Materiał dodatkowy: bazy danych podatności

Poza normą

Ta strona nie jest częścią ISO/IEC 27002. To materiał pomocniczy do zabezpieczeń 8.8 Zarządzanie podatnościami technicznymi i 5.7 Analiza zagrożeń. Norma wymaga źródeł informacji o podatnościach, ale nie wskazuje konkretnych.

Identyfikatory i oceny

• CVE — rejestr unikalnych identyfikatorów podatności (np. CVE-2024-3094), prowadzony w ramach programu CVE sponsorowanego przez CISA; MITRE pełni rolę sekretariatu programu. Dawny adres cve.mitre.org przekierowuje na cve.org.
• NVD (National Vulnerability Database) — baza NIST wzbogacająca wpisy CVE o oceny CVSS, klasyfikację CWE i dane o produktach.
• EPSS — model FIRST szacujący prawdopodobieństwo wykorzystania podatności w najbliższych 30 dniach; pomaga ustalać priorytety.

Podatności wykorzystywane w atakach

• CISA KEV (Known Exploited Vulnerabilities) — katalog podatności, o których wiadomo, że są wykorzystywane. Dobra lista „łataj najpierw”.
• Exploit Database — archiwum publicznych exploitów; pokazuje, dla których podatności istnieje gotowy kod ataku.

Ekosystemy oprogramowania

• OSV — rozproszona baza podatności w projektach open source dla wielu ekosystemów (m.in. npm, PyPI, Go, Maven, crates.io, RubyGems), z narzędziem OSV-Scanner.
• GitHub Advisory Database — porady bezpieczeństwa dla pakietów, wykorzystywane przez Dependabota.

Dostawcy i koordynatorzy

• CERT/CC Vulnerability Notes — raporty koordynowanego ujawniania podatności.
• CERT Polska — ostrzeżenia i publikacje o podatnościach istotnych w Polsce.
• Microsoft Security Update Guide — podatności i poprawki produktów Microsoft.
• Red Hat Security Data — dane o podatnościach w produktach Red Hat, także w formatach do automatyzacji.

SecurityFocus (BugTraq) z dawnej wersji tej strony nie jest już prowadzony.