[[日期上一篇] [下一个日期] [线程] [线程接下来] [日期索引] [线程索引这是给予的
CVE董事会会议摘要 - 2018年12月12日
- 到：CVE编辑委员会讨论<cve-editorial-board-list@mitre.org>
- 主题：CVE董事会会议摘要 - 2018年12月12日
- 从：常见漏洞和暴露<cve@mitre.org>
- 日期：星期二，2019年1月8日18:00：55 -0500
- 接受语言：en-us
- 身份验证重分：mitre.org;dkim = none（未签署消息）header.d = none; mitre.org;dmarc = none action = none header.from = mitre.org;
- 交货日期：2019年1月9日07:44:37
- 线程索引：adsnpzhiarcfs9omqr2foj7ifat1uw ==
- 线主题：CVE董事会会议摘要 - 2018年12月12日
|
CVE董事会会议 - 2018年12月12日
安迪·巴林斯基，思科系统公司
斯科特·劳勒（Scott Lawler），lp3
贝弗利·米勒（Beverly Miller），联想集团有限公司
斯科特·摩尔（Scott Moore），IBM
丽莎·奥尔森（Lisa Olson），微软
Kurt Seifried，云安全联盟
MITER CVE团队的成员出席
乔·巴扎尔（Jo Bazar） 克里斯·科芬 乔纳森·埃文斯（Jonathan Evans） 乔·塞恩 乔治·蒂尔（George Theall） 议程 议程
2：00 - 2:15：上次会议的介绍，动作项目
2:15 - 2:30：工作组
2：30 - 2:45：CNA更新
2：45 –3：15：DWF根CNA状态和前进 -克里斯·科芬（Chris Coffin），库尔特（Kurt） 3:15 - 3：45：软件终结（EOL）和CVE分配-克里斯·科芬（Chris Coffin），丽莎·奥尔森（Lisa Olson）
3：50 - 4：00：动作项目，总结
2018年11月28日举行的董事会会议的行动项目审查
工作组更新
CNA更新
DWF根CNA状态和前进的方向
软件终结（EOL）和CVE分配
开放讨论项目
开会项目
董事会决定
未来的讨论主题
4）CNA范围问题 董事会讨论了CNA文档围绕角色和职责，目前的文档尚不清楚，CNA在其范围内分配了CVE。范围可能会或可能不会为其客户覆盖CVE。
o
CNA规则- 规则状态CNA必须响应迅速，但不提供特定的时间范围。规则规定，如果CNA计划将CVE分配给漏洞另一个供应商的产品，则应与供应商联系。然后，供应商将做出决定。
o
CNA和根的新方法- 给定的根有范围。一部分范围被委派给CNA（即研究的产品或研究区域）。如果范围的一部分未委派给CNA，则该范围与根保持在一起。将CVE分配作为最后一个度假村的CNA是根源的责任。
o
行动项目- 需要更新CNA规则以反映这种新方法。
5）消除重复CVE分配讨论
o
董事会讨论了指定CNA范围将有助于消除重复的CVE分配。Art解释说，在进行CVE任务时与其他CNA进行公开沟通至关重要。将此通信保持在CNA级别（不是根/初级级别）将有助于重复。
o
建议1：过程建议需要添加到CNA培训中。
o
建议2：CNA规则需要更新以最大程度地减少重复作业。
o
乔纳森（Jonathan）解释说，CVE分配的重复作用最多，DWF最多。 6）研究员CNA
o
董事会讨论了与歧义范围的研究人员CNA。这些CNA已发行了数千个CVE。
o
建议1：避免添加任何新的研究人员CNA，直到有特定的资格和指导方针，以确定作为研究人员CNA的资格。这包括尚待讨论的定义范围规则。
o
建议2：使研究人员CNA自然编程范围。
o
建议3：更改研究人员CNA的过程。谁负责协调ID分配？谁发行了CVE ID并填写信息？公司应该有一种更简单的方法要求CVE ID。
o
建议4：更好地定义研究人员CNA的角色和责任。
o
建议5：需要在入职其他研究人员CNA之前解决研究人员CNA模棱两可的范围问题。
o
建议6：探索研究人员参与CNA计划而不成为CNA的可能性。
o
建议7：需要针对CNA的测试/认证计划，以确保他们可以充分发挥作用，尤其是研究人员。
o
董事会同意探索有关研究人员CNA模棱两可范围问题的更好解决方案。
7）
有效地操作根CNA
o
需要进一步讨论我们如何更有效地操作根CNA。
o
需要关于MITER在操作根中的作用的其他讨论。
8）
产品类型标签/分类
o
随着CVE的生产编号的上升，将越来越需要查看整个CVE主列表的子集
o
定义用于对CVE条目进行分类的常见产品区域/域列表（例如，医疗设备，汽车，工业等）
o
标签/类别应附加到产品上，而不将其直接连接到CVE条目。
o
CVE用户注册表中的产品清单将是一个潜在的位置。
|
依恋：cve_board_meeting_12 12月_2018_final.pdf
描述：cve_board_meeting_12 12月_2018_final.pdf
- 后续行动：
- 回复：[外部] CVE董事会会议摘要 - 2018年12月12日
- 从：贝弗利·米勒（Beverly Miller）
- 从：贝弗利·米勒（Beverly Miller）
- 回复：[外部] CVE董事会会议摘要 - 2018年12月12日
- 上一条日期：回复：[Ext] CVE的恶意软件/后门
- 下一个日期：回复：[外部] CVE董事会会议摘要 - 2018年12月12日
- 上一个线程：回复：[Ext] CVE的恶意软件/后门
- 下一个线程：回复：[外部] CVE董事会会议摘要 - 2018年12月12日
- 索引：
