National Vulnerability Database (NVD)

Проще говоря, «National Vulnerability Database (NVD)» помогает команде найти или подтвердить слабое место, оценить реальный риск и проверить исправление. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

В практике ИБ термин «National Vulnerability Database (NVD)» используют так: его применяют при поиске слабых мест, подтверждении эксплуатации, оценке риска и контроле исправлений. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

В согласованных границах проверки специалист опирается на понятие «National Vulnerability Database (NVD)», сохраняет воспроизводимое доказательство и передаёт владельцу системы риск и способ исправления.

• Known Exploited Vulnerabilities (KEV)KEV — каталог известных эксплуатируемых уязвимостей, требующих приоритетного внимания при управлении риском.
• Бюллетень безопасностиБюллетень безопасности — уведомление поставщика или организации о уязвимости, риске, исправлении и рекомендациях.
• Компенсирующий контрольКомпенсирующий контроль — мера, уменьшающая риск, когда основное исправление временно невозможно или недостаточно.

1. Обнаружить потенциальную слабостьВ контексте «National Vulnerability Database (NVD)» находят условие, поверхность или сценарий для проверки.
2. Подтвердить воспроизводимостьБезопасным способом проверяют затронутый объект и необходимые предпосылки.
3. Оценить практический рискТехнический результат связывают с экспозицией, угрозой и последствиями для бизнеса.
4. Устранить и повторно проверитьИзменение подтверждают ретестом, не ограничиваясь отметкой о выполненной задаче.