NEXUS NVD CVE Enrichment

Resumo técnico

Plugin do NEXUS que enriquece automaticamente CVEs detectadas em tarefas e comentários com metadados oficiais do NVD/NIST — score e severidade CVSS, vetor, CWE e referências. Os dados são cacheados localmente para resposta instantânea, e o enricher do Intelligence Hub devolve sinais estruturados ao painel Intel, com consulta manual e parâmetros configuráveis pela aba do plugin.

Escopo executado

• Registro: plugin.json v1.0.0, icon_bg #3b82f6, ícone lucide shield-alert e icon.svg próprio (sem is_core — plugin adicional); registerTab('nvd','NVD Intelligence','shield-alert',tab.php,'Threat Intel') e registerDoc('nvd','NVD Intelligence','shield-alert',doc.md).
• Tabela nvd_cves via nvd_install(): cve_id VARCHAR(50) PK, cvss_score DECIMAL(3,1), severity VARCHAR(20), vector VARCHAR(120), description TEXT, cwe VARCHAR(100), references_urls TEXT, published_at/updated_at/created_at DATETIME (InnoDB, utf8mb4).
• Consulta API NVD v2 (https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=): validação CVE-\d{4}-\d{4,7}, User-Agent próprio, header apiKey opcional (limite de 5 → 50 req/30s), timeouts de conexão 2s e resposta 4s, IPv4 e SSL_VERIFY configurável.
• Mapeamento dos metadados: descrição em inglês, métricas CVSS com precedência v3.1 → v3.0 → v4.0 → v2, severidade calculada por score quando ausente, CWE deduplicadas e até 5 referências por JSON.
• Cache local resiliente: nvd_query() busca no cache (source: cache) antes da chamada remota (source: remote), com INSERT via upsert em caso de miss — retorno instantâneo no Core e menos tráfego para a NIST.
• API com 4 actions: nvd_stats (total do cache + 20 últimos + pulso api_online via HEAD de CVE de teste), nvd_query (manual, cache→remoto), nvd_delete (limpa um registro) e nvd_settings_save (API key + auto_enrich via DB::setConfig).
• Enricher do Intelligence Hub: nx_intel_register_enricher('nvd', ['cve'], 'nvd_intel_enrich', 46) — gera signals ok/error/skipped com summary CVSS x.x · SEVERIDADE, severidade 0–100 (score × 10 ou match por label), respeita o orçamento max_live_lookups (padrão 12, slice ≤ 5) e marca cached.
• Fast Responses: manifesto fastr.json com /nvd (argumento CVE obrigatório), action nvd_query — consulta direta por slash.
• Sob demanda: cronjob.json com jobs: [] (nenhuma rotina periódica necessária); sem CLI.
• Interface: aba Alpine.js (tab.php, 393 linhas) com badge pulso "API Online/Offline", cards de stats (CVEs em Cache, Velocidade de Retorno < 1ms, Base NVD/NIST), consulta manual com testes rápidos (OpenSSH CVE-2023-38408 e Log4j CVE-2021-44228), parâmetros (API key opcional tipo password + toggle de enriquecimento), resultado com badge de severidade colorido e tabela do cache com busca e limpeza.
• Legado: nvd_filter_task_read/nvd_filter_comment_read desativados (comentados) — o enriquecimento automático migrou para o Intelligence Hub (core/intel.php).

Stack e ferramentas

• PHP 8 backend (sem framework) + MySQL 8 (tabela nvd_cves)
• NVD API v2 (NIST) via cURL (services.nvd.nist.gov/rest/json/cves/2.0)
• Alpine.js + Tailwind CSS (aba do painel) + Plugin API interno (tabs/actions + fastr.json + Intel Hub)

Tags

NVD, NIST, CVE, CVSS, Threat Intelligence, Intelligence Hub, Plugin NEXUS

Resultado operacional

• Enriquecimento automático: CVEs citadas em tarefas e comentários viram sinais do Intelligence Hub com dados oficiais do NIST.
• Cache local resiliente: miss consulta a API remota e persiste; hits respondem em < 1ms sem trafegar para a NVD.
• Severidade padronizada: score CVSS com badge colorido (CRITICAL/HIGH/MEDIUM/LOW/UNKNOWN) na aba e nos sinais Intel.
• API key opcional: sem chave o limite é 5 requisições/30s; com chave sobe para 50 — configuração por password na aba.
• Consulta manual: busca por CVE com resultado detalhado (score, CWE, vetor, resumo e atualização) e limpeza do cache pela tabela.
• Sem rotinas: plugin puramente sob demanda — sem cron nem CLI.