Wzbogacenie NVD może dodawać metryki wagi, klasyfikacje słabości, informacje o zastosowaniu do produktów i etykiety odnośników; wyszukiwarka i kanały maszynowo-czytelne dystrybuują te dane. NVD opiera się na liście CVE; nie nadaje identyfikatorów CVE ani nie prowadzi programu CVE.
Wzbogacenie korzysta z Common Vulnerability Scoring System (CVSS), Common Weakness Enumeration (CWE) i Common Platform Enumeration (CPE). Zgodnie z obecną polityką pokrycia NVD część rekordów może pozostawać nieprzeanalizowana; dane mogą się zmieniać wraz z poprawą dowodów.
Najważniejsze punkty
Przepływ danychJednostka numerująca CVE (CNA) publikuje rekord CVE na liście CVE; NVD importuje go i — gdy to możliwe — dodaje analizę wspierającą wyszukiwanie, korelację, automatyzację i priorytetyzację.
Kontrole zastosowaniaKonfiguracje oparte na CPE opisują modelowaną zastosowalność do produktów, ale organizacje powinny porównywać wersje, platformy, konfiguracje i informacje dostawców z faktycznym inwentarzem.
Użycie operacyjneOdbiorcy mogą korzystać ze strony, kanałów danych i interfejsów API, by monitorować zmiany i łączyć standardowe rekordy z wewnętrznymi zasobami, zachowując daty i identyfikatory źródłowe.
Istotne ograniczenieDane NVD nie są wynikiem aktywnych testów i mogą być niekompletne, opóźnione, kwestionowane lub rewidywowane; wynik NVD ani dopasowanie produktu nie dowodzi wykorzystywalności, ekspozycji ani ryzyka biznesowego w konkretnym środowisku.