CPE nedir?
CPE (Common Platform Enumeration, Ortak Platform Numaralandırma), yazılım, donanım ve işletim sistemi ürünlerini standart bir adlandırma biçimiyle tanımlayan sistemdir. Üretici, ürün adı ve sürüm gibi bilgileri tek bir kimlik dizgesine dönüştürerek bir açığın hangi ürünleri etkilediğini makinece okunabilir hâle getirir.
Aynı ürün farklı kaynaklarda farklı adlarla geçebilir. CPE bu karışıklığı ortadan kaldırarak ürün eşleştirmesini otomatikleştirir.
Nasıl çalışır?
Bir CPE kimliği üretici, ürün, sürüm ve güncelleme gibi alanları sabit bir sırayla içerir. NVD kayıtlarında bir CVE için etkilenen ürün ve sürümler CPE ile belirtilir. Zafiyet tarayıcıları, sunucudaki yazılımları CPE adlarıyla eşleştirerek hangi açıkların uygulanabilir olduğunu belirler.
- Üretici ve ürün adı
- Sürüm numarası
- Güncelleme ve sürüm türü gibi ek nitelikler
Sunucu ve hosting ortamında
Sunucudaki Apache, Nginx, PHP, OpenSSL ve diğer bileşenlerin envanteri çıkarıldığında, her bileşenin CPE karşılığı ilgili CVE kayıtlarını bulmak için kullanılır. Otomatik zafiyet yönetimi araçları bu eşleştirmeyi arka planda yapar.
Eşleştirme her zaman kusursuz değildir. Dağıtımlar yamaları backport ettiği için ya da ürün adları farklı yazıldığı için yanlış pozitif ve yanlış negatif sonuçlar oluşabilir.