Hvað er Þjóðargagnagrunnur um varnarleysi?

Þegar fólk spyr hvað Þjóðargagnagrunnur um öryggisgalla sé, þá er það að vísa til opinberrar gagnageymslu bandarískra stjórnvalda sem sameinar og auðgar gögn um opinberlega birtar öryggisgalla. Þjóðargagnagrunnurinn um öryggisgalla (nvd) er rekinn af NIST (Þjóðarstofnun um öryggisgalla). Standards og tækni) og er byggt ofan á standards svo sem CVE, CVSS, CPE og SCAP. Einfaldlega sagt, NVD National Vulnerability Database tekur hráar varnarleysiauðkenni (CVE) og bætir við:

• Alvarleikastig (CVSS)
• Áhrifamælingar
• Vöru- og útgáfuvörpun (CPE)
• Tilvísanir í ráðleggingar, uppfærslur og athugasemdir frá söluaðilum
• Tengsl við undirliggjandi veikleika (CWE)

Svo ef skannann þinn, SCA tól, eða hætta dashboard sýnir þér flokkaða og metna veikleika, þá eru góðar líkur á að NVD gögn séu á bak við tjöldin sem knýja það áfram. Þetta er kjarninn í því sem er Þjóðargagnagrunnurinn um veikleika: auðgað, standardsérhæfður öryggisskrá sem önnur verkfæri og ferlar geta notað sjálfkrafa. Skiljum við hvað gagnatapsvörn er í þessum dreifða veruleika, þá endum við með blinda bletti fyrircisþar sem árásarmönnum líður best.

Hvaða gögn eru í raun og veru geymd í gagnagrunni um varnarleysi (NVD)? #

Til að skilja hvað Þjóðargagnagrunnurinn um varnarleysi er á þann hátt að hann nýtist DevSecOps, er gagnlegt að sundurliða hvað hann geymir og birtir í raun:

• Færslur um varnarleysi byggðar á CVE: Hver færsla í þjóðargagnagrunninum yfir veikleika samsvarar CVE-auðkenni og inniheldur ítarlegri lýsingu, vörur sem verða fyrir áhrifum og tæknilegar tilvísanir.
• Upplýsingar um alvarleika og áhrif: Þjóðargagnagrunnur NVD um varnarleysi úthlutar CVSS-stigum (v2/v3), áhrifamælikvörðum og stundum upplýsingum um nýtanleika, sem verkfæri nota til að forgangsraða úrbótum.
• Vöru- og stillingarkortlagningar: NVD tengir veikleika við tiltekna söluaðila, vörur og útgáfur með CPE-auðkennum, ásamt stillingargátlistum til að styðja við öruggar grunnlínur.
• Flokkun veikleika (CWE): Færslur vísa oft til CWE sem tákna undirliggjandi veikleika í kóðun eða hönnun, sem veitir samhengi sem er gagnlegt fyrir örugga kóðun og AppSec forrit.
• API og gagnastraumar: Gagnagrunnurinn birtir JSON-strauma og forritaskil svo verkfæri geti samstillt gögn um varnarleysi, stig og athugasemdir frá söluaðilum sjálfkrafa við ... dashboards, skanna og CI/CD pipelines. 

Frá sjónarhóli DevSecOps, hvað er Þjóðargagnagrunnur um varnarleysi ef ekki sameiginlega tungumálið sem öll þessi verkfæri reiða sig á til að fjalla stöðugt um varnarleysi?

Af hverju leggur DevSecOps teymum áherslu á NVD? #

Fyrir DevSecOps og AppSec teymi er NVD National Vulnerability Database minna vefsíða og frekar óbeint ósjálfstæði sem er innbyggt í alla verkfærakeðju þeirra.

SCA verkfæri, gámaskannarar, stýrikerfispakkaskannarar, innviðaskannarar og margir CI/CD öryggi Notaðu Þjóðargagnagrunninn um varnarleysi (NVD) til að:

• Leysa CVE auðkenni upp í marktæka lýsingu
• Alvarleikastig togs og mælikvarðar á nýtanleika
• Kortleggja veikleika í tilteknar útgáfur bókasafna eða myndir
• Færa áhættugögn inn í miðakerfi og mælikvarða dashboards

Þess vegna eru spurningar um hvað Þjóðargagnagrunnurinn um varnarleysi er í raun spurningar um „Hvaðan koma niðurstöður okkar um varnarleysi og getum við treyst þeim?“ Að skilja Þjóðargagnagrunninn um varnarleysi hjálpar til við að útskýra hvers vegna minniháttar uppfærsla á bókasafni skyndilega lýsir upp ... dashboardeða hvers vegna sum mál virðast vera áhættusöm jafnvel þegar þau virðast óljós.

Algengar misskilningar um NVD #

Rétt eins og með árásir á framboðskeðjur eða illgjarnar pakka, þá eru nokkrar misskilningar um hvað Þjóðargagnagrunnur um varnarleysi er og hvað hann getur eða getur ekki gert.

Misskilningur #1: NVD er rauntíma og fullkomið #

Margir gera ráð fyrir að NVD sé alltaf uppfært fyrir hvert CVE. Í raun og veru framkvæmir NVD auðgun skref: það tekur grunn CVE færslur og bætir við stigagjöf, vöruvörpunum og öðrum lýsigögnum. Þessi aukavinna tekur tíma og hefur, sérstaklega frá 2024, leitt til vel skjalfestra biðlista og tafa á að greina nýjar veikleika að fullu. Fyrir DevSecOps teymi þýðir þetta að sumar af CVE-unum sem þú sérð í tólunum þínum geta birst fljótt með hluta af gögnum eða það getur tekið smá tíma að birtast í fullu samhengi. Þjóðargagnagrunnur veikleika NVD er áreiðanlegur en ekki samstundis.

Misskilningur #2: NVD er öryggisleitarvél #

Annar algengur misskilningur um hvað NVD er er að hugsa um það sem virkan skanni sem kannar umhverfi þitt. Það gerir það ekki. Þjóðargagnagrunnurinn um varnarleysi, NVD, er... tilvísunargagnasafn, ekki greiningarvél. Skannarnir þínir, SCA verkfæri og umboðsmenn framkvæma uppgötvunina. Þeir kortleggja síðan greindan hugbúnað og stillingar samanborið við gögnin í Þjóðargagnagrunninum um veikleika til að ákvarða hvaða CVE-vandamál eiga við og hversu alvarleg þau eru.

Misskilningur #3: Ef það er ekki í NVD, þá er það ekki vandamál #

Þetta er sérstaklega hættulegt í software supply chain securityEkki birtist hver áhætta sem CVE (Certain Vehicle Experience) og ekki er öllum öryggisgöllum bætt við í NVD tímanlega. Rannsóknir hafa sýnt fram á hvernig seinkaðar greiningar eða vantar lýsigögn í NVD geta skilið eftir eyður í fyrirtækjum, sérstaklega þegar þau reiða sig á NVD sem eina uppsprettu sannleikans. Fyrir DevSecOps teymi verður að skilja gagnagrunninn sem einn Gagnrýnin innsláttur, ekki öll sagan.ens.

Hvernig á að nota NVD National Vulnerability Database á áhrifaríkan hátt í DevSecOps? #

Ef þú ert að keyra nútíma pipelineÞú notar ekki NVD handvirkt; verkfærin þín gera það fyrir þig. En þú getur samt hannað forritið þitt út frá raunhæfri sýn á hvað Þjóðargagnagrunnurinn um varnarleysi er og hvar hann passar. Hagnýt nálgun:

1. Meðhöndla NVD sem staðlunarlag: Notið verkfæri sem reiða sig á NVD gögn úr National Vulnerability Database svo að CVE, alvarleiki og vörur séu samræmdar í skönnun, skýrslugerð og dashboards.
2. Sameinaðu NVD við ráðleggingar frá birgjum og nýttu þér upplýsingaöflun: Vegna þess að auðgun á NVD National Vulnerability Database getur tafið, sótt ráðleggingar frá söluaðilum, upplýsingar um ógnir og nýtt sér strauma til að fylla í eyður og forgangsraða raunverulegum áhættum.
3. Tengja NVD-byggð gögn við CI/CD: Samþætta skanna og SCA verkfæri sem nýta það í þínu pipelineþannig að nýjar byggingar eru bornar saman við uppfærðar upplýsingar um veikleika áður en þær eru settar í notkun.
4. Tengja NVD gögn við SBOMs og ósjálfstæðisgraf: Til að tryggja öryggi framboðskeðjunnar, tengdu SBOMog tengist ósjálfstæði við NVD færslur. Þetta gerir þér kleift að svara fljótt: „Hvaða pipelineEru s og þjónustar undir áhrifum þessarar CVE?

5. Viðurkenndu takmörkin, sérstaklega fyrir illgjarn pakka: CVE-miðaðir gagnagrunnar einbeita sér að upplýstum veikleikum, ekki endilega að illgjarnum pakka eða bakdyraðum íhlutum í opinberum skrám. Það er þar sem viðbótarverkfæri (eins og Xygeni eða aðrir öryggisvettvangar framboðskeðjunnar) taka upp það sem NVD getur ekki fjallað um sjálft.

Hvar NVD passar í nútíma varnarleysisstefnu? #

Svo, til baka: hvað er það í stefnumótandi skilningi?

• Það er tilvísunarskrá flestir í greininni nota það til að lýsa og meta veikleika.
• Það er standards-byggð gagnaheimild sem gerir verkfærum kleift að tala sameiginlegt tungumál um áhættu.
• Það er nauðsynleg inntak til varnarleysisstjórnun, DevSecOps og reglufylgniáætlanir.
• Það er ekki skanni, ekki heill viðvörunarkerfi, og ekki í staðinn fyrir öryggi í framboðskeðju eða upplýsingaöflun um misnotkun.

Ef þú byggir þitt varnarleysisstjórnun Í gagnagrunninum NVD ertu í góðum félagsskap: næstum allir aðrir gera það líka. Bragðið er að skilja NVD National Vulnerability Database sem hornstein, ekki alla bygginguna.

Notið það til staðlunar, stigagjöf og umfjöllunar. Bætið við því með ráðleggingum frá birgjum, nýtið gögn og sérstökum upplýsingum. software supply chain securityOg vertu viss um að DevSecOps sé pipelines, ekki bara ársfjórðungsskýrslur þínar, neyta og bregðast við því sem Þjóðargagnagrunnurinn um varnarleysi segir þér.

Þannig breytir þú svarinu við því hvað er Þjóðargagnagrunnur um varnarleysi úr þurri skilgreiningu í eitthvað sem í raun mótar hvernig þú sendir og tryggir hugbúnað.