La cartera de pedidos de NVD sigue creciendo

El La acumulación de vulnerabilidades no analizadas para la Base de Datos Nacional de Vulnerabilidad continúa creciendoy nuevas estimaciones sugieren que el retraso podría alcanzar casi 30.000 vulnerabilidades no analizadas para finales de 2024.

Administrada por el Instituto Nacional de Estándares y Tecnología (NIST), la Base de datos nacional de vulnerabilidades (NVD) es el depósito oficial de vulnerabilidades y amenazas comunes de los Estados Unidos. Muchos escáneres, analistas y proveedores confían en NVD para determinar qué software se ve afectado por una vulnerabilidad. No agregar vulnerabilidades a la base de datos de manera oportuna afecta la capacidad del defensor empresarial para priorizar las vulnerabilidades que deben corregirse de inmediato o identificar problemas que afectan a múltiples aplicaciones.

NVD actualmente tiene una acumulación de 16.974 vulnerabilidades y recibe un promedio de aproximadamente 111 vulnerabilidades adicionales cada día. Los datos de Fortress Information Security sugieren esto que los analistas tendrían que procesar más de 217 vulnerabilidades por día solo para ponerse al día y mantenerse al día con las nuevas vulnerabilidades. Según Fortress, el NIST registra actualmente un promedio de poco más de 30 nuevas vulnerabilidades por día.

tener problemas de recursos, un aumento en las vulnerabilidades reveladas y otras limitaciones obstaculizó la capacidad del NIST para procesar vulnerabilidades de manera oportuna, NIST dijo esto a principios de este año. La agencia anunció una asociación con la Agencia de Seguridad de Infraestructura y Ciberseguridad y un contrato con una empresa privada de ciberseguridad para Ayude a eliminar el trabajo atrasadoEl objetivo era eliminar el retraso antes del 30 de septiembre, el final del año fiscal del gobierno.

Según Fortress, el NIST ha analizado poco más de una cuarta parte de los nuevos CVE descubiertos en 2024. Al ritmo actual, Fortress estima que habrá 29.569 vulnerabilidades pendientes de análisis para finales de 2024, y este cálculo se basa en el supuesto de que los analistas trabajan los siete días de la semana.

Con 155 días restantes en 2024 (y solo 62 días hasta el final del año fiscal), el NIST necesitaría aumentar significativamente sus recursos para abordar adecuadamente el retraso.