CPE
Standardisierte Produkt-/Versionskennung
Common Platform Enumeration
CPE ist ein standardisiertes Benennungsschema für IT-Produkte, Betriebssysteme und Hardware. Eine CPE-Zeichenkette identifiziert eindeutig Hersteller, Produkt und Version und erlaubt es, Schwachstellen (CVE) maschinell den betroffenen Produkten zuzuordnen. CPE ist damit der Klebstoff zwischen einer abstrakten Schwachstelle und dem konkreten Asset im eigenen Bestand.
Historie & Fakten. CPE entstand ursprünglich bei MITRE und wird heute vom US-amerikanischen NIST im Rahmen des National Vulnerability Database (NVD) und des SCAP-Standardsatzes gepflegt. Das aktuelle Format CPE 2.3 folgt dem Muster „cpe:2.3:part:vendor:product:version:…“, wobei „part“ zwischen Anwendung, Betriebssystem und Hardware unterscheidet. Über ein offizielles CPE-Dictionary werden Bezeichnungen vereinheitlicht, damit unterschiedliche Quellen dasselbe Produkt gleich benennen.
Ausblick & Empfehlung. Die größte praktische Schwäche ist die Zuordnungsqualität: Stimmt die CPE in einer CVE nicht exakt mit der real eingesetzten Version überein, entstehen falsche Treffer oder, schlimmer, übersehene Betroffenheiten. Modernere Quellen wie OSV oder die EUVD setzen für Software-Abhängigkeiten zunehmend auf Paket-Koordinaten statt auf CPE. Für ein belastbares Schwachstellenmanagement zählt daher weniger die CPE allein als ihre saubere Verknüpfung mit einem gepflegten Asset-Inventar.