Proveedores múltiples, avisos que no hablan el mismo idioma

Las bibliotecas de software se reutilizan: una falla en un componente de acceso remoto puede estar dentro de equipos de varios fabricantes. Cada uno la anuncia con su propio identificador y en su propia fecha, aunque el identificador público de la vulnerabilidad (CVE) sea el mismo. Si el inventario de avisos se organiza por fabricante, la misma exposición se cuenta tres veces o se pierde una de las tres.

El identificador de vulnerabilidad es el hilo común. Se registra el CVE una vez y debajo se cuelgan los avisos de cada fabricante con su fecha y los modelos afectados.

Abre proveedores.csv. Tres fabricantes usan un formato propio de identificador de aviso, que permite citarlos y buscarlos. Uno publica en una página de novedades y no usa identificador propio. Para ese, el equipo tiene que fabricarse su propia referencia interna (por ejemplo, fabricante más fecha más CVE) y guardar la dirección de la publicación, porque no hay otra forma de citarlo con precisión.

Los fabricantes no reaccionan al mismo ritmo. Mientras el primero ya publicó, el último puede tardar semanas, y en ese tiempo sus equipos están expuestos sin que haya un aviso de su fabricante al que referirse. Abre avisos-recibidos.csv y localiza el CVE que aparece en varios fabricantes. Calcula los días entre el primer aviso y el último de ese CVE.

Para saber la escala de la exposición se une cada aviso con los modelos afectados y los modelos con sus cantidades. Cada modelo se cuenta una sola vez aunque aparezca nombrado en más de un lugar. Con avisos-recibidos.csv y equipos-por-modelo.csv, suma los equipos de todos los modelos afectados por el CVE común.

La tabla muestra qué fabricantes tienen un contacto disponible a cualquier hora. En una red de telecomunicaciones eso importa: un incidente no espera al horario de oficina. Cuando un fabricante no ofrece ese canal, la gestión no se detiene: se acuerda por escrito, antes de que haga falta, a quién llamar, en qué plazo responde y qué información dará sobre un aviso nuevo.