sårbarhetsidentifikatorer

Sårbarhetsidentifierare är unika koder som används för att referera till kända sårbarheter i mjukvara, operativsystem och annan infrastruktur. Genom att tilldela en stabil identifierare blir det lättare att kommunicera, söka information och hantera risker över olika verktyg och organisationer.

Den mest använda standarden för sårbarhetsidentifiering är Common Vulnerabilities and Exposures (CVE). Varje sårbarhet tilldelas ett CVE-ID i formatet CVE-YYYY-NNNN, till exempel CVE-2023-12345. Systemet Förvaltas i samarbete mellan MITRE och olika CVE Numbering Authorities (CNA) som tilldelar identifierare. National Vulnerability Database (NVD) samlar CVE-poster, kompletterar dem med analys, referenser och CVSS-poäng.

Andra relaterade registries och standarder används tillsammans med CVE. Common Platform Enumeration (CPE) används för att identifiera produkter och versioner som påverkas av en sårbarhet. Common Weakness Enumeration (CWE) klassificerar typer av mjukvaruproblem eller svagheter. Common Vulnerability Scoring System (CVSS) ger ett poängsystem för att bedöma sårbarhetens svårighetsgrad och exploaterbarhet.

Processen för att få ett sårbarhetsidentifierare innefattar vanligtvis upptäckt av en sårbarhet, inlämning till en CVE Numbering Authority, tilldelning av ett CVE-ID och senare uppdateringar när mer information blir tillgänglig. Identifieraren möjliggör automatisering, rapportering och jämförelse över olika källor, men kan också innebära begränsningar vid duplicering eller fördröjningar i godkännande.

Användningen av sårbarhetsidentifierare är central inom säkerhetsarbete som riskbedömning, patchhantering och hotinformation.