NVD nedir?
NVD (National Vulnerability Database, Ulusal Zafiyet Veritabanı), ABD’de NIST tarafından yürütülen ve CVE kayıtlarını ek bilgilerle zenginleştiren zafiyet veritabanıdır. Her kayıt için CVSS puanı, zayıflık türü ve etkilenen ürün bilgileri gibi ayrıntılar sunar.
CVE kimlik numarasını verir; NVD ise o numaranın etrafına ek bilgi katmanı ekler. Güvenlik ekipleri ve tarama araçları bu bilgileri otomatik olarak kullanır.
Nasıl çalışır?
Bir zafiyet CVE numarası aldıktan sonra NVD kaydı oluşturulur ve zamanla analiz edilerek zenginleştirilir. Kayıtta genellikle şunlar bulunur:
- Zafiyetin kısa açıklaması
- CVSS temelli şiddet puanı
- CWE ile zayıflık sınıflandırması
- CPE ile etkilenen ürün ve sürümler
- Referanslar ve yama bağlantıları
Kayıtların analiz süresi değişebilir; yeni yayımlanan bir CVE için ayrıntılar hemen eksiksiz olmayabilir.
Sunucu ve hosting ortamında
Sunucudaki yazılımlarda (PHP, OpenSSL, Apache, Nginx, cPanel bileşenleri) çıkan açıkları NVD üzerinde aramak, etkilenen sürümleri ve düzeltme durumunu öğrenmenin yaygın yoludur. Zafiyet tarayıcıları ve envanter araçları NVD verisini kullanarak sunucunuzdaki paketleri eşleştirir.
Ancak dağıtımlar yamaları backport edebildiği için NVD’deki sürüm bilgisini dağıtımın kendi güvenlik bülteniyle birlikte yorumlamak gerekir.