Avisos estructurados (CSAF)

En un documento CSAF, cada producto aparece con un estado frente a cada CVE (product_status). Los cuatro que más vas a ver son: afectado conocido (known_affected), corregido (fixed), no afectado conocido (known_not_affected) y en investigación (under_investigation).

La diferencia entre los dos últimos es de fondo. «No afectado conocido» es una afirmación del fabricante: ya lo analizó y el producto no está en riesgo. «En investigación» es una promesa de análisis: aún no hay respuesta, y un programa que lo trate como «no afectado» estaría decidiendo sin datos.

Abre csaf_documento. Los campos del bloque document.tracking describen la vida del aviso: su identificador, su versión, sus fechas y su estado. El estado indica si el aviso es todavía un borrador, si es una publicación provisional que puede seguir cambiando o si es definitivo. Un aviso provisional puede cambiar el rango afectado después: léelo con esa reserva.

El árbol de productos (csaf_productos) da a cada producto un product_id, y el resto del documento solo usa ese identificador. Para saber el estado de una versión concreta hay que ir de la tabla de estados a la de productos. Consulta csaf_estado y encuentra el producto que el fabricante marca como corregido.

Cada remediación (csaf_remediaciones) lleva una categoría de un vocabulario cerrado: una corrección del fabricante (vendor_fix), una mitigación (mitigation), una solución temporal (workaround), que no hay corrección (none_available) o que el fabricante no piensa publicarla (otra categoría). Es la forma estructurada de lo que en un boletín libre se escribe en un párrafo.

Una de las remediaciones del aviso corresponde al producto de la rama que el fabricante ya no mantiene. Consulta la tabla y lee su categoría.

El producto NG-5.0.0 consta como under_investigation. Halconera tiene instalaciones de esa versión y un automatismo que cierra hallazgos cuando el aviso no dice «afectado».