Das eigentliche Problem sei nicht der Rückstau als solcher, argumentiert Moody – Rückstaus seien in jedem schnell wachsenden System zu erwarten. Entscheidend sei vielmehr, wie er verwaltet wird und welches Signal die Entscheidung aussendet, neuere Schwachstellen gegenüber älteren, unverarbeiteten zu bevorzugen.
Denn wer die Anreicherung auf aktuelle CVEs konzentriert, stuft damit implizit Schwachstellen herab, die bereits bekannt und bestätigt sind und teils von Herstellern oder Forschern aktiv diskutiert werden – ihnen fehlt lediglich der vollständige NVD-Kontext. Das Ergebnis ist eine besonders unangenehme Informationsasymmetrie: Teilwissen ohne jene zweite Hälfte, die es unmittelbar handhabbar macht. Sicherheitsteams, die die NVD als normalisierte Quelle nutzen, sehen unvollständige oder verzögerte Daten. Angreifer dagegen müssen keine standardisierte Anreicherung abwarten, um Herstellerhinweise, Forschungsergebnisse, Patch-Veröffentlichungen, Exploit-Informationen und öffentliche Offenlegungen miteinander zu verknüpfen.
Die Anreicherung ist dabei alles andere als Kosmetik: Strukturierte Metadaten, Angaben zu betroffenen Plattformen, Schweregrad-Bewertungen und Konfigurationsdetails entscheiden darüber, ob eine Lücke die eigene Umgebung überhaupt betrifft und wie dringend sie zu behandeln ist. Fehlen diese Angaben, bleibt Organisationen nur, auf zusätzlichen Kontext zu warten oder auf Basis fragmentierter Informationen zu entscheiden – in einer Lage, in der Ausnutzung schneller sein kann als interne Validierung und Behebung.
Hinzu kommt ein schwer messbarer Zweitrundeneffekt: Ein Rückstau, der laufend gefüllt und zugleich nur selektiv abgebaut wird, erzeugt Unsicherheit über die Abdeckung. Ohne verbindliche Zusage, ältere Einträge innerhalb eines definierten Zeitraums zu bearbeiten, wird der Rückstau zum Dauerzustand: Manche Schwachstellen werden zügig angereichert, andere bleiben im Ungewissen – und es ist kaum erkennbar, in welche Kategorie ein bestimmtes CVE gerade fällt.
Für die Praxis erschwert das die Priorisierung erheblich. Sind Angaben zu betroffenen Produkten wie CPE-Daten unvollständig oder zu grob, steigt das Risiko von Fehlalarmen: Teams untersuchen Schwachstellen, die ihre Umgebung gar nicht betreffen, und übersehen womöglich reale Risiken. Auf Dauer, so Moody, untergräbt das das Vertrauen in den Datensatz und treibt Organisationen dazu, alternative Intelligence-Pipelines aufzubauen – mit zusätzlichen Kosten, Werkzeugen, betrieblicher Komplexität und steigenden Fehlerquoten.
Ein Vorwurf an NIST sei damit nicht verbunden: Das Skalenproblem sei real, das bestehende Modell für die heutigen Datenmengen schlicht nicht entworfen worden. Der Kompromiss verschiebe die Verantwortung jedoch nach unten. Organisationen müssten sich weniger auf eine einzige maßgebliche Quelle stützen und stärker über mehrere Quellen hinweg korrelieren: NVD, Herstellerhinweise, unabhängige Anbieter von Schwachstellen-Intelligence, Threat-Intelligence-Plattformen und interne Asset-Inventare.
Die NVD bleibe damit ein kritischer Bestandteil des Ökosystems, funktioniere für sich genommen aber nicht mehr als umfassende Grundlage – sondern als eine Eingabe unter vielen, die der Realität der Ausnutzung deutlich hinterherhinken kann. Die maßgebliche Frage laute daher nicht mehr nur „Welche Schwachstellen existieren?", sondern: Welche betreffen uns, welche bergen das größte Risiko, und wie schnell können wir handeln?
Action1 selbst kombiniert nach eigenen Angaben Informationen aus Quellen wie VulnCheck NVD++, NIST NVD, dem KEV-Katalog der CISA, den MSRC-Daten von Microsoft und Release Notes der Hersteller. Jede Schwachstelle wird anhand von CVE-Daten, CVSS-Schweregrad, KEV-Status und bekannter Verwendung in Ransomware-Kampagnen bewertet; die Erstpriorisierung soll binnen Minuten vorliegen und mit Echtzeit-Endpunktdaten korreliert werden, um Bewertung und Behebung im selben Arbeitsablauf zu halten.
(Gesponserter Beitrag, verfasst von Action1.)