(日期:][下一个日期][线程:][线程下][日期索引][线程索引]
2018年10月CVE - 3董事会会议总结
- 来:CVE编委会讨论<cve-editorial-board-list@mitre.org>
- 主题2018年10月- 3:CVE董事会会议总结
- 从:常见的漏洞和风险敞口<cve@mitre.org>
- 日期-0400年:星期五,2018年10月12日16:10:08
- 接收语言:en - us
- Authentication-results:mitre.org;dkim = none(消息没有签署)header.d =没有;mitre.org;dmarc =没有行动=没有header.from = mitre.org;
- 交货日期:2018年10月12日16:45:36星期五
- Thread-index:AdRiXhky4hHweRbRQ6mIav6kUIz / bQ = =
- Thread-topic2018年10月- 3:CVE董事会会议总结
|
2018年10月CVE董事会会议- 3
董事会成员参加
马克•考克斯红帽公司。
威廉•考克斯集成电路制造有限公司委托新思科技有限公司
肯特Landfield迈克菲
斯科特•摩尔IBM
丽莎·奥尔森微软
Kurt Seifried,云安全联盟
孝中山教授,松下公司
肯•威廉姆斯CA技术
横切CVE团队的成员参加
乔集市 克里斯棺材
乔纳森埃文斯 乔祈神保佑 乔治Theall 其他与会者 克里斯·约翰逊(NIST)
议程 下午2 - 15:介绍,从上次会议行动项——克里斯棺材 2:15 - 2:工作组
2:30 - 2:45:CNA更新 ·DWF——Kurt Seifried ·主教法冠——乔纳森埃文斯 ·JPCERT——塔基•中山教授
2:45 - 3:00:板作业:如何宣传CVE标准给社区- - - - - -董事会讨论
3 - 3:范围涉及CVE的用户注册中心——Kurt Seifried
3 - 50分:CVE作业结束的生命和不支持的产品- - - - - -克里斯棺材 美东- 4:行动项目,总结——克里斯棺材
回顾上次会议行动项——2018年9月19日
工作小组更新
CNA更新
公开讨论项目
o
见下文
克里斯问董事会以下问题:
§
集团同意向卖方CNA不会是必要的,如果超出范围的。然而,如果说一切都覆盖范围,然后供应商CNA决定如果他们想覆盖它,否则它会升级到父CNA。
会议行动项
董事会的决定
·
没有一个
未来讨论的话题
4)CNA范围问题 董事会讨论了CNA文档需要在角色和职责,当前文档是不清楚,CNA分配CVE的范围内。可能或不可能覆盖范围CVE为他们的客户。
o
CNA规则——必须响应规则状态CNAs但不提供一个特定的时间框架。规则的国家如果CNA计划分配的CVE漏洞另一个供应商的产品,分配CNA应该与供应商联系。供应商将做出决定。
o
新方法必须和根源——一个给定的根有一个范围。范围被委托给一个CNA的一部分(即。、产品或的研究领域)。如果没有范围的一部分委托给CNA,范围保持的根。这是根的责任CVE分配CNA的最后一招。
o
行动项目——CNA规则需要更新,以反映这种新方法。
5)消除重复CVE作业的讨论
o
董事会讨论,指定CNA范围将帮助消除重复CVE作业。艺术解释说,在开放的沟通与其他必须做CVE作业时是至关重要的;保持这种通信在CNA级别(而不是在根/初级水平)将帮助与重复。
o
建议1:建议需要添加CNA训练过程。
o
建议2:CNA规则需要更新,以减少重复作业。
o
乔纳森说重复的CVE作业发生DWF的大多数。 6)研究员必须
o
董事会讨论研究必须与模糊的范围。这些必须发布成千上万的cf。
o
建议1:避免增加任何新研究员CNAs直到有特定的资格和合格的研究员CNA指南。这包括定义范围规则有待讨论。
o
建议2:让研究人员必须自然编程范围。
o
建议3:研究人员必须改变过程。负责协调IDs的任务吗?谁问题CVE ID和填充信息?公司应该有一个更简单的方法来请求一个CVE ID。
o
建议4:更好的为研究员必须定义角色和职责。
o
建议5:需要解决研究者之前新员工培训其他研究员CNAs CNA模棱两可的范围问题。
o
建议6:探索的可能性,研究人员参与CNA程序没有成为必须。
o
建议七:需要一个测试/认证项目必须确保他们能够充分履行角色,特别是研究人员。
o
董事会同意探索更好的解决方案关于研究员CNA模棱两可的范围问题。
7)
根必须有效地实施
o
需要进一步讨论关于如何更有效地实施根CNAs。
o
额外讨论斜接在大根的作用是必要的。
8)
产品类型标签/分类
o
作为cf的生产数量上升,会有越来越需要查看的一个子集整体CVE总名单
o
定义一个公共产品领域/域列表用于分类CVE条目(如. .、医疗设备、汽车、工业等)
o
标签/类别应该连接到产品,而不是直接CVE条目。
o
产品上市CVE用户注册中心将是一个潜在的位置。
|
附件:2018年CVE_Board_Meeting_Summary-3_October _final.pdf
描述:2018年CVE_Board_Meeting_Summary-3_October _final.pdf
- 上一页的日期:再保险:注意从GitHub存储库
- 下一个按日期:CVE董事会会议议程——2018年10月17日
- 前线程:再保险:国防部和CVE
- 下一个线程:CVE董事会会议议程——2018年10月17日
- 指数(es):
