Het Europese cybersecurityagentschap ENISA heeft de European Vulnerability Database (EUVD) gelanceerd. Deze nieuwe dienst verzamelt betrouwbare informatie over cyberkwetsbaarheden in IT-producten en -diensten. De database biedt gebruikers direct toegang tot maatregelen om deze kwetsbaarheden te beperken.
De EUVD bundelt informatie uit verschillende bronnen en zorgt voor een betere analyse en correlatie van kwetsbaarheden. Dit is een belangrijke stap in de Europese cyberveiligheidsstrategie, vooral nu de financiering van de Amerikaanse CVE-database van MITRE onlangs nog ter discussie stond.
Waarom een Europese kwetsbaarheidsdatabase?
De nieuwe database heeft als doel een hoog niveau van onderlinge verbinding te garanderen tussen publiekelijk beschikbare informatie uit verschillende bronnen, waaronder CSIRT’s, leveranciers en bestaande databases. Door te werken met een holistische aanpak kan de EUVD kwetsbaarheden beter analyseren en correleren, met behulp van de open-source software Vulnerability-Lookup.
Hiermee krijgt Europa een eigen, betrouwbare bron van kwetsbaarheidsdata. Dit was vorige maand nog een actueel thema toen de Amerikaanse MITRE CVE-database bijna offline ging door het wegvallen van financiering, en op het nippertje werd gered met een verlenging van 11 maanden.
Henna Virkkunen, Europees Commissaris voor TTechnologische Soevereiniteit, Veiligheid en Democratie, noemt de EU Vulnerability Database een belangrijke stap in het versterken van Europa’s veiligheid en weerbaarheid. Zij benadrukt dat door kwetsbaarheidsinformatie relevant voor de Europese markt samen te brengen, de cybersecurity-standaarden verhoogd worden.
De werking van de EUVD
De informatie in de database wordt weergegeven via dashboards met drie verschillende weergaven: voor kritieke kwetsbaarheden, voor geëxploiteerde kwetsbaarheden en voor EU-gecoördineerde kwetsbaarheden. Deze laatste lijst bevat kwetsbaarheden die gecoördineerd worden door Europese CSIRT’s, inclusief de leden van het EU CSIRT-netwerk.
De verzamelde informatie komt uit open-source databases, aangevuld met adviezen en waarschuwingen van nationale CSIRT’s, mitigatie- en patchingsrichtlijnen van leveranciers, en markeringen van geëxploiteerde kwetsbaarheden. Records in de EUVD kunnen het volgende bevatten: een beschrijving van de kwetsbaarheid, getroffen IT-producten of -diensten en/of getroffen versies, de ernst van de kwetsbaarheid en hoe deze misbruikt kan worden en informatie over beschikbare patches of richtlijnen van bevoegde instanties.