Компания Positive Technologies открыла портал, где аккумулируются данные об уязвимостях в ПО и оборудовании производителей со всего мира. Регулярно обновляемая база позволит этичным хакерам, специалистам по ИБ и компаниям всегда быть в курсе актуальных уязвимостей.
Компания сообщает, что уже сейчас на площадке можно найти максимально полные сведения о 317 000 уязвимостей и выявивших их исследователях, а также рекомендации вендоров, чтобы быстро устранить пробелы в защите.
В Positive Technologies пояснили, что запуск портала происходит на фоне периодически появляющихся новостей об остановке обновлений баз общеизвестных уязвимостей National Vulnerability Database и Common Vulnerabilities and Exposures (CVE), а также о сокращении финансирования работы MITRE, которая присваивает им унифицированные идентификаторы.
Такие задержки дают фору злоумышленникам, позволяя им воспользоваться еще не устраненными уязвимостями. Без этих сведений компании, не зная конкретные слабые места, не имели возможности вовремя обновлять свою инфраструктуру, а разработчики — добавлять в СЗИ соответствующие сигнатуры для выявления актуальных атак.
Помимо скорости обработки и публикации данных об уязвимостях, международное и российское ИБ-сообщества отмечали недостаточную точность и полноту предоставления информации о брешах. В CVE/NVD (в отличие от БДУ ФСТЭК) попадают не все данные от российских исследователей.
«Увидев этот запрос мировой индустрии кибербезопасности, Positive Technologies создала общедоступный портал, на котором намерена размещать всеобъемлющую информацию обо всех найденных уязвимостях, статусе их исправления и степени критичности. Сейчас в каталоге фигурируют сведения более чем о 300 000 брешей и 45 000 исследователях. В среднем еженедельно публикуется тысяча новых записей», — сообщают в компании.
В Positive Technologies заявляют, что ключевое нового отличие портала от других баз заключается в объеме и качестве данных. Так, специалисты компании агрегируют информацию о каждой уязвимости из множества источников (баз CVE и NVD, с площадок Reddit, X.com, Telegram), затем с помощью LLM готовят сводное описание, которое должна быть более подробным по сравнению с существующими базами.
Исследователи, сообщившие о проблемах безопасности, например, не указываются в реестре MITRE, однако компания считает важным отмечать эту деталь на своем портале. Используя нейросеть, которая извлекает информацию с официальных сайтов вендоров, эксперты идентифицируют исследователей и включают их имена в базу. Помимо этого, портал предоставляет информацию об уязвимостях, которые активнее всего обсуждают участники сообществе на отраслевых площадках, чтобы составить рейтинг самых трендовых уязвимостей.
В будущем Positive Technologies планирует расширять функциональность портала. Например, к фильтрации умной ленты для упрощения поиска по конкретным продуктам добавится функция получения личных фидов.
Также у исследователей появится возможность создавать личные профили, публиковать информацию о своих достижениях, как на bug bounty платформах. Кроме того, пользователи платформы смогут подписываться на интересных им исследователей и комментировать записи.