· 5 minuten lezen.
Waarom een onvolledig dossier kostbaar is
Neem twee records die op dezelfde dag zijn gepubliceerd voor twee fouten van vergelijkbare ernst.
De eerste specificeert de leverancier, het product, versies 2.0 tot 2.14.1, een gestandaardiseerde product-ID, een CVSS vectoren en een CWE. Een monitoringtool vergelijkt het in een fractie van een seconde met uw inventaris, en u krijgt een waarschuwing of niets - hoe dan ook een antwoord.
De tweede zegt: “een kwetsbaarheid treft product X”, zonder versie. Geen enkel instrument kan beslissen. Er zijn twee mogelijke uitkomsten, beide slecht: het weggooien en een risico nemen, of het aan de oppervlakte brengen en ruis toevoegen. Die kosten willen de beoordeling zichtbaar maken.
De vier criteria
Elke CNA krijgt een totaalcijfer op basis van het deel van zijn records dat de volgende vier velden correct invult:
| Criterium | Vraag gesteld over het record | Wat het mogelijk maakt |
|---|---|---|
| Verkoper | Is de betrokken leverancier geïdentificeerd? | Het eerste filter, zelfs vóór het product |
| Product en versie | Zijn het product en zijn uitvoeringsassortiment in gestandaardiseerde vorm aanwezig? | Automatisch matchen met een inventaris |
| CVSS-score | Wordt er een volledige vector verstrekt? | Sorteren op ernst en de vector lezen |
| Zwakte (CWE) | Is de foutklasse ingevuld? | Trendanalyse en langetermijnwerk |
Deze vier criteria beoordelen de nauwkeurigheid van een record niet; we hebben geen manier om dat op grote schaal te verifiëren. Zij beoordelen het volledigheid, wat betekent hoe goed een machine het kan verwerken. Het is een bescheiden maatregel, en dat maakt het juist eerlijk.
De beoordelingsschaal
| Rang | Volledigheid registreren |
|---|---|
| A | Uitstekend — bijna alle velden zijn bijna altijd ingevuld |
| B | Goed – één veld ontbreekt regelmatig, meestal de CWE |
| C | Redelijk: de betreffende versies zijn inconsistent ingevuld |
| D | Slecht: automatisch matchen mislukt vaak |
| F | Zeer onvolledig: de plaat moet met de hand worden herwerkt |
Volume is geen kwaliteit
De meest consistente bevinding: sommige CNA's met een zeer hoog volume vertonen een lage volledigheid, terwijl gespecialiseerde CNA's die tien keer minder publiceren vrijwel perfecte records produceren. Het cijfer heft het grootte-effect op door te werken met verhoudingen, nooit met totalen.
Dit is geen aanklacht. Een CNA die duizenden communityrapporten per jaar verwerkt, beschikt niet over de middelen van het productteam van een leverancier. De ranglijst is er om u te vertellen wat u kunt verwachten, niet om gouden sterren uit te delen.
Wat het voor u betekent, in de praktijk
Zelfs zonder een gepubliceerde ranglijst kan het raster opnieuw worden gebruikt zoals het is: als een waarschuwing u in verwarring brengt, controleer dan de vier velden in de juiste volgorde. Leverancier, versie, vector, zwakte. Als er twee of meer ontbreken, zoek dan niet naar de fout in uw tool: lees het beveiligingsadvies van de leverancier, dat vrijwel altijd bevat wat in het record is weggelaten.
Veelgestelde vragen
Hoe wordt het cijfer berekend?
Op het aandeel fiches van een CNA dat de vier criteria correct invult, ongeacht het gepubliceerde volume. Een CNA die 30 fiches publiceert en een die er 3.000 publiceert, worden op gelijke voet vergeleken.
Betekent een laag cijfer een onzorgvuldige CNA?
Nee. Het markeert records die moeilijk automatisch te verwerken zijn. Verschillende CNA's publiceren snel en in bulk, wat waardevol is voor de dekking, ten koste van onvolledige metadata. Dit zijn twee verschillende kwaliteiten, en je kunt niet altijd beide hebben.
Wordt de CNA-ranglijst gepubliceerd?
Nog niet. De methode wordt intern toegepast om het vertrouwen dat aan elke bron wordt gegeven, te wegen. We zullen de ranglijst publiceren zodra de geschiedenis diep genoeg is om een openbaar cijfer verdedigbaar te maken.