CNA nedir?
CNA (CVE Numbering Authority, CVE Numaralandırma Otoritesi), CVE programı kapsamında yeni keşfedilen güvenlik açıklarına CVE kimlik numarası atamaya yetkili kuruluşlardır. Yazılım üreticileri, açık kaynak projeleri, araştırma kuruluşları ve güvenlik firmaları CNA olabilir. Her CNA, yalnızca kendi kapsamındaki ürünler için numara verebilir.
Bu dağıtık yapı, açığın ürün sahibine en yakın kuruluş tarafından hızlıca numaralandırılmasını ve kayda geçmesini sağlar. CVE kaydındaki açıklamayı ve referansları da genellikle ilgili CNA hazırlar.
Nasıl çalışır?
CVE programı MITRE tarafından yürütülür ve bir kuruluş, programa katılım başvurusuyla CNA olur. Programda kuralları belirleyen bir kapsam tanımı ve kurallar belgesi vardır. CNA’lar kapsamlarına göre ayrılır; örneğin kendi ürünleri için numara veren üreticiler ya da belirli bir alanda araştırma yapanlar.
Bir araştırmacı açığı ürün sahibine bildirdiğinde, ürün sahibi bir CNA ise CVE numarasını kendisi atar. Ürünün CNA’sı yoksa, uygun kapsamdaki başka bir CNA ya da programın son başvuru mercii olan CNA devreye girer. Atanan kayıt, ardından CVE listesinde yayımlanır.
Sunucu ve hosting ortamında
Sunucuda kullandığınız çoğu yazılımın (işletim sistemi dağıtımları, web sunucuları, kontrol panelleri, veritabanları) üreticisi ya da projesi bir CNA’dır. Bu yüzden güvenlik bültenlerindeki CVE numaraları, ürünün resmi kaynağından gelir. Bir CVE kaydındaki bilgileri okurken kaydı kimin yayımladığını görmek, verinin güvenilirliği hakkında fikir verir.
Nelere dikkat edilmeli?
- Bir güvenlik açığı hakkında önce üreticinin ya da ilgili CNA’nın yayımladığı resmî bültene bakın.
- CVE kaydındaki etkilenen sürüm bilgilerini kendi sürümünüzle dikkatle karşılaştırın.