Alternativa CVEDetails
CVEDetails è un database di ricerca di riferimenti: lo cerchi per una vulnerabilità, un fornitore o un prodotto, in inglese. TechWatchAlert fa il contrario: parte dai tuoi componenti e ti avvisa quando uno di essi è interessato, in francese, con traccia della fine del supporto. Due usi diversi, non due livelli di qualità.
Cos'è esattamente CVEDetails
CVEDetails aggrega i dati dell'NVD e di altre fonti in pagine che puoi sfogliare per CVE, per fornitore e per prodotto. È un database di lunga data, molto ben indicizzato dai motori di ricerca e liberamente consultabile. Offre anche avvisi e-mail (per fornitore, prodotto, versione, elenco del catalogo KEV o CNA), an API in formato NVD in abbonamento e personalizzato RSS feed.
Il suo nucleo rimane la ricerca: interfaccia inglese, abbonamenti dichiarati a mano, abbonamento a pagamento per l'API.
Cercare un CVE o farsi trovare da esso
| Criterio | TechWatchAlert | CVEDetails |
|---|---|---|
| Targeting per stack (CPE, SBOM) | Sì | Abbonamenti manuali a fornitori/prodotti |
| Interfaccia in francese | Francese e inglese | Inglese |
| Monitoraggio della fine del ciclo di vita (EOL). | Sì | No |
| Priorità KEV + EPSS nell'avviso | Sì | KEV visibile, cernita manuale |
| Avvisi e-mail | Sì | Sì |
| Slack, Teams, webhook, flussi di lavoro | Sì | E-mail, RSS, API |
| API REST | Sì | Sì, tramite abbonamento |
| Profondità di archivio ricercabile | Ricerca in-app | Sì |
| Hosting dei dati | Francia | Stati Uniti |
CVEDetails vince sulla profondità dell'archivio. Vinciamo su tutto ciò che riguarda l'azione mirata: essere avvisati, in francese, sull'ambito giusto, senza dover mantenere un elenco di abbonamenti.
Cosa CVEDetails fa meglio di noi
L'archivio è più profondo e gratuito. Per tracciare la storia completa di un prodotto, fare riferimenti incrociati alle statistiche più vecchie o preparare un file di audit, è più ricco della nostra ricerca integrata.
Non c'è niente da configurare prima di iniziare a leggere. Un URL, una ricerca, una risposta. Nessun account, nessuno stack da dichiarare. Per una domanda una tantum, è imbattibile.
I feed RSS possono essere riutilizzati liberamente da qualsiasi strumento interno. Se disponi già di una pipeline di elaborazione, si tratta di un semplice input.
Cosa facciamo di diverso
Il tuo ambito non è un elenco da mantenere. Su CVEDetails crei un abbonamento per prodotto e lo mantieni aggiornato. Con noi, il tuo stack dichiarato, inserito manualmente, importato da un file SBOM (l'inventario dei vostri componenti) o rilevato da un URL, funge da filtro, versioni comprese.
L'avviso arriva già con la priorità. Elenco in KEV (sfruttamento confermato, pubblicato da CISA), EPSS (probabilità di sfruttamento entro 30 giorni), quindi CVSS (gravità). In quest'ordine, perché il terzo è quello più spesso sbagliato: la maggior parte dei cosiddetti CVEs critici non vengono mai sfruttati. Il ragionamento completo è esposto nella nostra guida a Monitoraggio CVE.
La fine del supporto viene monitorata. CVEDetails non copre questo; eppure una versione che non riceverà più patch è un rischio che non si chiude mai.
Tutto è in francese: interfaccia, bollettini e supporto, con l'inglese come opzione.
Aggiornamento dei dati e backlog di NVD
Da febbraio 2024, arricchimento CVE da parte del NVD ha subito un brusco rallentamento: gran parte delle nuove vulnerabilità sono rimaste per mesi senza un’analisi completa, e quindi senza un punteggio o un riferimento utilizzabile al prodotto. Qualsiasi servizio costruito esclusivamente sull'NVD eredita questa lacuna.
Facciamo un controllo incrociato nove feed: Elenco CVE, NVD, KEV, EPSS, prove di concetto pubblicate, avvisi GitHub, OSV, CERT-FR e EUVD. Questo è ciò che ci rende utilizzabili quando uno di loro rimane indietro. Per i dettagli, fonte per fonte e licenza per licenza, vedere fonti di dati.
A chi è rivolto, in pratica
Analista che scava attraverso vent'anni di archivi. CVEDetails rimane costruito per questo uso. La nostra ricerca integrata copre gli stessi dati, ma è progettata per iniziare dal tuo stack, non per l'esplorazione storica.
Team esegue una decina di componenti. Il piano gratuito è sufficiente: stack dichiarato una volta, avvisi via email e niente più elenco di abbonamenti da aggiornare ogni volta che cambia una versione.
Team che vuole integrare il monitoraggio nei propri strumenti. Slack o Teams per gli elementi critici, un riepilogo giornaliero per tutto il resto e API per il resto della pipeline. Un consiglio pratico: non inviare tutto a Slack, altrimenti le notifiche verranno disattivate entro una settimana.
Metodo e data di verifica
Fatti verificati sulle pagine pubbliche dei fornitori, senza accesso privilegiato o test nel mondo reale del loro prodotto. Le funzionalità di avviso, API e feed RSS provengono dalla documentazione pubblica di CVEDetails. Hai notato un errore o un cambiamento nell'offerta? Segnalatelo tramite il ns pagina dei contatti: correggiamo la riga e risiamo la pagina.