CVE: как два инженера создали единый идентификатор для всех уязвимостей мира

До конца 1990-х годов в мире информационной безопасности не существовало единого способа называть уязвимости. Одна и та же проблема могла фигурировать в разных базах под разными именами, что порождало путаницу: специалисты не могли сверить данные, вендоры — корректно ссылаться на баги, а аналитики — строить сравнимую статистику. Именно этот хаос подтолкнул двух инженеров к созданию идентификатора, который в итоге связал все уязвимости мира в единую систему.

Подробности

Согласно первоисточникам 1999 года, инициатива появилась как ответ на практическую проблему: одна уязвимость получала дюжину названий в разных базах. Это затрудняло сопоставление записей, автоматизацию обработки данных и обмен информацией между командами. Решением стал CVE — Common Vulnerabilities and Exposures, общий идентификатор, присваиваемый каждой уязвимости.

Ключевым элементом проекта стал стенд, за которым конкуренты — компании и исследовательские группы — договорились «дружить» ради общей цели. Взаимодействие позволило сформировать единое пространство имён, где каждая уязвимость получает уникальный номер и однозначную привязку к записям в различных базах. На момент запуска система насчитывала 321 запись — скромное, но принципиально важное начало.

Именно этот стандарт лёг в основу современной практики: сегодня CVE используется для ссылок в бюллетенях безопасности, базах уязвимостей, системах сканирования и отчётах об инцидентах. Он позволяет однозначно идентифицировать проблему независимо от того, в какой базе она описана.

Что делать

История CVE — не только ретроспектива, но и практический урок для современных команд информационной безопасности:

• Используйте CVE как единый язык при обмене данными об уязвимостях внутри организации и с внешними партнёрами;
• Сверяйте записи в разных базах по идентификатору CVE, чтобы избежать дублирования и путаницы при обработке инцидентов;
• Учитывайте, что отсутствие единого идентификатора в прошлом приводило к ошибкам сопоставления — сегодня это решается стандартизацией;
• При построении процессов управления уязвимостями опирайтесь на признанные стандарты идентификации, чтобы автоматизация работала корректно.

Инициатива двух инженеров, начавшаяся с 321 записи, превратилась в фундамент глобальной системы обмена данными об уязвимостях. CVE доказал, что даже конкуренты способны договориться, когда на кону стоит общая безопасность.

Источник: Хабр — Информационная безопасность