· 6 minuten lezen.
Wat een CNA eigenlijk doet
Wanneer een onderzoeker een fout in een product meldt, neemt hij of zij contact op met de CNA die dat product dekt, meestal de leverancier zelf. De CNA reserveert een identificatie, houdt de details vertrouwelijk terwijl de oplossing wordt voorbereid en publiceert het record vervolgens op de dag van openbaarmaking.
MITRE speelt geen rol in dit proces: het autoriseert CNA's, beslecht geschillen en dient als vangnet voor producten die niemand dekt. Met andere woorden: de kwaliteit van wat u in een CVE-record leest, is niet afhankelijk van het programma: het hangt af van de organisatie die het heeft gepubliceerd.
De CNA’s die je het vaakst tegenkomt
De volledige officiële lijst wordt gepubliceerd en bijgewerkt door het CVE-programma; we kopiëren de honderden rijen hier niet, omdat ze binnen een maand verouderd zouden zijn. In plaats daarvan zijn dit degenen waarvan de publicaties het grootste deel van een Franstalige monitoringfeed uitmaken:
| CNA | Typ | Reikwijdte |
|---|---|---|
| MITRE | Wortel en secretariaat | Elk product zonder een toegewezen CNA; programma arbitrage |
| Microsoft | Verkoper | Windows, Office, Azure en het bijbehorende ecosysteem |
| Appel | Verkoper | macOS, iOS, Safari en services |
| Google/Chrome | Verkoper | Chrome-, Android-, Google-services |
| Rode Hoed | Verkoper | RHEL en de open source verpakt door Red Hat |
| Cisco | Verkoper | Netwerkapparatuur en bijbehorende software |
| Orakel | Verkoper | Database, Java, bedrijfsapplicaties |
| GitHub (GHSA) | Verkoper en coördinator | Afhankelijkheden in de npm-, PyPI-, Maven-, RubyGems-ecosystemen |
| CERT/CC | Coördinator | Producten waarvan de leverancier geen CNA is, gecoördineerde openbaarmaking |
| CISA / ICS-CERT | Regering | Industriële systemen en kritieke infrastructuur |
| Patchstack, Wordfence | Onderzoeker | WordPress-plug-ins en thema's, op zeer hoog volume |
Vier gezinnen, vier gedragingen
| Typ | Wat het publiceert | Wat je ervan kunt verwachten |
|---|---|---|
| Verkoper | Gebreken in zijn eigen producten | Nauwkeurige getroffen versies en dezelfde dag een oplossing |
| Coördinator | Gebreken in producten van derden zonder geautoriseerde leverancier | Een zorgvuldige beschrijving, soms zonder oplossing |
| Onderzoeker / platform | Gebreken gemeld door de community | Volume, met een volledigheid die varieert van record tot record |
| Regering | Een nationale of sectorspecifieke scope | Dekking van gebieden die de markt slecht bedient |
CNA, Root, ADP: wie doet wat
- CNA: wijst de identificatiegegevens binnen zijn reikwijdte toe en publiceert deze.
- Wortel: houdt toezicht op een groep CNA's, rekruteert ze en beslecht geschillen. MITRE is de root of last resort.
- ADP (Geautoriseerde gegevensuitgever): kent geen identificatiegegevens toe, maar verrijkt bestaande records. CISA is er één, via zijn Vulnrichment-programma, dat scores en classificaties toevoegt aan records waarin deze ontbreken.
Deze laatste rol is steeds belangrijker geworden sinds de NVD-verrijking is vertraagd: een deel van de records wordt nu via dit kanaal voltooid in plaats van via het historische pad.
Waarom de CNA de kwaliteit van uw waarschuwingen bepaalt
Een CVE-record zonder getroffen versie en zonder gestandaardiseerde product-ID kan met geen enkele inventaris worden vergeleken: geen enkel hulpmiddel, wat het ook is, kan raden of het gevolgen voor u heeft. Het zal uiteindelijk genegeerd worden of naar boven komen “voor het geval dat” – met andere woorden: als ruis.
Maar of deze velden aanwezig zijn, hangt volledig af van de publicerende CNA. Sommigen publiceren snel en spaarzaam; anderen publiceren langzaam en volledig. Dit is een structureel kenmerk van het programma en geen toeval: daarom hebben wij meet de volledigheid van de bron en waarom we elke record vergelijken met meerdere feeds.
Wat het voor u betekent, in de praktijk
Twee nuttige gewoonten:
- Controleer wie publiceert alvorens te concluderen dat een waarschuwing vaag is. Een beknopt verslag van een CNA met een hoog volume betekent vaak dat u het advies van de leverancier moet lezen, en dat is nauwkeurig.
- Rapporteer onvolledige records. CNA's accepteren correctieverzoeken, en iedereen profiteert van een verrijkt dossier, inclusief uw monitoringtool de volgende maand.
Veelgestelde vragen
Hoeveel CNA's zijn er?
Meer dan 400 geautoriseerde organisaties wereldwijd, en het aantal groeit elke maand. De officiële lijst gepubliceerd door het CVE-programma is de enige actuele lijst; elk cijfer dat in een artikel is bevroren, wordt binnen enkele weken oud.
Kan een CNA zijn CVEs slecht invullen?
Ja, en het gebeurt vooral bij degenen die op zeer hoog volume publiceren. De ontbrekende velden zijn meestal de getroffen versie en de gestandaardiseerde product-ID – precies de twee die automatische vergelijking met een voorraad mogelijk maken.
Hoe wordt een organisatie een CNA?
Door een aanvraag in te dienen bij een root, zich ertoe te verbinden de programmaregels te volgen (tijdlijnen, recordformaat, opgegeven bereik) en een bereikbaar beveiligingscontact aan te wijzen. Het proces staat open voor zowel leveranciers als open source-projecten.