· 6 minutos de leitura.
Os nove feeds e o que cada um traz
| Fonte | O que isso traz | O que isso não te conta | Frequência |
|---|---|---|---|
| Lista CVE (MITRE) | A publicação principal, como CNA escreveu | Sem pontuação, sem exploração; às vezes nenhuma versão afetada | Intervalo curto |
| NVD (NIST) | Enriquecimento: identificadores de produto, configurações, vetor CVSS | O seu enriquecimento desacelerou acentuadamente desde fevereiro de 2024 | Diariamente |
| CISA KEV | Exploração observada, com data de confirmação | Nada sobre exploração sem evidências publicáveis | Intervalo curto |
| EPSS (FIRST) | A probabilidade de exploração em 30 dias, para cada CVE | Nada sobre sua exposição real | Diariamente |
| PoC-em-GitHub | O surgimento do código público de prova de conceito | Nem a qualidade nem o uso desse código no mundo real | Intervalo curto |
| GHSA (GitHub) | Avisos de ecossistema de dependência: npm, PyPI, Maven… | Software fora dos gerenciadores de pacotes | Diariamente |
| OSV.dev | Avisos de distribuição Linux: Red Hat, SUSE, Ubuntu… | Produtos proprietários | Diariamente |
| CERT-FR (ANSSI) | Avisos e alertas do CSIRT nacional francês, vinculados ao CVEs que citam; um alerta sinaliza uma ameaça imediata, normalmente uma falha já sendo explorada | Falhas que não recebem aconselhamento: CERT-FR escolhe o que publica | De hora em hora |
| EUVD (ENISA) | A base de dados europeia de vulnerabilidades, prevista pela diretiva NIS2, com o estado de exploração conhecido de cada falha | Nada sobre a sua exposição real: ela lista, não classifica | Várias vezes ao dia |
A coluna do meio é a mais importante desta tabela. Isso mostra por que a verificação cruzada não é uma delicadeza: um CVE pode ser publicado sem pontuação por seu CNA, receber um vetor de NVD três semanas depois e inserir KEV no meio. Ler apenas uma fonte significa ver um instantâneo, não o filme.
Nove feeds para alertas, doze fontes para o briefing
Uma confusão comum que vale a pena esclarecer: trabalhamos com dois conjuntos de fontes que diferem tanto em função quanto em número.
- O nove feeds de vulnerabilidade acima conduza o alertas. São dados estruturados, comparados com seu inventário.
- O doze fontes editoriais — CERT-FR, blogs de fornecedores, imprensa especializada — alimente o resumo diário. São artigos lidos e resumidos, nunca comparados com um inventário.
O CERT-FR aparece em ambos os conjuntos, em duas funções: seus avisos e alertas, vinculados ao CVEs que citam, alimentam os alertas; seu feed de publicação também alimenta o briefing.
Um simples número (“nossas fontes”) misturaria os dois e não significaria nada. Nove ou doze, dependendo do que estamos falando.
O que aciona um alerta: transições
Um CVE não é um evento, é uma trajetória. Ele é publicado, depois enriquecido, às vezes sinalizado como explorado e às vezes corrigido. O monitoramento que apenas escuta a publicação perde o que é mais importante.
As transições que rastreamos e que acionam uma notificação:
- um novo CVE afeta um componente declarado em seu inventário;
- um CVE que você segue entra no catálogo KEV, ou se torna sujeito de um Alerta CERT-FR;
- a prova pública de conceito aparece;
- é Pontuação EPSS ultrapassa um limite que você definiu;
- é versões afetadas mudança – um CVE descartado ontem pode preocupá-lo hoje.
Dois atrasos para não confundir
Esta é a pergunta mais frequente e merece uma resposta em duas partes, em vez de um único número:
- o atraso de sincronização: pesquisamos Lista CVE, KEV, EPSS e provas de conceito em um curto intervalo, da ordem de alguns minutos. Ninguém pode ser mais rápido que esse ciclo;
- o atraso no processamento: assim que o CVE for visto, compare-o com seu inventário, priorize-o e envie o alerta menos de 30 segundos.
Na prática, para um sinal crítico, você é notificado minutos após sua publicação. Afirmar “30 segundos” por si só seria falso: esse é o segundo atraso, não o primeiro.
A verificação cruzada não é suficiente: filtrar
Agregar nove feeds produz um volume incontrolável se você parar por aí. A etapa que importa é combinar com o seu inventário declarado: fornecedor, produto, versão. Qualquer coisa que não toque em nenhuma linha desse inventário sai do escopo e é aí que quase todo o ruído desaparece.
Essa correspondência depende de identificadores de produto padronizados, quando existem, e de correspondências nome-versão, quando faltam — o que é comum, e é exatamente por isso integridade da fonte é muito importante para nós.
Os avisos GHSA e OSV sem identificador CVE são associados pelo URL do pacote (purl) assim que uma versão é fixada. Aparecem com o seu identificador e a sua fonte. Zero CVE não é zero risco: 0 CVE ≠ 0 risque.
Licenças e atribuições
Todas as fontes que agregamos são dados públicos, de uso gratuito, inclusive comercialmente, sujeito a atribuição. A tabela abaixo cobre os nove feeds de alerta mais três conjuntos de dados de enriquecimento: é por isso que tem doze linhas, e não nove.
| Fonte | Licença/termos | Atribuição |
|---|---|---|
| Lista CVE (MITRE/CVE.org) | Termos de uso do CVE – redistribuição gratuita | Obrigatório |
| NVD (NIST) | Trabalho do governo dos EUA - domínio público | Recomendado |
| CISA KEV | Governo dos EUA – uso gratuito | Recomendado |
| EPSS (FIRST.org) | Dados Free, fornecidos sem garantia | Obrigatório (crédito FIRST) |
| GHSA (Avisos de segurança GitHub) | CC POR 4,0 | Obrigatório |
| OSV.dev | Licenças abertas (geralmente CC BY 4.0); pode variar de acordo com o registro | Obrigatório |
| Red Hat, SUSE, Ubuntu, AlmaLinux, Rocky Linux (via OSV) | CC BY 4.0, CC BY-SA 4.0 (Ubuntu), MIT, BSD dependendo da distribuição | Obrigatório |
| PoC-em-GitHub | Links públicos e metadados — nenhum código de exploração redistribuído | Recomendado |
| CERT-FR (ANSSI) | Licença Ouverte / Licença Aberta 2.0 (Etalab) | Obrigatório |
| EUVD (ENISA) | Reutilização autorizada desde que citada a fonte, salvo indicação em contrário | Obrigatório (crédito ENISA) |
| fim da vida.data | Projeto de comunidade aberta, API grátis | Recomendado |
| webappanalisador (detecção de tecnologia) | GPL-3.0 (enthec/webappanalyzer) | Obrigatório (aviso GPL-3.0 mantido) |
Pré-visualizações de artigos de monitoramento mostram apenas o título e um pequeno trecho e sempre faça um link para a fonte original: o conteúdo completo nunca é republicado.
Os detalhes de cada fonte, com as atribuições e avisos de licença, estão no Fontes e licenças.
Perguntas frequentes
Você cobre código aberto?
Sim, através de dois canais: GHSA para dependências de aplicações (npm, PyPI, Maven, RubyGems, Go…) e OSV.dev para pacotes de distribuição (Red Hat, SUSE, Ubuntu…). Estes são dois mundos separados: a mesma falha pode conter dois identificadores diferentes.
Por que seguir o CERT-FR e o EUVD?
Porque o monitoramento que só lê fontes americanas herda seus pontos cegos. CERT-FR, o CSIRT nacional francês, publica os seus avisos e alertas em francês; o EUVD, gerido pela ENISA ao abrigo da directiva NIS2, também sinaliza vulnerabilidades exploradas. A exploração relatada por qualquer um deles conta, para priorização, como uma entrada no catálogo KEV. Veja também o que nossas ferramentas cobrem para NIS2.
Com que rapidez sou alertado?
Dois atrasos se somam. O sincronização pesquisa os feeds em um curto intervalo, da ordem de alguns minutos: esse é o piso duro. O processamento – correspondência, priorização, envio – leva menos de 30 segundos. Para um sinal crítico, espere alguns minutos após ser publicado.
Por que verificar várias fontes?
Porque nenhum deles está completo. Um disco pode ser publicado sem partitura, receber seu vetor três semanas depois e entrar no catálogo KEV nesse meio tempo. Ler apenas uma fonte significa perder a falha ou o momento em que ela se torna urgente.
Posso usar esses dados comercialmente?
Sim. Os feeds agregados são públicos e de uso gratuito, inclusive comercialmente, sujeitos a atribuição (CVE/MITRE, NVD, CISA KEV, FIRST EPSS, GHSA, OSV…). A detecção de tecnologia depende do webappanalyzer, licenciado sob GPL-3.0: gratuito para uso em um serviço hospedado, desde que o aviso de licença seja mantido.