La NVD y su enriquecimiento

La NVD no es la fuente del CVE: es una base que se alimenta del registro CVE y lo enriquece. Cada entrada lleva un estado (vulnStatus). Entre los que verás: Awaiting Analysis (recibido, aún sin analizar), Undergoing Analysis (en análisis), Analyzed (con análisis completo), Modified (cambió tras analizarse) y Rejected (rechazado en el registro CVE).

Lo que cambia entre estados es lo que puedes esperar encontrar: un CWE puesto por la NVD, una puntuación principal y la configuración de productos (CPE). Una herramienta que se apoye en esa configuración no verá un CVE que aún no la tiene.

Cuando el escáner de una empresa depende de los datos de la NVD, los CVE sin análisis se quedan fuera del cruce con el inventario o entran con datos incompletos. Conviene tener localizados los hallazgos cuyo CVE está aún sin analizar, porque su prioridad se decide con otras fuentes.

Mira el estado de los cinco CVE de la revisión.

Una entrada de la NVD puede traer varias puntuaciones. La que añade la propia NVD consta como fuente principal (Primary); las que aportan el CNA u otros contribuyentes constan como Secondary. Las dos son válidas y ninguna anula a la otra: pueden diferir porque cada fuente evalúa el fallo con supuestos distintos sobre qué producto o qué configuración.

Lee la puntuación base de la fuente principal para el primer CVE.

Medir cuánto difieren dos puntuaciones del mismo CVE no resuelve cuál es la correcta, pero dice cuánto cambia el resultado según la fuente que uses. Una diferencia grande es una señal para revisar el contexto del activo en lugar de elegir la cifra más cómoda.

El CVE pendiente de análisis solo tiene la puntuación del CNA. El tablero de la empresa ordena la cola por puntuación principal de la NVD y por eso lo deja al final, como si fuera menor. La persona responsable del activo pregunta si puede esperar.