Czym są programy ujawniania luk w zabezpieczeniach?

Programy ujawniania luk w zabezpieczeniach (VDP) to ustrukturyzowane ramy lub procesy, dzięki którym organizacje mogą dokumentować, przesyłać i zgłaszać luki w zabezpieczeniach wszystkim innym odpowiednim organizacjom. Gotowość i zdolność do eliminowania luk w zabezpieczeniach, zanim staną się one problemami, jest istotną częścią każdej strategii bezpieczeństwa cybernetycznego.

Chociaż VDP nie są obecnie wymagane przez prawo, rząd Stanów Zjednoczonych zachęca do programów ujawniania luk w zabezpieczeniach jako proaktywnego podejścia do cyberbezpieczeństwa. Skuteczna funkcja VDP zarządza możliwymi zagrożeniami na całej powierzchni ataku, chroniąc organizację i dane przed incydentami przed ich wystąpieniem.

Dowiedz się, jak UpGuard pomaga organizacjom wykrywać luki w zabezpieczeniach i zagrożenia >

Co to jest program ujawniania luk w zabezpieczeniach?

Strona internetowa lub aplikacja może zawierać tysiące wierszy kodu, które mogą zawierać błędy, które nie zostały wykryte wewnętrznie, nawet podczas rutynowych testów podczas procesu tworzenia oprogramowania. Stwarza to potencjalne exploity, które mogą wykorzystać hakerzy lub cyberprzestępcy.

Program ujawniania luk w zabezpieczeniach to ujednolicony proces, w którym badacze bezpieczeństwa, użytkownicy końcowi i szersza społeczność zajmująca się cyberbezpieczeństwem zgłaszają luki w zabezpieczeniach w publicznie dostępnych zasobach internetowych firmy. Ta metodologia obejmuje dobrowolnie przesyłane raporty o lukach w zabezpieczeniach, klasyfikację luk w zabezpieczeniach i monitorowanie wszelkich procesów korygowania.

Gdy luki w zabezpieczeniach zostaną zidentyfikowane przez badaczy zabezpieczeń, organizacja może ocenić i skorygować te obszary, zanim staną się one narażone. VDP działają jako "siatka bezpieczeństwa" lub "program straży sąsiedzkiej", zapewniając Twojej organizacji możliwość usunięcia luk w zabezpieczeniach, zanim cyberprzestępca je wykorzysta. Każdy VDP jest nieco inny i często dostosowany do indywidualnych zasobów firmy, konkretnych przepisów lub wymagań oraz profilu zagrożeń.

Programy ujawniania luk w zabezpieczeniach a programy wykrywania błędów

Główna różnica między VDP a programami bug bounty polega na tym, że VDP nie oferują wyraźnych zachęt pieniężnych, tj. "nagród" za zgłoszone luki w zabezpieczeniach. Zamiast tego VDP po prostu zapewnia bezpieczny kanał do zgłaszania tych luk w zabezpieczeniach, a wszelkie raporty są przesyłane według uznania stron zewnętrznych, takich jak badacze bezpieczeństwa, partnerzy itp.

Jest to odpowiednik "zobacz coś, powiedz coś" dla osób z zewnątrz. Jeśli jednak VDP zakończy się sukcesem i przyniesie korzyści, organizacja może uruchomić formalny program bug bounty, aby nadal wzmacniać swoją obecność w zakresie bezpieczeństwa. Nawet jeśli organizacja korzysta tylko z VDP, nadal zapewnia to ogromne zwiększenie bezpieczeństwa.

Dlaczego firmy potrzebują programu dobrowolnego ujawniania informacji?

W 2021 r. Agencja Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA) wydała wiążącą dyrektywę operacyjną (BOD 20-01), wymagającą od agencji federalnych ustanowienia polityk umożliwiających społeczeństwu wnoszenie wkładu i zgłaszanie ujawnień luk w zabezpieczeniach. Luki w zabezpieczeniach cybernetycznych są nieuniknione, dlatego agresywna proaktywność ma kluczowe znaczenie dla ochrony ram i zapobiegania naruszeniom danych. Programy ujawniania luk w zabezpieczeniach zapewniają proces aktywnego wyszukiwania, identyfikowania i korygowania luk w zabezpieczeniach, zapewniając interesariuszom i klientom spokój ducha.

Wykazanie dojrzałości zabezpieczeń

Kiedy organizacja ma ujednolicony VDP, pokazuje, że jest zaangażowana nie tylko w ochronę własnych zasobów cyfrowych i systemów informatycznych, ale także w ochronę wszelkich danych, które może dostarczyć klientom. Rozumieją, że zagrożenia cybernetyczne są szerokie i ciągle się zmieniają, a docieranie do globalnej społeczności etycznych hakerów w celu przekazania informacji zwrotnych tylko wzmacnia ich własne ramy bezpieczeństwa. VDP pomagają również w budowaniu zaufania z perspektywy użytkownika końcowego i interesariuszy zewnętrznych.

Dowiedz się więcej o zarządzaniu lukami w zabezpieczeniach >

Sformalizuj informacje zwrotne dotyczące bezpieczeństwa i współpracę

Program ujawniania luk w zabezpieczeniach zapewnia proces pozytywnego i produktywnego zaangażowania w szerszą społeczność zajmującą się cyberbezpieczeństwem. Istnieje proces krok po kroku, który ma na celu wspólne udostępnianie i identyfikowanie luk w zabezpieczeniach między badaczami bezpieczeństwa a organizacjami, ustanawiając współpracę między obiema stronami. Działając w dobrej wierze, badacze bezpieczeństwa i hakerzy mogą pomóc organizacjom w tworzeniu najlepszych i najbezpieczniejszych publicznie dostępnych zasobów internetowych.

Spełniaj wymagania dotyczące zgodności

Chociaż nie jest to formalnie regulowane, rząd Stanów Zjednoczonych zachęca do stosowania VDP jako jednej z najlepszych praktyk w zakresie strategii i zarządzania cyberbezpieczeństwem. W ślad za tym NIST i Departament Sprawiedliwości zalecają również VDP jako dodatkowe środki konsekwentnego monitorowania ryzyka i luk w zabezpieczeniach w organizacjach.

Kto korzysta z programu ujawniania luk w zabezpieczeniach?

VPD zapewniają dodatkową warstwę cyberbezpieczeństwa, identyfikując istniejące luki w zabezpieczeniach i eliminując zagrożenia, zanim te luki przekształcą się w problemy. Jednak korzyści płynące z kompleksowego VDP wykraczają poza prewencję pierwotną dla różnych organizacji, szerszej społeczności cyberbezpieczeństwa, użytkowników końcowych i nie tylko.

Organizacji

Cyberbezpieczeństwo jest oczywiście priorytetem dla organizacji, ale VDP pozwalają im pójść o krok dalej. Wewnętrzne zespoły ds. bezpieczeństwa regularnie zmniejszają ryzyko za pomocą ustalonych protokołów i testów, ale mają swoje ograniczenia. Aby zrównoważyć terminy, koszty i dostępność, wewnętrzne zespoły ds. bezpieczeństwa mogą zrobić tylko tyle. VDP kontynuuje monitorowanie tego ryzyka bezpieczeństwa poza typowym cyklem rozwoju standardowego oprogramowania, rzucając światło na luki w zabezpieczeniach, które mogą prześlizgnąć się przez luki.

Rządy

Wiele agencji rządowych w Stanach Zjednoczonych wdrożyło VDP w celu zidentyfikowania luk w zabezpieczeniach i usunięcia ich w odpowiednim czasie. W 2016 roku Departament Obrony (DOD) przeprowadził program pilotażowy o nazwie "Hack the Pentagon", który pozwolił uprawnionym uczestnikom zidentyfikować luki w zabezpieczeniach na ich publicznych stronach internetowych. W ich ślady poszły inne agencje federalne i agencje rządowe. Cyberbezpieczeństwo ma kluczowe znaczenie dla tych powierzchni publicznych, identyfikując problemy przed ich wystąpieniem i eliminując naruszenia danych lub potencjalne przestoje.

Użytkownicy końcowi i klienci

Użytkownicy końcowi i klienci zawsze chcą mieć pewność, że organizacje, z którymi współpracują, mają solidne strategie w zakresie cyberbezpieczeństwa. Często jednak strategie te mogą być trudne do wyjaśnienia osobie, która ma ograniczoną wiedzę na temat praktyk w zakresie cyberbezpieczeństwa. Program ujawniania luk w zabezpieczeniach umożliwia organizacjom publiczne zaprezentowanie swojego priorytetu w zakresie bezpieczeństwa, w sposób łatwy do zobaczenia, zrozumienia i zweryfikowania — a wszystko to przy jednoczesnym usuwaniu luk w zabezpieczeniach i zmniejszaniu ryzyka.

Badacze bezpieczeństwa

Być może jednym z najbardziej wyjątkowych dobroczyńców VDP są badacze bezpieczeństwa. Chociaż każdy może przesyłać raporty w ramach VDP, programy te są zwykle wykorzystywane przez przeszkolonych badaczy bezpieczeństwa, etycznych hakerów lub inne osoby szukające możliwości ćwiczenia swoich umiejętności.

Osoby te działają w dobrej wierze, co oznacza, że nie przesyłają raportów, aby pokazać, ile luk w zabezpieczeniach ma organizacja, ale współpracują ze sobą, aby upewnić się, że organizacja pozostaje bezpieczna, jednocześnie rozwijając własny zestaw umiejętności. Udział badaczy bezpieczeństwa koncentruje się na edukacji, pozycji osobistej i altruizmie.

Rodzaje zasad ujawniania luk w zabezpieczeniach

Na początku tego roku administracja Bidena wezwała do skoordynowanego ujawniania luk w zabezpieczeniach we wszystkich typach technologii i sektorach, koncentrując się na gromadzeniu i udostępnianiu informacji o wadach oprogramowania, sprzętu i systemów w całym kraju. Ujawnianie tych informacji różni się w zależności od poziomu przejrzystości i często uwzględnia również sposób, w jaki organizacja radzi sobie z zarządzaniem lukami w zabezpieczeniach. Zarządzanie lukami w zabezpieczeniach odnosi się do podejścia opartego na ryzyku, które identyfikuje, ustala priorytety i koryguje luki w zabezpieczeniach i błędną konfigurację. Następujące typy ujawniania luk w zabezpieczeniach są najbardziej powszechne wśród istniejących VDP i mogą być konfigurowane dla określonych organizacji w zależności od ich potrzeb.

Zachowanie poufności

Nieujawnianie informacji jest dość proste. Zabraniają one zgłaszaniu lub badaczowi bezpieczeństwa publicznego ujawniania jakiejkolwiek części zidentyfikowanej luki w zabezpieczeniach, nawet po usunięciu usterki. Niezależnie od wagi ustaleń, żadna luka w zabezpieczeniach nie może być udostępniona, gdy obowiązuje umowa o zachowaniu poufności. Chociaż programy te mogą przyjmować zgłoszenia, często do nich nie zachęcają.

Skoordynowane lub uznaniowe ujawnianie informacji

Skoordynowane lub uznaniowe ujawnianie informacji umożliwia publiczne ujawnienie luki w zabezpieczeniach. W zależności od konkretnych potrzeb organizacji w zakresie bezpieczeństwa może to być całkowite ujawnienie, częściowe ujawnienie lub określone konkretnie przez przypadek. Jeśli jednak zidentyfikowana luka w zabezpieczeniach ma wpływ na zdrowie i dobrostan ludzi, nie może zostać ujawniona publicznie. Dzieje się tak zazwyczaj w przypadku, gdy ujawnienie luki w zabezpieczeniach stwarza znaczne ryzyko dla klientów, na przykład w przypadku pojazdów, rozruszników serca lub innych urządzeń IoT, które są trudne do przywołania lub zdalnej aktualizacji.

Ujawnianie informacji w określonych terminach

Jednym z najczęstszych rodzajów ujawniania informacji stosowanych w VDP jest tzw. ujawnianie informacji w ramach czasowych. Nazwa pochodzi od "timera" ustawianego dla każdej zidentyfikowanej luki. Zazwyczaj ustalany jest przedział czasowy między powiadomieniem organizacji o luce w zabezpieczeniach a momentem, w którym badacze zabezpieczeń mogą publicznie ujawnić lukę w zabezpieczeniach. Ten typ VDP zapewnia organizacji czas na zabezpieczenie luki w zabezpieczeniach, zanim zostanie ona upubliczniona, zasadniczo pokazując jej zaangażowanie w szybkie rozwiązywanie i naprawianie krytycznych luk w zabezpieczeniach.

Pełne ujawnienia

Pełne ujawnienie, w przeciwieństwie do innych podejść, nie jest zazwyczaj polityką programu. Jest to przypadek komunikacji publicznej, w którym luka w zabezpieczeniach zidentyfikowana przez osobę fizyczną jest publicznie ujawniana, zanim zostanie naprawiona. Pełne ujawnienie informacji może być konieczne, aby zmusić właścicieli, którzy nie odpowiadają, do usunięcia luk w zabezpieczeniach.

Jednak ujawnienia powinny zawsze chronić zarówno właściciela, jak i wynagradzać znalazcę, przekonując do przyszłej współpracy i wzmacniając relacje między organizacjami a społecznością zajmującą się cyberbezpieczeństwem. Mając to na uwadze, zarówno pełne ujawnienia, jak i nieujawnianie informacji są rzadkie, ponieważ przynoszą korzyści tylko jednej stronie.

Co sprawia, że program ujawniania luk w zabezpieczeniach jest skuteczny?

Programy ujawniania luk w zabezpieczeniach nie są w swej istocie bardzo skomplikowane. Mówiąc prościej, VDP ustanawia ramy dla stron zewnętrznych, takich jak badacze bezpieczeństwa, do zgłaszania luk w zabezpieczeniach — oraz proces dla organizacji, których dotyczy problem, w celu otrzymywania tych raportów i korygowania tych luk. Istnieje jednak kilka kluczowych elementów, które składają się na udane VDP, skoncentrowane zarówno na organizacjach, jak i znalazcach.

Zdefiniowany zakres

VDP powinny jasno określać badaczom zakres polityki, w tym produkty, systemy, łańcuchy dostaw i rodzaje podatności na zagrożenia. Należy uwzględnić wskazówki dotyczące ograniczonych technik, które mogą negatywnie wpłynąć na działalność organizacji, takich jak atak DDoS (rozproszona odmowa usługi). Zakres ten jest elastyczny i w naturalny sposób będzie się zmieniał w czasie wraz z rozwojem aktywów i technik badawczych. Kiedy organizacja po raz pierwszy ustanawia VDP, jego zakres może być minimalny, ale z czasem wszystkie VDP powinny mieć na celu objęcie całego środowiska cyfrowego organizacji.

Proces i oczekiwania

Podobnie jak w przypadku zakresu, program ujawniania luk w zabezpieczeniach powinien mieć szczegółowy proces krok po kroku, który powinni śledzić badacze bezpieczeństwa. Konieczne jest również określenie oczekiwań dotyczących czasu potrzebnego organizacji na potwierdzenie, ocenę, klasyfikację, komunikowanie i korygowanie zgłoszonych luk w zabezpieczeniach. Kompleksowy VDP powinien z wyprzedzeniem jasno określać procesy i oczekiwania, aby zapobiec nieporozumieniom i nieporozumieniom.

Regularna komunikacja

Organizacje posiadające VDP powinny dążyć do pozostawania w regularnej komunikacji z uczestniczącymi badaczami przez cały proces zgłaszania luk w zabezpieczeniach. Przykładem może być wyznaczenie rozsądnych ram czasowych na udzielenie odpowiedzi badaczom bezpieczeństwa lub konkretnym punktom kontaktowym w organizacji. Ponadto należy rozważyć uznanie dla członków społeczności badaczy bezpieczeństwa, którzy wskazują luki w zabezpieczeniach, doceniając osoby, które odgrywają rolę w zapewnianiu bezpieczeństwa cyfrowej obecności organizacji.

Bezpieczna przystań

Jednym z najciekawszych elementów niektórych programów ujawniania luk w zabezpieczeniach jest "bezpieczna przystań", która zapewnia prawnie wiążącą gwarancję, że badacze bezpieczeństwa nie spotkają się z działaniami prawnymi lub karami za wyszukiwanie i identyfikowanie luk w zabezpieczeniach w dobrej wierze. Jest to istotna zachęta dla społeczności badaczy bezpieczeństwa, ponieważ tworzy warstwę ochrony dla znalazców. Jednak niektóre organizacje wolą nie uwzględniać kompleksowych "bezpiecznych przystani", zamiast tego decydując się na umowy, które chronią badaczy bezpieczeństwa, chyba że nie są one zgodne z warunkami i zakresem VDP.

Sprawdzone metody zarządzania VDP

Poza prostym ustanowieniem VDP i identyfikacją kluczowych komponentów, organizacje powinny również stosować najlepsze praktyki, które pozwolą ich programowi luk w zabezpieczeniach działać bezproblemowo dla nich samych, ich partnerów i globalnej społeczności badaczy bezpieczeństwa.

Ujednolicenie oczekiwań

Komunikacja ma kluczowe znaczenie podczas stosowania i korzystania z programu ujawniania luk w zabezpieczeniach. Badacze bezpieczeństwa, którzy zdecydują się zgłaszać luki w zabezpieczeniach, powinni być w stanie w pełni zrozumieć proces organizacji i to, czego można się spodziewać po drodze.

Zapewnij jasne wskazówki prawne

Podczas procesu VDP należy udzielać jasnych wskazówek prawnych, korzystając ze standardowych terminów i przykładów. Na przykład ustawa o oszustwach i nadużyciach komputerowych (CFAA) zabrania uzyskiwania dostępu do komputera bez autoryzacji lub przekraczania autoryzowanego dostępu, więc wielu badaczy bezpieczeństwa waha się przed testowaniem zasobów, w których nie ma solidnych VDP. Komunikuj jasne granice prawne, aby pomóc badaczom bezpieczeństwa zrozumieć ich rolę i zabezpieczenia podczas procesu VDP.

Interakcje naziemne w dobrej wierze

Praca zespołowa ma kluczowe znaczenie podczas procesu VDP. Chociaż zezwalanie badaczom bezpieczeństwa i etycznym hakerom na wskazanie luk w zabezpieczeniach organizacji może wydawać się niepokojące, motywacja stojąca za tym jest zakorzeniona w altruizmie i zabezpieczaniu aktywów organizacji. Mając to na uwadze, współdziałaj w dobrej wierze i pamiętaj, że udany VDP przynosi korzyści zarówno organizacji, jak i badaczom bezpieczeństwa.

Skoncentruj się na korygowaniu

Pamiętaj, że głównym celem programu wykrywania luk w zabezpieczeniach jest poprawa stanu bezpieczeństwa i lepsza ochrona użytkowników końcowych poprzez usuwanie luk w zabezpieczeniach. Nadaj priorytet tej ochronie, rozwiązując i korygując wszelkie zgłoszone luki w zabezpieczeniach w odpowiednim czasie. Nie tylko ochroni to użytkowników końcowych, ale także pokaże, jak VDP działa zgodnie z planem.

Rozwiązywanie problemów z procesem

Niezależnie od tego, jak zorganizowany i przemyślany jest program ujawniania luk w zabezpieczeniach, z czasem pojawią się punkty bólu, które naświetlą obszary, nad którymi należy popracować. Rozwiąż ten problem z czasem, rozwiązując wszelkie problemy. Pamiętaj, aby włączyć w ten proces badaczy bezpieczeństwa, którzy mogą również wskazać obszary do poprawy ze swojej strony.

Integracja z istniejącym krajobrazem zabezpieczeń

Pamiętaj, że nawet najbardziej solidny program ujawniania luk w zabezpieczeniach to tylko jeden z elementów większego krajobrazu cyberbezpieczeństwa, który obejmuje wiele narzędzi i procesów zaprojektowanych w celu zapewnienia bezpieczeństwa organizacji. Rutynowy przegląd istniejącego środowiska zabezpieczeń i wdrażanie nowych najlepszych praktyk

Znaj swoje granice

Nie wszystkie organizacje mogą czuć się gotowe do stworzenia i wdrożenia programu ujawniania luk w zabezpieczeniach. Chociaż są pomocne, mogą wydawać się przytłaczające dla organizacji, która dopiero zaczyna budować swój ekosystem cyberbezpieczeństwa. Komunikuj się wewnętrznie, aby zidentyfikować najlepsze praktyki i narzędzia odpowiednie dla konkretnych potrzeb Twojej organizacji, lub rozważ współpracę z zespołem dostawców VDP w celu podstawowego wdrożenia.

Używanie programów ujawniających luki w zabezpieczeniach jako narzędzia cyberbezpieczeństwa

Programy ujawniania luk w zabezpieczeniach, znane również jako skoordynowane lub odpowiedzialne ujawnianie, zapewniają badaczom bezpieczeństwa ramy do zgłaszania problemów z zabezpieczeniami, luk w zabezpieczeniach lub błędów organizacji. Te luki w zabezpieczeniach mogą być następnie eliminowane i korygowane przez organizację, tworząc bezpieczniejszą i bezpieczniejszą obecność cyfrową.

VDP to tylko jedno z wielu narzędzi do budowania cyberbezpieczeństwa w organizacji. Najlepszy rodzaj zestawu narzędzi to taki, który zawiera wiele różnych narzędzi, które mogą rozwiązać różne problemy. Podejście organizacji do zarządzania ryzykiem cybernetycznym powinno być podobne, z różnorodnym zestawem narzędzi, które mogą identyfikować, eliminować i zapobiegać przyszłym lukom w zabezpieczeniach, naruszeniom lub infiltracji. Rozważ dodanie programu dyskursu dotyczącego luk w zabezpieczeniach do podstawowego zestawu narzędzi cyberbezpieczeństwa organizacji, aby zwiększyć bezpieczeństwo danych i chronić użytkowników końcowych.