NIST fährt CVE-Analysen zurück – mit gemischten Auswirkungen auf Abdeckung und Genauigkeit
Das National Institute of Standards and Technology hat die Zahl der CVEs reduziert, die es eingehend prüft – eine Änderung, die laut Forschern sowohl die Reichweite als auch die Qualität der Anreicher...
Das National Institute of Standards and Technology hat die Zahl der CVEs reduziert, die es eingehend prüft – eine Änderung, die laut Forschern sowohl die Reichweite als auch die Qualität seiner Arbeit zur Anreicherung von Schwachstellendaten beeinflusst hat.
Die Anpassung scheint eine Änderung bei der Verteilung der Analysekapazitäten des NIST auf die wachsende Zahl öffentlich offengelegter Sicherheitslücken widerzuspiegeln. Indem die Behörde die Zahl der Einträge verringert, die sie genauer untersucht, kann sie ihre Aufmerksamkeit möglicherweise auf ausgewählte Datensätze konzentrieren. Gleichzeitig wirft die Änderung Fragen dazu auf, wie viele Kontextinformationen der umfassenderen CVE-Datenbank hinzugefügt werden.
Forscher, die die Auswirkungen der Reduzierung untersuchten, berichteten von gemischten Ergebnissen. In manchen Fällen kann die Konzentration auf weniger Einträge die Tiefe der verfügbaren Informationen verbessern und Sicherheitsteams dabei helfen, den Schweregrad oder die praktischen Auswirkungen einer Schwachstelle besser zu verstehen. In anderen Fällen können weniger angereicherte Datensätze zu Lücken bei der Abdeckung führen, wodurch es für Verteidiger schwieriger wird, die Datenbank als umfassende Referenz zu nutzen.
Das Thema ist relevant, weil CVE-Datensätze von Tools für das Schwachstellenmanagement, Sicherheitsanalysten und Softwareanbietern häufig verwendet werden, um bekannte Schwachstellen zu verfolgen und Reaktionsmaßnahmen zu priorisieren. Wenn die Anreicherung unvollständig oder uneinheitlich ist, stehen Organisationen für Entscheidungen zu Triage und Behebung möglicherweise weniger genaue Informationen zur Verfügung.
Die Änderung könnte den operativen Druck auf das NIST verringern, verdeutlicht aber auch die Herausforderung, mit der steigenden Zahl von Meldungen Schritt zu halten. Da die Zahl der gemeldeten Schwachstellen weiter zunimmt, wird es schwieriger, ein Gleichgewicht zwischen Geschwindigkeit, Genauigkeit und Vollständigkeit zu wahren.
Sicherheitsexperten werden vermutlich beobachten, ob der überarbeitete Ansatz die Qualität ausgewählter Einträge verbessert, ohne den allgemeinen Nutzen für die Community, die auf CVE-Daten angewiesen ist, wesentlich zu verringern.