Diferencia entre revisiones de «Common Vulnerabilities and Exposures»
Contenido eliminado Contenido añadido
mSin resumen de edición |
mSin resumen de edición |
||
Línea 23:
* El formato para las entradas CVE es: CVE-YYYY-NNNN (YYYY indica el año y NNNN el número de vulnerabilidad). Desde enero de 2014 este identificador puede contener, si es necesario, más de cuatro dígitos.<ref name="foro">[https://empresas.blogthinkbig.com/ocho-siglas-relacionadas-con-las-6/ Ocho siglas relacionadas con las vulnerabilidades (I): CVE]. ElevenPaths. 3 enero de 2014 </ref>
* El formato para las entradas candidatas a entrar en el CVE es: CAN-YYYY-NNNN (YYYY indica el año y NNNN el número de vulnerabilidad)
== Coordinación con otras organizaciones ==
la '''MITRE CVE List''' funciona como un sitio centralizado de vulnerabilidades con el que colaboran organizaciones acreditadas en distintos países. A estas organizaciones se les llama '''Autoridades de Numeración de CVE''' o '''CNA''' (del inglés ''CVE Numbering Authority'') y sus funciones principales son identificar vulnerabilidades, asignar identificadores CVE, informar al MITRE de sus descubrimientos y publicar información sobre vulnerabilidades. Todo ello de forma coordinada con el MITRE. El MITRE es considerado como el CNA primario.<ref name="strails">[https://securitytrails.com/blog/what-is-cve#top-4-cve-databases What is CVE? - Common Vulnerabilities and Exposures]. SecurityTrails. 10 de Diciembre de 2019</ref>
Para ser CNA se tiene que acreditar haber establecido ciertas prácticas de gestión de vulnerabilidades así como una política de divulgación de vulnerabilidades adecuada. Típicamente los CNA's que son empresas vinculadas al software, [[Equipo de Respuesta ante Emergencias Informáticas|CERT's]] (tanto nacionales como empresas) y organizaciones vinculadas al estudio de vulnerabilidades.<ref name="strails"/>
Dentro de los CNA están los '''CNA Raíz''' que son organizaciones que cubren cierta área o nicho y controlan al resto de CNA's dentro de ese nicho. En muchos casos, son compañías importantes, que gestionan vulnerabilidades de sus propios productos (por ejemplo, Apple y Microsoft), o están enfocados en cierto tipo de vulnerabilidad (por ejemplo, Red Hat para software libre).<ref name="strails"/>
== Referencias ==
| |||