[日期上一页][下一个日期][线程上一页][线程下][日期索引][线程索引]
CVE董事会会议总结- 11月14日,2018
- 来:CVE编委会讨论<cve-editorial-board-list@mitre.org>
- 主题:CVE董事会会议总结- 11月14日,2018年
- 从:“祈神保佑,乔" <jas@mitre.org>
- 日期:2018年12月4日,星期二10:07:34 -0500
- 接收语言:en - us
- Authentication-results:mitre.org;dkim = none(消息没有签署)header.d =没有;mitre.org;dmarc =没有行动=没有header.from = mitre.org;
- 交货日期:2018年12月4日10:47:43星期二
- Thread-index:AdSL4wTJqQSe4 + YoR5 + QMBks95mPmA = =
- Thread-topic:CVE董事会会议总结- 11月14日,2018年
|
CVE董事会会议——2018年11月14日
董事会成员参加 安迪•Balinsky思科系统公司
马克•考克斯红帽公司。
威廉•考克斯集成电路制造有限公司委托新思科技有限公司
斯科特•劳勒LP3
贝弗利·米勒,联想集团有限公司
斯科特•摩尔IBM
丽莎·奥尔森微软
孝中山教授,松下公司
横切CVE团队的成员参加
乔集市 乔纳森埃文斯 乔祈神保佑 其他与会者 克里斯·约翰逊(NIST)
议程 两点- 2:15:介绍,从上次会议行动项
2:15 - 2:工作组
2:30 - 2:45:CNA更新
2:45 3:15:CNA规则修改讨论:保留但公共(RBP)乔纳森埃文斯 3:15 - 50分:公开讨论- - - - - -董事会
美东- 4:行动项目,总结
审查行动项目的董事会会议于2018年10月31日举行
工作小组更新
CNA更新
公开讨论项目 CNA规则修改的讨论:保留但公共(RBP)乔纳森埃文斯
会议行动项
董事会的决定
未来讨论的话题
4)CNA范围问题 董事会讨论了CNA文档需要在角色和职责,当前文档是不清楚,CNA分配CVE的范围内。可能或不可能覆盖范围CVE为他们的客户。
o
CNA规则——必须响应规则状态CNAs但不提供一个特定的时间框架。规则的国家如果CNA计划分配的CVE漏洞另一个供应商的产品,分配CNA应该与供应商联系。供应商将做出决定。
o
新方法必须和根源——一个给定的根有一个范围。范围被委托给一个CNA的一部分(即。、产品或的研究领域)。如果没有范围的一部分委托给CNA,范围保持的根。这是根的责任CVE分配CNA的最后一招。
o
行动项目——CNA规则需要更新,以反映这种新方法。
5)消除重复CVE作业的讨论
o
董事会讨论,指定CNA范围将帮助消除重复CVE作业。艺术解释说,在开放的沟通与其他必须做CVE作业时是至关重要的;保持这种通信在CNA级别(而不是在根/初级水平)将帮助与重复。
o
建议1:建议需要添加CNA训练过程。
o
建议2:CNA规则需要更新,以减少重复作业。
o
乔纳森说重复的CVE作业发生DWF的大多数。 6)研究员必须
o
董事会讨论研究必须与模糊的范围。这些必须发布成千上万的cf。
o
建议1:避免增加任何新研究员CNAs直到有特定的资格和合格的研究员CNA指南。这包括定义范围规则有待讨论。
o
建议2:让研究人员必须自然编程范围。
o
建议3:研究人员必须改变过程。负责协调IDs的任务吗?谁问题CVE ID和填充信息?公司应该有一个更简单的方法来请求一个CVE ID。
o
建议4:更好的为研究员必须定义角色和职责。
o
建议5:需要解决研究者之前新员工培训其他研究员CNAs CNA模棱两可的范围问题。
o
建议6:探索的可能性,研究人员参与CNA程序没有成为必须。
o
建议七:需要一个测试/认证项目必须确保他们能够充分履行角色,特别是研究人员。
o
董事会同意探索更好的解决方案关于研究员CNA模棱两可的范围问题。
7)
根必须有效地实施
o
需要进一步讨论关于如何更有效地实施根CNAs。
o
额外讨论斜接在大根的作用是必要的。
8)
产品类型标签/分类
o
作为cf的生产数量上升,会有越来越需要查看的一个子集整体CVE总名单
o
定义一个公共产品领域/域列表用于分类CVE条目(如. .、医疗设备、汽车、工业等)
o
标签/类别应该连接到产品,而不是直接CVE条目。
o
产品上市CVE用户注册中心将是一个潜在的位置。
|
附件:CVE_Board_Meeting_14_November_2018_final.pdf
描述:CVE_Board_Meeting_14_November_2018_final.pdf
- 下一个按日期:新CNA - MongoDB
- 下一个线程:新CNA - MongoDB
- 指数(es):
