Obohacení NVD může přidat metriky závažnosti, klasifikace slabostí, aplikovatelnost produktů a štítky referencí; vyhledávání a strojově čitelné feedy data distribuují. NVD staví na seznamu CVE List; nepřiděluje identifikátory CVE ani neprovozuje program CVE.
Obohacení používá Common Vulnerability Scoring System (CVSS), Common Weakness Enumeration (CWE) a Common Platform Enumeration (CPE). Podle současné politiky pokrytí NVD mohou některé záznamy zůstat nenanalyzované; data se mohou měnit, jak se důkazy zlepšují.
Klíčové body
Tok datAutorita CVE Numbering Authority (CNA) publikuje záznam CVE do seznamu CVE List; NVD jej importuje a pokud možno přidá analýzu podporující vyhledávání, korelaci, automatizaci a workflow prioritizace.
Kontroly aplikovatelnostiKonfigurace založené na CPE popisují modelovanou aplikovatelnost produktů, ale organizace by měly porovnat verze, platformy, konfigurace a informace dodavatelů se svým skutečným inventářem.
Operační využitíKonzumenti mohou používat web, feedy a aplikační programová rozhraní ke sledování změn a propojení standardizovaných záznamů s interními aktivy, při zachování dat a identifikátorů zdrojů.
Důležité omezeníData NVD nejsou výsledkem aktivního testování a mohou být neúplná, zpožděná, sporná nebo revidovaná; skóre NVD či shoda produktu nedokazuje zneužitelnost, expozici ani obchodní riziko v konkrétním prostředí.