· 6 minutos de leitura.
O que um CNA realmente faz
Quando um pesquisador relata uma falha em um produto, ele entra em contato com o CNA que cobre esse produto – geralmente o próprio fornecedor. O CNA reserva um identificador, mantém os detalhes confidenciais enquanto a correção é preparada e depois publica o registro no dia da divulgação.
O MITRE não participa neste processo: autoriza CNAs, resolve litígios e serve como rede de segurança para produtos que ninguém cobre. Em outras palavras, a qualidade do que você lê em um registro CVE não depende do programa: depende da organização que o publicou.
Os CNAs que você encontrará com mais frequência
A lista oficial completa é publicada e atualizada pelo programa CVE; não copiamos suas centenas de linhas aqui, pois elas ficariam desatualizadas em um mês. Aqui estão, em vez disso, aqueles cujas publicações constituem a maior parte de um feed de monitoramento em francês:
| CNA | Tipo | Escopo |
|---|---|---|
| MITRE | Raiz e secretariado | Qualquer produto sem um CNA atribuído; arbitragem do programa |
| Microsoft | Fornecedor | Windows, Office, Azure e o ecossistema relacionado |
| maçã | Fornecedor | macOS, iOS, Safari e serviços |
| Google/Chrome | Fornecedor | Chrome, Android, serviços do Google |
| Chapéu Vermelho | Fornecedor | RHEL e o código aberto empacotado pela Red Hat |
| Cisco | Fornecedor | Equipamento de rede e software relacionado |
| Oráculo | Fornecedor | Banco de dados, Java, aplicativos corporativos |
| GitHub (GHSA) | Vendedor e coordenador | Dependências nos ecossistemas npm, PyPI, Maven, RubyGems… |
| CERT/CC | Coordenador | Produtos cujo fornecedor não seja CNA, divulgação coordenada |
| CISA/ICS-CERT | Governo | Sistemas industriais e infraestrutura crítica |
| Patchstack, Wordfence | Pesquisador | Plug-ins e temas do WordPress, em volume muito alto |
Quatro famílias, quatro comportamentos
| Tipo | O que publica | O que esperar disso |
|---|---|---|
| Fornecedor | Falhas em seus próprios produtos | Versões afetadas precisas e uma correção no mesmo dia |
| Coordenador | Falhas em produtos de terceiros sem fornecedor autorizado | Uma descrição cuidadosa, às vezes sem correção disponível |
| Pesquisador/plataforma | Falhas relatadas por sua comunidade | Volume, com completude que varia de um registro para outro |
| Governo | Um escopo nacional ou específico do setor | Cobertura de áreas que o mercado atende mal |
CNA, Root, ADP: quem faz o quê
- CNA: atribui e publica os identificadores dentro de seu escopo.
- Raiz: supervisiona um grupo de CNAs, recruta-os e resolve disputas. MITRE é a raiz do último recurso.
- ADP (Publicador de dados autorizado): não atribui identificadores, mas enriquece registros existentes. O CISA é um deles, por meio de seu programa Vulnrichment, que adiciona pontuações e classificações aos registros que não as possuem.
Esta última função cresceu em importância desde que o enriquecimento do NVD desacelerou: uma parcela dos registros é agora concluída através deste canal, em vez de através do caminho histórico.
Por que o CNA determina a qualidade dos seus alertas
Um registro CVE sem versão afetada e sem identificador de produto padronizado não pode ser comparado com nenhum inventário: nenhuma ferramenta, seja ela qual for, pode adivinhar se isso afeta você. Acabará sendo ignorado ou apresentado “por precaução” – em outras palavras, como ruído.
No entanto, a presença desses campos depende inteiramente da publicação do CNA. Alguns publicam de forma rápida e esparsa; outros publicam lenta e completamente. Esta é uma característica estrutural do programa e não um acidente: é por isso que medir a integridade da fonte e por que comparamos cada registro com vários alimenta.
O que isso significa para você, na prática
Dois hábitos úteis:
- Verifique quem está publicando antes de concluir que um alerta é vago. Um registro conciso de um CNA de alto volume geralmente significa que você precisa ler o aviso do fornecedor, que é preciso.
- Relate registros incompletos. Os CNAs aceitam solicitações de correção e um registro enriquecido beneficia a todos — incluindo sua ferramenta de monitoramento no mês seguinte.
Perguntas frequentes
Quantos CNAs existem?
Mais de 400 organizações autorizadas em todo o mundo, e o número cresce a cada mês. A lista oficial publicada pelo programa CVE é a única atualizada; qualquer figura congelada em um artigo fica obsoleta em semanas.
Um CNA pode preencher mal seu CVEs?
Sim, e isso acontece principalmente com quem publica em volume muito alto. Os campos ausentes são, na maioria das vezes, a versão afetada e o identificador padronizado do produto — precisamente os dois que permitem a correspondência automática com um inventário.
Como uma organização se torna uma CNA?
Ao se inscrever em um Root, comprometendo-se a seguir as regras do programa (cronogramas, formato de registro, escopo declarado) e designando um contato de segurança acessível. O processo está aberto tanto a fornecedores quanto a projetos de código aberto.