Источники данных

Каталог агрегирует данные из девяти источников. Каждый источник поставляет один или несколько типов записей, нормализованных в единую структуру. Атрибуция сохраняется — чип источника в каждой строке ведёт в раздел /sources с актуальными счётчиками и сведениями о покрытии.

Авторитетные источники

NVD (National Vulnerability Database, США)

Канонический публичный поток CVE, поддерживаемый NIST. Содержит оценки CVSS и CPE-совпадения для подавляющего большинства записей каталога. Формат идентификатора: CVE-YYYY-NNNN+. Обновляется несколькими партиями в сутки в конвейере пополнения.

БДУ (Банк данных угроз безопасности информации, Россия)

База данных угроз ФСТЭК России. Содержит русскоязычные описания и авторитетный набор идентификаторов для уязвимостей, релевантных российским организациям. Формат идентификатора: BDU:YYYY-NNNNN.

MITRE CWE, CAPEC и ATT&CK

Не уязвимости сами по себе, а три таксономии MITRE, по которым тегирован каждый CVE. CWE описывает базовую слабость, CAPEC — абстрактный шаблон атаки, ATT&CK — конкретную технику противника. Импортируются напрямую из опубликованных MITRE каталогов XML и официального репозитория attack-stix-data. Просмотр в /cwe, /capec и /attack; панель покрытия ATT&CK показывает актуальность корреляции и разбивку по уровням.

В каталоге также представлены меры защиты ATT&CK (M-коды) как механизмы защиты, связанные с каждой техникой. Полный список доступен по адресу /mitigation или по клику на чип меры защиты на странице любой техники, чтобы увидеть, какие ещё техники она нейтрализует.

CISA KEV (Known Exploited Vulnerabilities)

Подмножество CVE, помеченных CISA (США) как активно эксплуатируемые в дикой природе. В каталоге отображаются красным чипом KEV. Обновляется ежедневно.

EPSS (Exploit Prediction Scoring System)

Машинно-обучаемая вероятность эксплуатации в ближайшие 30 дней. Перцентиль виден в каждой строке. Не является оценкой критичности — это оценка вероятности; см. CVSS и EPSS.

Региональные и вендорные источники

• RedOS — поток рекомендаций RedSoft для российского дистрибутива RedOS. Формат идентификатора: ROS-YYYYMMDD-NN.
• Debian Security Tracker — поток Debian.
• Ubuntu Security Notices — рекомендации USN от Canonical.
• Red Hat Bugzilla / Errata — рекомендации для Red Hat Enterprise Linux.

Как часто обновляется каталог?

Данные записей обновляются примерно каждые три часа по расписанию. Флаги KEV синхронизируются с CISA раз в сутки. Оценки EPSS обновляются по мере публикации новых файлов вверх по потоку. MITRE CWE и CAPEC обновляются еженедельно при пересборке каталога.

Атрибуция и ссылки

Каждая страница источника /sources/{key} показывает исходный сайт, лицензию и формат идентификатора. Клик по чипу источника в строке каталога открывает всплывающее окно с полными метаданными.