Глобальная система отслеживания уязвимостей CVE на грани закрытия
Программа CVE, служащая мировым стандартом для отслеживания киберугроз, рискует остаться без государственной поддержки уже 16 апреля. Это может нарушить работу крупнейших ИТ-компаний и поставить под угрозу координацию в сфере кибербезопасности по всему миру.
Содержание
Что такое CVE и почему это критично
Система Common Vulnerabilities and Exposures (CVE), действующая с 1999 года, позволяет идентифицировать и классифицировать уязвимости в программном обеспечении и оборудовании. Каждой уязвимости присваивается уникальный идентификатор — вроде CVE-2022-27254, — по которому специалисты по безопасности могут отслеживать угрозы, сравнивать данные и оперативно реагировать.
Этой базой ежедневно пользуются такие гиганты, как Microsoft, Google, Apple, Intel, AMD и многие другие. Она помогает оценить уровень опасности уязвимостей и выстроить приоритеты по их устранению.
Контракт MITRE с правительством США подходит к концу
Организация MITRE, на протяжении многих лет отвечавшая за развитие и поддержку CVE, подтвердила, что её контракт с правительством США истекает 16 апреля. Именно MITRE, финансируемая Министерством внутренней безопасности и Агентством по киберинфраструктуре США (CISA), обеспечивает работу CVE как независимого и нейтрального инструмента.
Без продления соглашения MITRE больше не сможет поддерживать работу системы, включая её модернизацию и обслуживание.
Возможные последствия: дезорганизация и пробелы в защите
Эксперты уже бьют тревогу. Исследователь в области кибербезопасности Лукаш Олейник заявил, что прекращение поддержки CVE может привести к «дезорганизации в индустрии» и «ослаблению глобальных систем защиты». Без общего реестра разработчики, аналитики и системные администраторы не смогут уверенно говорить об одних и тех же уязвимостях, что создаст хаос в координации и обмене информацией.
Кроме того, под угрозой оказывается и связанная система Common Weakness Enumeration (CWE), отвечающая за классификацию типовых слабых мест в коде и архитектуре ПО.
Пока надежда сохраняется
В официальном комментарии для The Verge вице-президент MITRE Йосри Барсум подчеркнул, что организация продолжает поддерживать CVE и надеется на сохранение финансирования. В правительстве США также прилагаются усилия для продления поддержки, однако решение до сих пор не принято.
Тем временем в Сети уже появились внутренние письма к членам совета CVE, свидетельствующие о неопределённости вокруг будущего проекта.
