CPE-matching tegen live inventaris
Elk device dat de agent rapporteert draagt een software-inventaris: productnaam, leverancier en exacte versie. Secuno normaliseert elke vermelding naar een CPE-identifier (Common Platform Enumeration) en matcht die tegen de CPE-configuraties van elke CVE in de NIST NVD.
Omdat de inventaris bij elke agentrun wordt ververst, weerspiegelt een match wat er nu is geïnstalleerd. Wordt software gepatcht of verwijderd, dan wist de volgende inventaris de match en lost het bijbehorende risico automatisch op.
Versiebereiken parsen
Een CVE treft zelden één versie. De NVD drukt getroffen bereiken uit met grenzen zoals versionStartIncluding en versionEndExcluding. Secuno parst deze bereiken en vergelijkt de geïnstalleerde versie via semantische versievolgorde, niet via tekstvergelijking.
Dat voorkomt de klassieke valse positief waarbij 1.10 lager wordt geacht dan 1.9. Het voorkomt ook valse negatieven waarbij een kwetsbare build binnen een bereik wordt gemist doordat alleen de grenswaarden zijn gecontroleerd.
Een versie die de engine niet met zekerheid kan lezen, zoals een packaging-tag die aan het versienummer vastzit, beëindigt de vergelijking en houdt de CVE buiten de resultaten in plaats van een match te beweren. Pakketten van Linux-distributies worden helemaal niet tegen NVD-bereiken vergeleken, omdat distributies fixes terugporteren zonder het upstream versienummer te wijzigen. Ze worden getoetst aan de eigen advisories van de distributies (Ubuntu, Debian, Alpine, Rocky Linux, AlmaLinux en openSUSE, gelezen via OSV) met de versievolgorde van die pakketbeheerder zelf, zodat een gepatchte host ook als gepatcht wordt herkend.
NIST NVD en CISA KEV ontdubbelen
Secuno haalt zowel de NIST NVD als de CISA Known Exploited Vulnerabilities-catalogus binnen. Dezelfde CVE komt in beide voor. Secuno groepeert op de CVE-identifier en voegt de records samen tot één gecorreleerde vermelding, zodat een device nooit dubbel wordt gemarkeerd voor één kwetsbaarheid.
Staat een CVE in de KEV-catalogus, dan draagt de samengevoegde vermelding die markering en wordt deze geëscaleerd. Nieuwe CVE's komen elk uur binnen via CVE.org, NVD-verrijking en de KEV-catalogus synchroniseren vier keer per dag, en een nieuwe KEV-vermelding triggert direct een herbeoordeling in plaats van te wachten op de volgende cyclus.
Wat de match specifiek maakt
Generieke scanners matchen vaak alleen op productnaam en laten versiebepaling aan de analist. Secuno vereist een match op leverancier, product én versie voordat het een kwetsbaarheidsrisico aanmaakt, en legt de exacte CPE en het versiebereik vast in het risicodetail.
Die herkomst maakt elk gecorreleerd risico auditeerbaar. Een analist ziet precies waarom een CVE aan een device is gekoppeld, wat remediatie richt op bevestigde blootstelling in plaats van waarschijnlijke blootstelling.