingestelde drempel overschrijdt;
- zijn getroffen versies verandering - een CVE die gisteren werd uitgesloten, kan u vandaag zorgen baren.
Twee vertragingen die niet moeten worden verward
Dit is de meest gestelde vraag en verdient een antwoord in twee delen in plaats van een enkel cijfer:
- de synchronisatie vertraging: we ondervragen CVE List, KEV, EPSS en proofs of concept met een korte tussenpoos, in de orde van een paar minuten. Niemand kan sneller zijn dan die cyclus;
- de verwerking vertraging: zodra de CVE wordt gezien, vergelijkt u deze met uw inventaris, geeft u er prioriteit aan en verzendt u de waarschuwing minder dan 30 seconden.
In de praktijk wordt u bij een kritisch signaal binnen enkele minuten na publicatie hiervan op de hoogte gesteld. Alleen al het claimen van “30 seconden” zou onjuist zijn: dat is de tweede vertraging, niet de eerste.
Kruiscontrole is niet genoeg: filter
Het samenvoegen van negen feeds levert een onbeheersbaar volume op als je daar stopt. De stap die ertoe doet, is het matchen met uw aangegeven inventaris: leverancier, product, versie. Alles wat geen enkele lijn van die inventaris raakt, valt buiten het bereik, en dat is waar bijna alle ruis verdwijnt.
Deze matching is afhankelijk van gestandaardiseerde product-ID's als deze bestaan, en van naam-versie-correspondenties als deze ontbreken – wat gebruikelijk is en precies de reden is waarom volledigheid van de bron is zo belangrijk voor ons.
GHSA- en OSV-adviezen zonder CVE-identificatie worden gekoppeld via de pakket-URL (purl) zodra een versie is vastgezet. Ze verschijnen met hun identificatie en hun bron. Nul CVE is niet nul risico: 0 CVE ≠ 0 risque.
Licenties en toeschrijvingen
Dat zijn alle bronnen die we verzamelen openbare gegevens, gratis te gebruiken, ook commercieel, onder voorbehoud van toeschrijving. De onderstaande tabel omvat de negen waarschuwingsfeeds plus drie verrijkingsdatasets: daarom heeft deze twaalf rijen, niet negen.
| Bron | Licentie / voorwaarden | Toeschrijving |
|---|---|---|
| CVE-lijst (MITRE / CVE.org) | CVE Gebruiksvoorwaarden — gratis herdistributie | Vereist |
| NVD (NIST) | Amerikaans overheidswerk – publiek domein | Aanbevolen |
| CISA KEV | Amerikaanse overheid – gratis te gebruiken | Aanbevolen |
| EPSS (FIRST.org) | Free-gegevens, geleverd zonder garantie | Vereist (tegoed FIRST) |
| GHSA (GitHub-beveiligingsadviezen) | CC BY 4.0 | Vereist |
| OSV.dev | Open licenties (vaak CC BY 4.0); kan per record verschillen | Vereist |
| Red Hat, SUSE, Ubuntu, AlmaLinux, Rocky Linux (via OSV) | CC BY 4.0, CC BY-SA 4.0 (Ubuntu), MIT, BSD afhankelijk van de distributie | Vereist |
| PoC-in-GitHub | Openbare links en metadata: er wordt geen exploitcode herverdeeld | Aanbevolen |
| CERT-FR (ANSSI) | Licentie Ouverte / Open Licentie 2.0 (Etalab) | Vereist |
| EUVD (ENISA) | Hergebruik toegestaan mits bronvermelding, tenzij anders vermeld | Vereist (credit ENISA) |
| eindelevensduur.datum | Open gemeenschapsproject, gratis API | Aanbevolen |
| webapp-analyser (technologie detectie) | GPL-3.0 (enthec/webappanalyzer) | Vereist (GPL-3.0-kennisgeving behouden) |
Previews van monitoringartikelen tonen alleen de titel en een kort fragment en link altijd terug naar de originele bron: de volledige inhoud wordt nooit opnieuw gepubliceerd.
Details voor elke bron, met de toeschrijvingen en licentiekennisgevingen, staan op de Bronnen en licenties.
Veelgestelde vragen
Heeft u betrekking op open source?
Ja, via twee kanalen: GHSA voor applicatie-afhankelijkheden (npm, PyPI, Maven, RubyGems, Go…) en OSV.dev voor distributiepakketten (Red Hat, SUSE, Ubuntu…). Dit zijn twee afzonderlijke werelden: dezelfde fout kan twee verschillende identificatiegegevens bevatten.
Waarom CERT-FR en de EUVD volgen?
Omdat monitoring die alleen Amerikaanse bronnen leest, hun blinde vlekken erft. CERT-FR, het Franse nationale CSIRT, publiceert zijn adviezen en waarschuwingen in het Frans; de EUVD, beheerd door ENISA onder de NIS2-richtlijn, signaleert ook uitgebuite kwetsbaarheden. Uitbuiting gerapporteerd door een van beide telt mee voor het stellen van prioriteiten, net als een vermelding in de KEV-catalogus. Zie ook wat onze tooling dekt voor NIS2.
Hoe snel word ik gewaarschuwd?
Twee vertragingen tellen op. De synchronisatie peilt de feeds met korte tussenpozen, in de orde van enkele minuten: dat is de harde vloer. De verwerking — matchen, prioriteren, verzenden — duurt dan minder dan 30 seconden. Voor een kritisch signaal kunt u rekenen op een paar minuten nadat het is gepubliceerd.
Waarom meerdere bronnen vergelijken?
Omdat geen van hen compleet is. Een record kan zonder score worden gepubliceerd, de vector ervan drie weken later ontvangen en tussendoor de KEV-catalogus invoeren. Als u slechts één bron leest, mist u de fout of het moment waarop deze dringend wordt.
Kan ik deze gegevens commercieel gebruiken?
Ja. De verzamelde feeds zijn openbaar en gratis te gebruiken, ook commercieel, onder voorbehoud van bronvermelding (CVE/MITRE, NVD, CISA KEV, FIRST EPSS, GHSA, OSV…). Technologiedetectie is afhankelijk van webappanalyzer, gelicentieerd onder GPL-3.0: gratis te gebruiken in een gehoste service, op voorwaarde dat de licentieverklaring wordt nageleefd.