Open Source Vulnerability Database - Open Source Vulnerability Database

Die Open Sourced Vulnerability Database ( OSVDB ) war eine unabhängige und Open Source- Schwachstellendatenbank . Ziel des Projekts war es, genaue, detaillierte, aktuelle und unvoreingenommene technische Informationen zu Sicherheitslücken bereitzustellen . Das Projekt förderte eine stärkere und offenere Zusammenarbeit zwischen Unternehmen und Einzelpersonen. Das Motto der Datenbank lautete "Alles ist anfällig".

Der Kern von OSVDB war eine relationale Datenbank, die verschiedene Informationen zu Sicherheitslücken in einer gemeinsamen offenen Sicherheitsdatenquelle mit Querverweisen verknüpfte . Im Dezember 2013 katalogisierte die Datenbank über 100.000 Sicherheitslücken. Während die Datenbank von einer gemeinnützigen öffentlichen Organisation gemäß 501 (c) (3) und Freiwilligen gepflegt wurde, waren die Daten für die kommerzielle Nutzung ohne Lizenz verboten. Trotzdem verwendeten viele große Handelsunternehmen die Daten unter Verstoß gegen die Lizenz, ohne freiwillige Mitarbeiterzeit oder finanzielle Entschädigung beizutragen.

Geschichte

Das Projekt wurde im August 2002 auf den Blackhat- und DEF CON- Konferenzen von mehreren Branchengrößen (einschließlich HD Moore , rain.forest.puppy und anderen) gestartet. Unter größtenteils neuer Verwaltung wurde die Datenbank am 31. März 2004 offiziell veröffentlicht. Die ursprüngliche Implementierung wurde von Forrest Rae (FBR) in PHP geschrieben. Später wurde die gesamte Site von David Shettler in Ruby on Rails neu geschrieben.

Die Open Security Foundation (OSF) wurde gegründet, um die kontinuierliche Unterstützung des Projekts sicherzustellen. Jake Kouns (Zel), Chris Sullo, Kelly Todd (AKA Lyger), David Shettler (AKA D2D) und Brian Martin (AKA Jericho) waren Projektleiter für das OSVDB-Projekt und hatten zu verschiedenen Zeiten Führungsrollen in der OSF inne.

Am 5. April 2016 wurde die Datenbank geschlossen, während der Blog zunächst von Brian Martin fortgesetzt wurde. Der Grund für die Abschaltung war die anhaltende kommerzielle, aber nicht kompensierte Nutzung durch Sicherheitsunternehmen.

Ab Januar 2012 wurde der Schwachstelleneintrag von Vollzeitmitarbeitern von Risk Based Security durchgeführt, die das Personal für die Ausführung der Arbeit zur Verfügung stellten, um der Community etwas zurückzugeben. Jeder neue Eintrag enthielt einen vollständigen Titel, einen Offenlegungszeitplan, eine Beschreibung, eine Lösung (falls bekannt), Klassifizierungsmetadaten, Referenzen, Produkte und Forscher, die die Sicherheitsanfälligkeit entdeckt haben (Creditee).

Prozess

Ursprünglich wurden in verschiedenen Sicherheitslisten und Websites veröffentlichte Informationen zu Sicherheitslücken als neuer Eintrag in der NDM-Warteschlange (New Data Mangler) in die Datenbank eingegeben. Der neue Eintrag enthielt nur einen Titel und Links zur Offenlegung. Zu diesem Zeitpunkt enthielt die Seite für den neuen Eintrag keine detaillierte Beschreibung der Sicherheitsanfälligkeit oder der zugehörigen Metadaten. Soweit es die Zeit erlaubte, wurden neue Einträge analysiert und verfeinert, indem eine Beschreibung der Sicherheitsanfälligkeit sowie eine Lösung hinzugefügt wurden, sofern verfügbar. Diese allgemeine Aktivität wurde als "Datenmangel" bezeichnet und jemand, der diese Aufgabe ausführte, als "Mangler". Mangling wurde von Core- oder Gelegenheitsfreiwilligen durchgeführt. Von Freiwilligen eingereichte Details wurden von den wichtigsten Freiwilligen, sogenannten "Moderatoren", überprüft, um den Eintrag weiter zu verfeinern oder die Änderungen der Freiwilligen gegebenenfalls abzulehnen. Neue Informationen, die einem genehmigten Eintrag hinzugefügt wurden, standen dann jedem zur Verfügung, der auf der Website surft.

Mitwirkende

Einige der Leute, die sich freiwillig gemeldet und OSVDB gewartet haben :

  • Jake Kouns (Offizier der OSF, Moderator)
  • Chris Sullo (OSF-Offizier, Moderator)
  • Brian Martin (OSF-Offizier, Moderator)
  • Kelly Todd (OSF-Offizier, Moderator)
  • David Shettler (Officer von OSF, Entwickler)
  • Forrest Rae (Entwickler)

Andere Freiwillige, die in der Vergangenheit geholfen haben, sind:

  • Steve Tornio (Moderator)
  • Alexander Koren (Mangler)
  • Travis Schack (Mangler)
  • Susam Pal (Mangler)
  • Christian Seifert (Mangler)
  • Zain Memon

Verweise

  1. ^ Rosencrance, Linda (16. April 2004). "Brief: Vulnerability-Datenbank wird live geschaltet" . Computerwelt . Abgerufen am 15. August 2020 .
  2. ^ "Voreingenommene Software-Schwachstellenstatistiken, in denen Microsoft gelobt wurde, waren zu 101% irreführend" . Abgerufen am 20. Mai 2020 .
  3. ^ "Wir haben die 100.000er Marke erreicht ..." . 20. Januar 2014 . Abgerufen am 22. Januar 2020 .
  4. ^ "McAfee der McSlurping Open Source Vulnerability Database beschuldigt" . www.theregister.com . Abgerufen am 15. August 2020 .
  5. ^ Gold, Jon (7. April 2016). "Open-Source-Schwachstellendatenbank wird heruntergefahren" . Netzwerkwelt . Abgerufen am 22. Januar 2020 .
  6. ^ "OSVDB: Fin" . 5. April 2016. Aus dem Original am 28. Mai 2016 archiviert . Abgerufen am 22. Januar 2020 .
  7. ^ Kovacs, Eduard. "McAfee gibt Antwort auf OSVDB-Vorwürfe bezüglich Datenverschrottung" . Softpedia . Abgerufen am 15. August 2020 .
  8. ^ "Homepage" . RBS . Abgerufen am 15. August 2020 .

Externe Links