· 6 min de lectura.
Qué hace realmente un CNA
Cuando un investigador informa una falla en un producto, se comunica con el CNA que cubre ese producto, generalmente el propio proveedor. El CNA reserva un identificador, mantiene los detalles confidenciales mientras se prepara la solución y luego publica el registro el día de la divulgación.
MITRE no participa en este proceso: autoriza a las CNA, resuelve disputas y sirve como red de seguridad para productos que nadie cubre. En otras palabras, la calidad de lo que se lee en un registro CVE no depende del programa: depende de la organización que lo publicó.
Los CNA con los que te encontrarás más a menudo
La lista oficial completa es publicada y mantenida actualizada por el programa CVE; No copiamos aquí sus cientos de filas, ya que quedarían obsoletas en un mes. Aquí, en cambio, están aquellos cuyas publicaciones constituyen la mayor parte del feed de seguimiento en francés:
| CNA | Tipo | Alcance |
|---|---|---|
| MITRE | Raíz y secretaría | Cualquier producto sin un CNA asignado; arbitraje de programa |
| microsoft | vendedor | Windows, Office, Azure y el ecosistema relacionado |
| manzana | vendedor | macOS, iOS, Safari y servicios |
| Google/Cromo | vendedor | Chrome, Android, servicios de Google |
| sombrero rojo | vendedor | RHEL y el código abierto empaquetado por Red Hat |
| cisco | vendedor | Equipos de red y software relacionado. |
| Oráculo | vendedor | Base de datos, Java, aplicaciones empresariales. |
| GitHub (GHSA) | vendedor y coordinador | Dependencias en los ecosistemas npm, PyPI, Maven, RubyGems… |
| CERT/CC | Coordinador | Productos cuyo proveedor no es un CNA, divulgación coordinada |
| CISA / ICS-CERT | Gobierno | Sistemas industriales e infraestructura crítica. |
| Pila de parches, Wordfence | Investigador | Complementos y temas de WordPress, a un volumen muy alto |
Cuatro familias, cuatro comportamientos
| Tipo | que publica | Que esperar de ello |
|---|---|---|
| vendedor | Defectos en sus propios productos. | Versiones afectadas precisas y solución el mismo día |
| Coordinador | Defectos en productos de terceros sin proveedor autorizado | Una descripción cuidadosa, a veces sin solución disponible. |
| Investigador / plataforma | Defectos reportados por su comunidad | Volumen, con una exhaustividad que varía de un registro a otro. |
| Gobierno | Un ámbito nacional o sectorial | Cobertura de áreas en las que el mercado atiende mal |
CNA, Root, ADP: quién hace qué
- CNA: asigna y publica los identificadores dentro de su alcance.
- raíz: supervisa un grupo de CNA, los recluta y resuelve disputas. MITRE es la raíz de último recurso.
- ADP (Publicador de datos autorizado): no asigna identificadores pero enriquece registros existentes. CISA es uno de ellos, a través de su programa Vulnrichment, que añade puntuaciones y clasificaciones a los registros que carecen de ellas.
Esta última función ha ganado importancia desde que se ralentizó el enriquecimiento de NVD: una parte de los registros ahora se completan a través de este canal en lugar de a través de la ruta histórica.
Por qué el CNA determina la calidad de tus alertas
Un registro CVE sin una versión afectada y sin un identificador de producto estandarizado no puede compararse con ningún inventario: ninguna herramienta, sea la que sea, puede adivinar si le afecta. Acabará siendo ignorado o saldrá a la luz “por si acaso”; en otras palabras, como ruido.
Sin embargo, la presencia de estos campos depende completamente de la publicación CNA. Algunos publican rápida y escasamente; otros publican lenta y completamente. Esta es una característica estructural del programa, no un accidente: es por eso que medir la integridad de la fuente y por qué comparamos cada registro con varios alimenta.
Lo que significa para ti, en la práctica
Dos hábitos útiles:
- Comprueba quién publica antes de concluir que una alerta es vaga. Un registro conciso de un CNA de gran volumen a menudo significa que es necesario leer el aviso del proveedor, que es preciso.
- Reportar registros incompletos. Las CNA aceptan solicitudes de corrección y un registro enriquecido beneficia a todos, incluida su herramienta de seguimiento el mes siguiente.
Preguntas frecuentes
¿Cuántas CNA hay?
Más de 400 organizaciones autorizadas en todo el mundo y el número crece cada mes. La lista oficial publicada por el programa CVE es la única actualizada; cualquier cifra congelada en un artículo queda obsoleta en cuestión de semanas.
¿Puede un CNA llenar mal su CVEs?
Sí, y pasa sobre todo con los que publican en volumen muy alto. Los campos que faltan suelen ser la versión afectada y el identificador de producto estandarizado, precisamente los dos que permiten la comparación automática con un inventario.
¿Cómo se convierte una organización en un CNA?
Al postularse a un Root, comprometerse a seguir las reglas del programa (cronogramas, formato de registro, alcance declarado) y designar un contacto de seguridad accesible. El proceso está abierto tanto a proveedores como a proyectos de código abierto.