· 6 Minuten Lesezeit.
Die neun Feeds und was jeder einzelne bringt
| Quelle | Was es bringt | Was es Ihnen nicht sagt | Häufigkeit |
|---|---|---|---|
| CVE-Liste (MITRE) | Die primäre Veröffentlichung als CNA habe es geschrieben | Keine Punktzahl, keine Ausbeutung; manchmal keine betroffene Version | Kurzes Intervall |
| NVD (NIST) | Anreicherung: Produktkennungen, Konfigurationen, CVSS-Vektor | Seine Anreicherung hat sich seit Februar 2024 stark verlangsamt | Täglich |
| CISA KEV | Beobachtete Nutzung mit Bestätigungsdatum | Nichts über Ausbeutung ohne veröffentlichbare Beweise | Kurzes Intervall |
| EPSS (FIRST) | Die Wahrscheinlichkeit einer Ausnutzung innerhalb von 30 Tagen für jedes CVE | Nichts über Ihre tatsächliche Exposition | Täglich |
| PoC-in-GitHub | Das Erscheinen eines öffentlichen Proof-of-Concept-Codes | Weder die Qualität noch die reale Verwendung dieses Codes | Kurzes Intervall |
| GHSA (GitHub) | Hinweise zum Abhängigkeitsökosystem: npm, PyPI, Maven… | Software außerhalb von Paketmanagern | Täglich |
| OSV.dev | Hinweise zur Linux-Distribution: Red Hat, SUSE, Ubuntu… | Eigene Produkte | Täglich |
| CERT-FR (ANSSI) | Hinweise und Warnungen des französischen nationalen CSIRT, die mit dem von ihnen zitierten CVEs verknüpft sind; Eine Warnung weist auf eine unmittelbare Bedrohung hin, typischerweise auf einen bereits ausgenutzten Fehler | Mängel, für die es keine Beratung gibt: CERT-FR wählt aus, was es veröffentlicht | Stündlich |
| EUVD (ENISA) | Die in der NIS2-Richtlinie vorgesehene europäische Schwachstellendatenbank mit dem bekannten Ausnutzungsstatus jeder Schwachstelle | Nichts über Ihre tatsächliche Exposition: Es wird aufgelistet, nicht sortiert | Mehrmals am Tag |
Die mittlere Spalte ist die wichtigste in dieser Tabelle. Es zeigt, warum eine Gegenprüfung keine nette Sache ist: Ein CVE kann ohne Bewertung durch seinen CNA veröffentlicht werden, drei Wochen später einen Vektor von NVD erhalten und dazwischen KEV eingeben. Wenn man nur eine Quelle liest, sieht man einen Schnappschuss, nicht den Film.
Neun Feeds für Benachrichtigungen, zwölf Quellen für das Briefing
Eine häufige Verwirrung, die es zu klären gilt: Wir arbeiten mit zwei Gruppen von Quellen, die sich sowohl in der Rolle als auch in der Anzahl unterscheiden.
- Die neun Schwachstellen-Feeds Oben fahren Sie mit dem Warnungen. Hierbei handelt es sich um strukturierte Daten, die mit Ihrem Inventar abgeglichen werden.
- Die zwölf redaktionelle Quellen – CERT-FR, Anbieterblogs, Fachpresse – füttern Sie die täglicher Brief. Dabei handelt es sich um gelesene und zusammengefasste Artikel, die niemals mit einem Inventar abgeglichen werden.
CERT-FR erscheint in beiden Gruppen in zwei Rollen: seine Hinweise und Warnungen, die mit dem von ihnen zitierten CVEs verknüpft sind, versorgen die Warnungen; Sein Publikations-Feed speist auch das Briefing.
Eine bloße Zahl („unsere Quellen“) würde beides vermischen und nichts bedeuten. Neun oder zwölf, je nachdem, worüber wir reden.
Was eine Warnung auslöst: Übergänge
Ein CVE ist kein Ereignis, sondern eine Flugbahn. Es wird veröffentlicht, dann erweitert, manchmal als ausgenutzt gekennzeichnet und manchmal behoben. Eine Überwachung, die nur auf Veröffentlichungen lauscht, verfehlt das Wesentliche.
Die Übergänge, die wir verfolgen und die eine Benachrichtigung auslösen:
- ein neues CVE wirkt sich auf eine in Ihrem Inventar deklarierte Komponente aus;
- ein CVE, dem Sie folgen tritt in den KEV-Katalog ein, oder wird Gegenstand eines CERT-FR-Alarm;
- a Öffentlicher Proof of Concept erscheint;
- Es ist EPSS-Punktzahl einen von Ihnen festgelegten Schwellenwert überschreitet;
- Es ist betroffenen Versionen Änderung – ein CVE, der gestern ausgeschlossen wurde, könnte Sie heute beunruhigen.
Zwei Verzögerungen, die nicht zu verwechseln sind
Dies ist die am häufigsten gestellte Frage und verdient eine zweiteilige Antwort statt einer einzigen Zahl:
- die Synchronisationsverzögerung: Wir fragen die CVE-Liste, KEV, EPSS und Proofs of Concept in kurzen Abständen, in der Größenordnung von einigen Minuten, ab. Niemand kann schneller sein als dieser Zyklus;
- die Bearbeitungsverzögerung: Sobald der CVE erkannt wird, wird er mit Ihrem Inventar abgeglichen, priorisiert und die Warnmeldung gesendet unter 30 Sekunden.
In der Praxis werden Sie bei einem kritischen Signal innerhalb von Minuten nach dessen Veröffentlichung benachrichtigt. Die alleinige Behauptung „30 Sekunden“ wäre falsch: Das ist die zweite Verzögerung, nicht die erste.
Eine Gegenprüfung reicht nicht aus: Filter
Die Aggregation von neun Feeds ergibt ein unüberschaubares Volumen, wenn man hier aufhört. Der entscheidende Schritt ist die Übereinstimmung mit Ihrem deklarierter Bestand: Anbieter, Produkt, Version. Alles, was keine Zeile dieses Inventars berührt, fällt aus dem Geltungsbereich, und dort verschwindet fast das gesamte Rauschen.
Dieser Abgleich basiert auf standardisierten Produktkennungen, sofern vorhanden, und auf Namens-Versions-Korrespondenzen, sofern diese fehlen – was häufig vorkommt und genau der Grund dafür ist Vollständigkeit der Quelle ist uns so wichtig.
GHSA- und OSV-Hinweise ohne CVE-Kennung werden über die Paket-URL (purl) zugeordnet, sobald eine Version festliegt. Sie erscheinen mit ihrer Kennung und ihrer Quelle. Null CVE ist nicht null Risiko: 0 CVE ≠ 0 risque.
Lizenzen und Namensnennungen
Alle von uns aggregierten Quellen sind öffentliche Daten, freie Nutzung, auch kommerziell, vorbehaltlich der Quellenangabe. Die folgende Tabelle deckt die neun Alarm-Feeds sowie drei Anreicherungsdatensätze ab. Aus diesem Grund enthält sie zwölf Zeilen und nicht neun.
| Quelle | Lizenz/Bedingungen | Namensnennung |
|---|---|---|
| CVE-Liste (MITRE / CVE.org) | CVE-Nutzungsbedingungen – kostenlose Weiterverbreitung | Erforderlich |
| NVD (NIST) | Arbeit der US-Regierung – gemeinfrei | Empfohlen |
| CISA KEV | US-Regierung – kostenlose Nutzung | Empfohlen |
| EPSS (FIRST.org) | Free-Daten, ohne Gewähr | Erforderlich (Credit FIRST) |
| GHSA (GitHub-Sicherheitshinweise) | CC BY 4.0 | Erforderlich |
| OSV.dev | Offene Lizenzen (häufig CC BY 4.0); kann je nach Datensatz variieren | Erforderlich |
| Red Hat, SUSE, Ubuntu, AlmaLinux, Rocky Linux (über OSV) | CC BY 4.0, CC BY-SA 4.0 (Ubuntu), MIT, BSD je nach Distribution | Erforderlich |
| PoC-in-GitHub | Öffentliche Links und Metadaten – keine Weiterverbreitung von Exploit-Code | Empfohlen |
| CERT-FR (ANSSI) | Lizenz Ouverte / Open License 2.0 (Etalab) | Erforderlich |
| EUVD (ENISA) | Sofern nicht anders angegeben, ist die Wiederverwendung unter Angabe der Quelle gestattet | Erforderlich (Credit ENISA) |
| endoflife.date | Offenes Community-Projekt, kostenloses API | Empfohlen |
| webappanalyzer (Technologieerkennung) | GPL-3.0 (enthec/webappanalyzer) | Erforderlich (GPL-3.0-Hinweis beibehalten) |
Vorschauen von Überwachungsartikeln zeigen nur die Titel und ein kurzer Auszug und verlinken Sie immer auf die Originalquelle: Der vollständige Inhalt wird niemals erneut veröffentlicht.
Einzelheiten zu jeder Quelle mit Namensnennung und Lizenzhinweisen finden Sie auf der Quellen und Lizenzen.
FAQ
Decken Sie Open Source ab?
Ja, über zwei Kanäle: GHSA für Anwendungsabhängigkeiten (npm, PyPI, Maven, RubyGems, Go…) und OSV.dev für Distributionspakete (Red Hat, SUSE, Ubuntu…). Das sind zwei getrennte Welten: Derselbe Fehler kann zwei unterschiedliche Identifikatoren tragen.
Warum CERT-FR und EUVD befolgen?
Denn eine Überwachung, die nur amerikanische Quellen liest, erbt deren blinde Flecken. CERT-FR, das französische nationale CSIRT, veröffentlicht seine Hinweise und Warnungen auf Französisch; Auch der EUVD, der von der ENISA unter der NIS2-Direktive betrieben wird, weist auf ausgenutzte Schwachstellen hin. Von beiden gemeldete Ausnutzungen zählen für die Priorisierung wie ein Eintrag im KEV-Katalog. Siehe auch Was unsere Werkzeuge für NIS2 abdecken.
Wie schnell werde ich alarmiert?
Es summieren sich zwei Verzögerungen. Die Synchronisation fragt die Feeds in kurzen Abständen in der Größenordnung von einigen Minuten ab: Das ist der harte Boden. Die Verarbeitung – Abgleich, Priorisierung, Senden – dauert dann weniger als 30 Sekunden. Bei einem kritischen Signal kann es einige Minuten nach der Veröffentlichung dauern.
Warum mehrere Quellen gegenprüfen?
Denn keines davon ist vollständig. Eine Schallplatte kann ohne Partitur veröffentlicht werden, ihren Vektor drei Wochen später erhalten und zwischendurch in den KEV-Katalog aufgenommen werden. Wenn man nur eine Quelle liest, übersieht man entweder den Fehler oder den Moment, in dem er dringend wird.
Kann ich diese Daten kommerziell nutzen?
Ja. Die aggregierten Feeds sind öffentlich und können kostenlos verwendet werden, auch kommerziell, vorbehaltlich der Quellenangabe (CVE/MITRE, NVD, CISA KEV, FIRST EPSS, GHSA, OSV…). Die Technologieerkennung basiert auf webappanalyzer, lizenziert unter GPL-3.0: Kostenlose Nutzung in einem gehosteten Dienst, sofern der Lizenzhinweis eingehalten wird.