新漏洞太多让美国NVD面临崩溃，还可能引发供应链风险
内容提要
美国联邦数据库追踪安全漏洞工作停滞，导致风险分析无法进行，供应链风险增加。争议中，私营部门或政府集中管理数据库。数据库由国家标准技术研究院管理，9762个未分析的漏洞积压。网络安全供应商受影响。建议将数据库视为关键基础设施，提供更多资金和资源。
延伸解读
NVD积压的规模与直接影响
文章指出，NVD目前至少有9762个CVE未分析，且截至5月13日，NIST仅分析了5月收到的近2000个新CVE中的两个。这种积压直接导致风险分析几乎停滞，影响依赖NVD数据的网络安全供应商，如CrowdStrike、微软Defender for Endpoint以及Orca、Wiz等云安全工具。如果扫描引擎基于NVD，其检测能力将严重受损，企业环境中会出现无法察觉的漏洞。
管理权争议：私营部门还是政府集中
关于谁应负责填充NVD数据存在争议。一方认为私营部门具备实时检测能力，应承担更多责任；另一方则主张保留在联邦手中，以促进公私合作、确保标准一致并减少利益冲突。文章提到，可能迁移到CISA或私营部门，但专家强调需达成共识并确保充足资金。这一争议直接影响NVD的未来方向和漏洞管理生态。
NVD的运作方式与自动化可能
NVD依赖第三方安全研究人员、供应商和漏洞协调员分配风险属性，自身不执行漏洞测试，仅聚合公开数据。安全专家指出，部分工作可以自动化，以提供更高质量、更及时的数据。但即使自动化，在资源匮乏下，NVD仍需决定漏洞修补的优先级。这表明NVD的运作模式存在结构性依赖，改进需兼顾技术与资源。
将NVD视为关键基础设施的呼吁
近50名安全专业人士联名致信国会和商务部，建议将NVD视为关键基础设施和基本服务，以获得更多资金和国家资源。他们认为，若将责任交给私营部门可能导致混乱和更严重的安全事故。这一呼吁凸显了NVD在供应链安全中的核心地位，以及当前资金和资源不足的紧迫性。
Q&A
美国国家漏洞数据库（NVD）目前面临什么问题？
NVD的工作几乎停滞，存在9762个未分析的漏洞积压，导致风险分析无法进行。
为什么NVD的积压会影响网络安全供应商？
NVD的积压会影响主要网络安全供应商的漏洞检测能力，许多产品的扫描引擎依赖于NVD的数据。
关于NVD的管理责任存在哪些争议？
争议在于NVD是否应由政府管理，还是应转移到私营部门，双方各有利弊。
私营部门在漏洞管理中应承担什么责任？
私营部门应承担更多责任来检测和报告漏洞，以提高漏洞管理的整体效果。
为什么安全专家呼吁将NVD视为关键基础设施？
将NVD视为关键基础设施可以获得更多资金和资源支持，以改善其运营和漏洞管理。
NVD数据对企业决策的重要性是什么？
NVD数据对企业的优先级决策至关重要，不一致或不及时的数据会降低整体安全性。
