Hackrate CVE Numbering Authority
CVE-azonosító igénylése.
Koordinált közzététel.
A Hackrate Magyarország első CVE Numbering Authority (CNA) szervezeteként segít a jogosultság megítélésében, a pontos CVE-rekord előkészítésében és a jóváhagyott hatókörbe tartozó sérülékenységek közzétételének egyeztetésében.
Vállalatoknak, Hackrate ügyfeleknek és független biztonsági kutatóknak.
CNA által koordinált folyamatMit jelent a CNA-szerep?
Egyértelmű út a CVE ökoszisztémába.
A CVE Numbering Authority olyan szervezet, amely meghatározott hatókörben jogosult CVE-azonosítók hozzárendelésére és a hozzájuk tartozó CVE-rekordok közzétételére. A Hackrate a saját jóváhagyott hatókörébe tartozó, jogosult sérülékenységeket kezelheti.
Azonosító foglalása és hozzárendelése
Az egyedi CVE-azonosító akkor rendelhető hozzá a sérülékenységhez, ha a CVE Program követelményei teljesülnek, az ügy a Hackrate hatókörébe tartozik, és nem fedi le már meglévő rekord.
A nyilvános rekord előkészítése
A sérülékenység leírása, az érintett termékek és verziók, a hivatkozások és a közreműködők megadása. Indokolt esetben további technikai adatok is bekerülhetnek a rekordba.
A közzététel koordinálása
A rekordot a gyártói jóváhagyással, a javítás előrehaladásával, a nyilvános tájékoztatóval és az egyeztetett közzétételi időponttal összhangban készítjük elő.
A koordináció menete
A jelentéstől a jóváhagyott nyilvános rekordig.
A technikai validálás, a jogosultság és a közzététel egyeztetése egyaránt része a folyamatnak. CVE-támogatás kérése önmagában nem garantál CVE-hozzárendelést.
A kérés elindítása
Hackrate ügyfelek jogosult, Resolved állapotú jelentésből kezdeményezhetnek CVE-támogatást. Külső vállalatok és kutatók első megkeresésükben megadhatják az érintett gyártót, terméket, a jelentés állapotát és a közzététel hátterét.
Hatókör és jogosultság ellenőrzése
Megvizsgáljuk, hogy az ügy CVE-re jogosult sérülékenység-e, a Hackrate az illetékes CNA-e, és nem tartozik-e már a hibához meglévő vagy lefoglalt CVE-azonosító.
Validálás és a rekord összeállítása
Áttekintjük a bizonyítékokat, az érintett termékeket és verziókat, a leírást, a hivatkozásokat, a közreműködőket és a javítás állapotát. Indokolt esetben CWE- vagy CVSS-adatok is előkészíthetők.
Tartalmi jóváhagyás és időzítés
Az érintett vállalat vagy programgazda áttekinti a javasolt nyilvános szöveget, és egyezteti a közzététel időpontját. Ebben a szakaszban CVE-azonosító foglalható, miközben az érzékeny részletek a jóváhagyott közzétételig bizalmasak maradnak.
Közzététel és karbantartás
A közzétételre kész, jóváhagyott rekordot és a kapcsolódó nyilvános tájékoztatót koordináltan publikáljuk. Ha később lényeges információ változik, a rekord a CVE Program szabályai szerint frissíthető.
Három kiindulópont, közös cél
CVE-támogatás ügyfeleknek, vállalatoknak és kutatóknak.
Az indulás módja eltérhet, de a cél ugyanaz: jogosult, validált és nem ismétlődő sérülékenységi rekord, felelős és koordinált közzététellel.
Hackrate ügyfelek
Az arra jogosult ügyfélfelhasználó egy megfelelő, Resolved állapotú jelentésből közvetlenül kérhet CVE-támogatást. A platform a validált jelentés adataiból első tervezetet készít, amelyet a Hackrate felülvizsgál.
Az ügyfél jóváhagyja a nyilvános szöveget és az időzítést. Ezt követően a Hackrate a nyilvános Hacktivity tájékoztatót és a CVE-rekordot kizárólag a közzétételre engedélyezett információkkal koordinálja.
A közzétételhez külön jóváhagyás szükséges; a kérés nem eredményez automatikus publikálást.
Az ügyfélfolyamat bemutatása →Külső vállalatok
Meglévő Hackrate program nélkül is kérhető CVE-koordinációs támogatás. Áttekintjük a lehetséges jogosultságot, a rendelkezésre álló bizonyítékokat és a rekord előkészítéséhez szükséges lépéseket.
Ha az érintett termékhez egy másik CNA egyértelmű illetékességgel rendelkezik, segítünk azonosítani a megfelelő kapcsolódási pontot.
Az illetékesség ellenőrzése segít elkerülni az ismétlődő vagy egymásnak ellentmondó hozzárendeléseket.
Külső CVE-kérés egyeztetése →Kutatók és pentesterek
Független biztonsági kutatók és penetrációs tesztelők is kérhetnek támogatást. Az értékeléshez reprodukálható technikai jelentés, pontos termék- és verzióadatok, valamint a gyártóval történt kapcsolatfelvétel igazolása szükséges.
A koordináció a nyilvános tájékoztató elkészülte előtt is elindulhat. A rekord közzétételekor azonban megfelelő nyilvános hivatkozásnak kell rendelkezésre állnia.
A Hackrate jellemzően az érintett vállalat vagy programgazda jóváhagyását kéri a közzétételi tervhez.
Kutatói CVE-támogatás kérése →Felkészülés a CVE-koordinációra
Pontos adatokból készül használható rekord.
Az előkészítéshez a sérülékenység technikai tartalmát és a közzététel körülményeit is ismerni kell. A részletes információk átadásának módját a koordináció során egyeztetjük.
- Érintett gyártó, termék és verziók
- Reprodukálható technikai leírás és bizonyítékok
- A gyártói kapcsolatfelvétel és a javítás állapota
- Ismert vagy lefoglalt CVE-azonosító, ha van
- Tervezett nyilvános hivatkozás és közreműködői adatok
- A közzétételért felelős kapcsolattartó és egyeztetett időzítés
Mit ír le a rekord?
VDP és opcionális CVE-támogatás
Kapcsolja össze a bejelentést és a koordinált közzétételt.
A Hackrate menedzselt VDP strukturált bejelentési csatornát, technikai validálást, kutatói kommunikációt és követhető kezelést adhat a sérülékenységi jelentésekhez. Ha indokolt a nyilvános azonosító, ehhez CVE-koordináció is kapcsolódhat.
A Cyber Resilience Act kapcsán tervezett vállalati folyamatokban is fontos a bejelentés, a kezelés és a közzététel kapcsolatának tisztázása. Nem minden sérülékenységhez szükséges CVE, és a CVE-támogatás önmagában nem igazol CRA-megfelelést.
A menedzselt VDP megismerése →
Gyakori kérdések
CVE-igénylés, jogosultság és közzététel.
Mi az a CVE-azonosító?
Egy nyilvánosan közzétett kiberbiztonsági sérülékenység egyedi azonosítója. Segít, hogy gyártók, kutatók, védelmi eszközök és adatbázisok következetesen ugyanarra a problémára hivatkozzanak.
Mit jelent a CVE Numbering Authority, azaz CNA?
A CVE Program által felhatalmazott szervezetet, amely meghatározott hatókörben CVE-azonosítókat rendelhet jogosult sérülékenységekhez, és közzéteheti a hozzájuk tartozó rekordokat.
Bármely sérülékenység kaphat CVE-t a Hackrate-től?
Nem. A sérülékenységnek jogosultnak kell lennie, a Hackrate jóváhagyott hatókörébe kell tartoznia, nem lehet ismétlődés, és nem tartozhat egyértelműbben egy másik CNA illetékességébe.
Nyilvánosságra kell hozni a hibát a megkeresés előtt?
A koordinációt jellemzően a nyilvános közzététel előtt érdemes elkezdeni. A folyamat során azonosító foglalható; a rekord publikálásához megfelelő nyilvános tájékoztatót vagy hivatkozást is elő kell készíteni.
Csak Hackrate ügyfelek kérhetnek támogatást?
Nem. Az ügyfelek számára integrált platformfolyamat érhető el, de külső vállalatok és független biztonsági kutatók is kérhetnek CVE-támogatást.
Önálló kutatóként mire lesz szükségem?
Reprodukálható technikai jelentésre, az érintett termékek és verziók azonosítására, a gyártóval történt egyeztetés igazolására és egy elfogadott közzétételi tervre. A részleteket az első egyeztetés során tisztázzuk.
Minden megoldott Hackrate jelentésből CVE készül?
Nem. A CVE-támogatás opcionális és kifejezett kéréshez kötött. A jelentésnek a hatóköri, jogosultsági, validálási, ismétlődési és közzétételi ellenőrzéseken is át kell mennie.
Ez az oldal új sérülékenységek bejelentési csatornája?
Ez az oldal a CVE-koordinációról tájékoztat. Új sérülékenységet az érintett program, gyártó vagy szolgáltatás kijelölt bejelentési csatornáján jelentsen. Az elérhető Hackrate programok a programkatalógusban tekinthetők meg.
Mennyi ideig tart a CVE-koordináció?
A technikai validálástól, a gyártói válaszoktól, a javítás előrehaladásától, a hatókör és az ismétlődések ellenőrzésétől, valamint az egyeztetett közzétételi dátumtól függ. A rekord a szükséges egyeztetések és jóváhagyások után publikálható.
CVE-támogatást keres?
Egyeztessük a következő lépést a CVE közzététele felé.
Hackrate ügyfélként, érintett vállalatként vagy biztonsági kutatóként is kérhet támogatást. A nyilvános közzététel előtt áttekintjük a jogosultságot, a hatókört és az egyeztetés feltételeit.
CVE-támogatás kérése A kapcsolatfelvételi oldal jelenleg angol nyelvű. Új sérülékenységet az érintett program bejelentési csatornáján jelentsen.