· 5 min de lectura.
Por qué un registro incompleto es costoso
Tomemos dos registros publicados el mismo día por dos defectos de gravedad similar.
El primero especifica el proveedor, el producto, las versiones 2.0 a 2.14.1, un identificador de producto estandarizado, un CVSS vector y un CWE. Una herramienta de monitoreo lo compara con su inventario en una fracción de segundo y usted recibe una alerta o nada, una respuesta de cualquier manera.
El segundo dice “una vulnerabilidad afecta al producto X”, sin versión. Ninguna herramienta puede decidir. Hay dos resultados posibles, ambos malos: descartarlo y arriesgarse, o sacarlo a la luz y agregar ruido. Ese costo es lo que la calificación pretende hacer visible.
Los cuatro criterios
Cada CNA recibe una calificación general basada en la proporción de sus registros que completan correctamente los siguientes cuatro campos:
| Criterio | Pregunta formulada sobre el expediente. | Lo que permite |
|---|---|---|
| vendedor | ¿Está identificado el proveedor afectado? | El primer filtro, incluso antes que el producto. |
| Producto y versión | ¿Están presentes el producto y su gama de versiones de forma estandarizada? | Comparación automática con un inventario |
| Puntuación CVSS | ¿Se proporciona un vector completo? | Ordenar por gravedad y leer el vector. |
| Debilidad (CWE) | ¿Se ha completado la clase de defecto? | Análisis de tendencias y trabajo a largo plazo. |
Estos cuatro criterios no evalúan la precisión de un registro; no tenemos forma de verificarlo a escala. Evalúan su integridad, es decir, qué tan bien una máquina puede procesarlo. Es una medida modesta y eso es exactamente lo que la hace honesta.
la escala de calificaciones
| Grado | Registro completo |
|---|---|
| A | Excelente: casi todos los campos completados, casi siempre |
| B | Bien: normalmente falta un campo, normalmente el CWE |
| C | Regular: las versiones afectadas se completan de manera inconsistente |
| D | Deficiente: la comparación automática a menudo falla |
| F | Muy incompleto: el registro debe reelaborarse a mano |
Volumen no es calidad
El hallazgo más consistente: algunas CNA de muy alto volumen muestran poca exhaustividad, mientras que las CNA especializadas que publican diez veces menos producen registros casi perfectos. el grado anula el efecto de tamaño trabajando sobre proporciones, nunca sobre totales.
Esto no es una acusación. Un CNA que maneja miles de informes comunitarios al año no tiene los recursos del equipo de producto de un proveedor. La clasificación está ahí para decirle qué esperar, no para repartir estrellas doradas.
Lo que significa para ti, en la práctica
Incluso sin una clasificación publicada, la cuadrícula se puede reutilizar tal como está: cuando una alerta le deje desconcertado, marque los cuatro campos en orden. Proveedor, versión, vector, debilidad. Si faltan dos o más, no busque el error en su herramienta: lea el aviso de seguridad del proveedor, que casi siempre contiene lo que omitió el registro.
Preguntas frecuentes
¿Cómo se calcula la nota?
Sobre la proporción de registros de un CNA que cumplen correctamente los cuatro criterios, independientemente del volumen publicado. Se comparan en pie de igualdad un CNA que publica 30 registros y uno que publica 3.000.
¿Una nota baja significa un CNA descuidado?
No. Marca registros que son difíciles de procesar automáticamente. Varias CNA publican rápidamente y en masa, lo que resulta valioso para la cobertura, a costa de metadatos incompletos. Estas son dos cualidades diferentes y no siempre se pueden tener ambas.
¿Se publica el ranking CNA?
Todavía no. El método se aplica internamente para ponderar la confianza otorgada a cada fuente. Publicaremos la clasificación una vez que la historia sea lo suficientemente profunda como para que una calificación pública sea defendible.