ADR 0002Chấp nhận

ADR 0002. So khớp lỗ hổng tập trung

1. Máy chỉ gửi inventory (gói, OS, kernel) và kết quả kiểm tra cấu hình. Không tải DB lỗ hổng xuống máy. 2. Dịch vụ trung tâm accesshub-secmatch (repo này) lưu inventory mới nhất mỗi máy, so khớp, và so khớp lại mọi inventory khi DB đổi, chỉ phát delta sang Access Hub. 3. Secmatch là dịch vụ riêng, không phải vai trò trong Access Hub Collector (Q3); Collector chỉ chuyển tiếp báo cáo.

Ngày quyết định

02/10/2026

Chấp nhận

02/10/2026

Phạm vi

Scanner

Người chấp nhận

Chưa ghi

1. Đề xuất02/10/2026
2. Chấp nhận02/10/2026

• Trạng thái: Chấp nhận (2026-10-02, chủ dự án duyệt Q2: so khớp tập trung; Q3: secmatch là dịch vụ riêng trong repo này). Từ Q25, secmatch có thêm vai trò ingest nhận báo cáo từ bộ gửi của gói Scanner (ADR 0001)
• Bằng chứng: DB đầy đủ 2026-10-02 nặng 13,6 MB nén, 290 MB giải nén, 2,3 triệu bản ghi (vượt xa ngân sách 128 MB trên máy, nên không thể so khớp tại máy); secmatch nạp và lập chỉ mục trong 4 s, RSS 0,3 GB; so khớp lại khi DB đổi đã cài và có kiểm thử. Chưa đo: so khớp lại 10.000 máy (SNFR-43), chờ máy thử riêng
• Ngày: 2026-10-02

Bối cảnh

So khớp cần DB lỗ hổng gom từ nhiều nguồn, cập nhật hằng ngày, kích thước cỡ hàng trăm MB (đo ở spike S2). Ngân sách scanner trên máy là RSS đỉnh 128 MB, CPU trung bình ngày 0,1% một lõi (01). Gói Dedicated có thể không có Internet. CVE mới công bố hằng ngày cho gói đã cài từ trước.

Quyết định

1. Máy chỉ gửi inventory (gói, OS, kernel) và kết quả kiểm tra cấu hình. Không tải DB lỗ hổng xuống máy.
2. Dịch vụ trung tâm accesshub-secmatch (repo này) lưu inventory mới nhất mỗi máy, so khớp, và so khớp lại mọi inventory khi DB đổi, chỉ phát delta sang Access Hub.
3. Secmatch là dịch vụ riêng, không phải vai trò trong Access Hub Collector (Q3); Collector chỉ chuyển tiếp báo cáo.

Hệ quả

• CVE mới xuất hiện trên Access Hub dưới 2 giờ sau khi DB có, không cần máy làm gì.
• Một DB, một phiên bản cho cả nền tảng hoặc cả bản cài Dedicated: kết quả nhất quán.
• Danh sách gói rời máy: là siêu dữ liệu vận hành, lưu có cô lập tenant (ADR 0006, ADR 0008).
• Có thêm một dịch vụ để vận hành và một kho dữ liệu.
• Kiểm tra cấu hình vẫn đánh giá trên máy (cần đọc tệp); riêng so sánh cổng nghe với danh sách dự kiến diễn ra ở Access Hub.

Phương án đã cân nhắc

Phương án	Lý do không chọn
So khớp trên máy	DB lớn trên mọi máy, tải hằng ngày, vượt ngân sách; CVE mới cần quét lại; Dedicated phải phân phối DB tới từng máy
Lai: máy giữ DB rút gọn theo distro của nó	Vẫn tải hằng ngày, vẫn cần quét lại, phức tạp hơn mà không bỏ được dịch vụ trung tâm
So khớp trong Access Hub (PHP)	Hàng triệu dòng gói mỗi lần so khớp lại, tải lên ứng dụng nghiệp vụ và MySQL, trái tinh thần ADR 0004 của Collector