Задержки в обновлении NVD усугубляют угрозу кибератак

NVD, национальная база данных уязвимостей США, управляемая Национальным институтом стандартов и технологий (NIST), столкнулась с серьёзными проблемами в обработке данных. На протяжении последних трёх месяцев, начиная с середины февраля 2024 года, база переживает значительные задержки в публикации новых уязвимостей. Эти задержки начались из-за перехода к новому формату данных CVE — JSON, что привело к полной остановке публикаций с 9 мая.

С начала года из 14 286 полученных уведомлений об уязвимостях было обработано лишь 4524, оставляя значительное количество критических данных неопубликованными. Это создало серьёзные риски для кибербезопасности, так как множество компаний зависят от своевременного обновления данных NVD для защиты своих систем.

На конференции RSA, Эммануэль Чавойя, генеральный директор RiskHorizon.ai, подчеркнул, что необработанные уязвимости уже активно эксплуатируются злоумышленниками. В ответ на проблемы с задержками NIST недавно возобновил публикации после завершения обновления системы 14 мая. Однако, чтобы справиться с накопленным бэклогом, был создан специальный консорциум.

Компания RiskHorizon.ai разработала платформу «NVD Backlog Tracker», которая анализирует и публикует информацию о 85% необработанных уязвимостей. Эта услуга платная, но она предоставляет критически важные данные о критичности уязвимостей и их эксплуатации. Другие организации, такие как Trend Micro и VulnCheck, также предложили свои ресурсы для мониторинга уязвимостей.

CISA и MITRE приняли дополнительные меры для улучшения ситуации. CISA запустила программу Vulnrichment, которая добавляет метаданные к уязвимостям, а MITRE обновила правила для организаций, присваивающих CVE, чтобы повысить эффективность и скорость обработки уязвимостей.

Эксперты подчеркивают, что для полного решения проблемы необходимо автоматизировать процесс обнаружения и публикации уязвимостей, что позволит оперативнее реагировать на новые угрозы и минимизировать возможности для их эксплуатации злоумышленниками.