· 5 minutos de leitura.
Por que um registro incompleto é caro
Considere dois registros publicados no mesmo dia para duas falhas de gravidade semelhante.
A primeira especifica o fornecedor, o produto, versões 2.0 a 2.14.1, um identificador de produto padronizado, um CVSS vetor e um CWE. Uma ferramenta de monitoramento compara isso ao seu inventário em uma fração de segundo, e você recebe um alerta ou nada – uma resposta de qualquer maneira.
A segunda diz “uma vulnerabilidade afeta o produto X”, sem versão. Nenhuma ferramenta pode decidir. Existem dois resultados possíveis, ambos ruins: descartá-lo e assumir um risco, ou trazê-lo à tona e adicionar ruído. Esse custo é o que a classificação pretende tornar visível.
Os quatro critérios
Cada CNA recebe uma nota geral com base na parcela de seus registros que preenchem corretamente os quatro campos a seguir:
| Critério | Pergunta feita ao registro | O que isso permite |
|---|---|---|
| Fornecedor | O fornecedor afetado foi identificado? | O primeiro filtro, antes mesmo do produto |
| Produto e versão | O produto e sua gama de versões estão presentes, de forma padronizada? | Correspondência automática com um inventário |
| Pontuação CVSS | É fornecido um vetor completo? | Classificando por gravidade e lendo o vetor |
| Fraqueza (CWE) | A classe de falhas está preenchida? | Análise de tendências e trabalho de longo prazo |
Esses quatro critérios não avaliam a precisão de um registro — não temos como verificar isso em grande escala. Eles avaliam sua completude, ou seja, quão bem uma máquina pode processá-lo. É uma medida modesta e é exactamente isso que a torna honesta.
A escala de classificação
| Nota | Integridade do registro |
|---|---|
| A | Excelente — quase todos os campos preenchidos, quase sempre |
| B | Bom – um campo está faltando regularmente, geralmente o CWE |
| C | Justo – as versões afetadas são preenchidas de forma inconsistente |
| D | Ruim – a correspondência automática geralmente falha |
| F | Muito incompleto – o registro tem que ser retrabalhado à mão |
Volume não é qualidade
A descoberta mais consistente: alguns CNAs de volume muito elevado apresentam baixa completude, enquanto CNAs especializados que publicam dez vezes menos produzem registos quase perfeitos. A nota anula o efeito do tamanho trabalhando em proporções, nunca em totais.
Isto não é uma acusação. Um CNA que lida com milhares de relatórios da comunidade por ano não possui os recursos da equipe de produto de um fornecedor. A classificação existe para lhe dizer o que esperar, não para distribuir estrelas douradas.
O que isso significa para você, na prática
Mesmo sem uma classificação publicada, a grelha pode ser reutilizada como está: quando um alerta o deixar confuso, verifique os quatro campos em ordem. Fornecedor, versão, vetor, ponto fraco. Se faltarem dois ou mais, não procure o erro na sua ferramenta: leia o comunicado de segurança do fornecedor, que quase sempre contém o que o registro deixou de fora.
Perguntas frequentes
Como a nota é calculada?
Sobre a parcela de registros de um CNA que atendem corretamente aos quatro critérios, independente do volume publicado. Um CNA que publica 30 registros e um que publica 3.000 são comparados em pé de igualdade.
Uma nota baixa significa um CNA descuidado?
Não. Ele sinaliza registros que são difíceis de processar automaticamente. Vários CNAs publicam rapidamente e em massa, o que é valioso para a cobertura, ao custo de metadados incompletos. Essas são duas qualidades diferentes e nem sempre é possível ter as duas.
O ranking CNA foi publicado?
Ainda não. O método é aplicado internamente para ponderar a confiança dada a cada fonte. Publicaremos a classificação assim que a história for profunda o suficiente para que uma nota pública seja defensável.