Национальная база уязвимостей США (NVI) временно прекратил анализ угроз безопасности. Об этом сообщается на главной странице официального сайта NVI. Последнее обновление ресурса датировано 8 марта, но фактически работа была приостановлена ещё 12 февраля 2024 года. То же самое происходит и с базой данных известных уязвимостей в области информационной безопасности — Common Vulnerabilities and Exposures (CVE). Она поддерживается Министерством внутренней безопасности, Агентством по кибербезопасности и защите инфраструктуры (CISA) США и корпорацией MITRE.
Об этой проблеме сообщил исследователь компании Morphisec Брэд ЛаПорте. Он уточнил, что в 42% случаев CVE отсутствует важная информация, включая оценку серьёзности угрозы и данные о затронутых продуктах. Кроме того, тысячи уязвимостей ожидают анализа. На момент 11 марта в базе данных NVI содержится более 2400 записей без обновления. NIST не предоставил объяснений о причинах приостановки анализа, сославшись на необходимость улучшения рабочих процессов и создание некоего консорциума.
На веб-портале Национального института стандартов и технологий США (NIST), где размещена база NVI, опубликовано следующее сообщение:
«В данный момент NIST занимается формированием консорциума для решения проблем в рамках программы NVI и создания улучшенных инструментов и методик. В процессе этого перехода возможны временные задержки в анализе. Мы приносим свои извинения за причиненные неудобства и просим проявить терпение, пока мы работаем над совершенствованием программы NVI».
Эксперты считают сложившуюся ситуацию кризисной и предупреждают о возможных кибератаках. Они объясняют, что отсутствие актуальной информации об угрозах создаёт значительные риски для организаций, которые полагаются на NVI для определения приоритетов уязвимостей и их устранения. Без актуальных оценок серьёзности и данных о затронутых продуктах организации не могут оценить потенциальное воздействие и срочность вновь обнаруженных уязвимостей. Это затрудняет принятие решений о стратегии управления исправлениями и снижении рисков, что в конечном итоге увеличивает вероятность кибератак.
Источник 1. Источник 2.
Об этой проблеме сообщил исследователь компании Morphisec Брэд ЛаПорте. Он уточнил, что в 42% случаев CVE отсутствует важная информация, включая оценку серьёзности угрозы и данные о затронутых продуктах. Кроме того, тысячи уязвимостей ожидают анализа. На момент 11 марта в базе данных NVI содержится более 2400 записей без обновления. NIST не предоставил объяснений о причинах приостановки анализа, сославшись на необходимость улучшения рабочих процессов и создание некоего консорциума.
На веб-портале Национального института стандартов и технологий США (NIST), где размещена база NVI, опубликовано следующее сообщение:
«В данный момент NIST занимается формированием консорциума для решения проблем в рамках программы NVI и создания улучшенных инструментов и методик. В процессе этого перехода возможны временные задержки в анализе. Мы приносим свои извинения за причиненные неудобства и просим проявить терпение, пока мы работаем над совершенствованием программы NVI».
Эксперты считают сложившуюся ситуацию кризисной и предупреждают о возможных кибератаках. Они объясняют, что отсутствие актуальной информации об угрозах создаёт значительные риски для организаций, которые полагаются на NVI для определения приоритетов уязвимостей и их устранения. Без актуальных оценок серьёзности и данных о затронутых продуктах организации не могут оценить потенциальное воздействие и срочность вновь обнаруженных уязвимостей. Это затрудняет принятие решений о стратегии управления исправлениями и снижении рисков, что в конечном итоге увеличивает вероятность кибератак.
Источник 1. Источник 2.
Отслеживать уязвимости непросто и трудозатратно. Для 100% выполнения работы нужно иметь два укомплектованных отдела ИБ и ИТ. Первые будут мониторить и выявлять уязвимости, вторые их устранять. Давайте будем честны, это дорого.
Есть такой подход - управление уязвимостями. Циклический процесс сканирования, выявления и устранения уязвимостей. И так далее по кругу. В нем 5 этапов.
Есть такой продукт - MaxPatrol VM. Его главная задача выполнять 4 из 5 пунктов за вас. Автоматизировано. Самое главное и сложное - настроить его работу под вашу структуру компании. Этим занимаемся мы - Экстрим Безопасность. Сотрудникам остается устранять уязвимости. Не все подряд, а действительно критически значимые. MavPatrol VM покажет и точно тыкнет пальчиком где эти уязвимости.
Информацию о существующих уязвимостях он получает непосредственно от разработчиков Positive Technologies. Все новые уязвимости подгружаются в течение 12 часов. Вам не нужно мониторить их вручную.
Мы проводим бесплатные пилоты в вашей инфраструктуре. Оставить свой контакт на обратный звонок можно внизу этой страницы.
Есть такой подход - управление уязвимостями. Циклический процесс сканирования, выявления и устранения уязвимостей. И так далее по кругу. В нем 5 этапов.
Есть такой продукт - MaxPatrol VM. Его главная задача выполнять 4 из 5 пунктов за вас. Автоматизировано. Самое главное и сложное - настроить его работу под вашу структуру компании. Этим занимаемся мы - Экстрим Безопасность. Сотрудникам остается устранять уязвимости. Не все подряд, а действительно критически значимые. MavPatrol VM покажет и точно тыкнет пальчиком где эти уязвимости.
Информацию о существующих уязвимостях он получает непосредственно от разработчиков Positive Technologies. Все новые уязвимости подгружаются в течение 12 часов. Вам не нужно мониторить их вручную.
Мы проводим бесплатные пилоты в вашей инфраструктуре. Оставить свой контакт на обратный звонок можно внизу этой страницы.