U protekla dva mjeseca predvodili smo koaliciju timova za održavanje, istraživača i pružalaca sigurnosnih usluga radi otklanjanja kritičnih ranjivosti u PHP-u, programskom jeziku otvorenog koda koji pokreće web-stranice i web-aplikacije. Calif je otkrio kritični propust pomoću modela GPT‑5.6 Sol u okviru naše inicijative Patch the Planet(otvara se u novom prozoru), a Wiz je također nezavisno otkrio i prijavio obje ranjivosti. Tim za održavanje PHP-a predvodio je izradu i objavu ispravki, dok su naši timovi i partneri poput Wiza, Cloudflarea i drugih doprinijeli istraživanjem, tehničkom podrškom i koordinacijom kako bi se zaštitne mjere pripremile prije javne objave.
Organizacijama koje koriste PHP sada je prioritet primjena ispravki. Objavljujemo alat za provjeru verzije PHP-a kao vještinu za Codex(otvara se u novom prozoru) kako bismo pomogli administratorima da prepoznaju potencijalno ranjive verzije PHP-a i, uz smjernice PHP-a i svojih pružalaca usluga, utvrde koja su ažuriranja potrebna.
S obzirom na ozbiljnost ovih propusta i široku upotrebu PHP-a, smatramo ovo jednim od sigurnosnih problema s najvećim utjecajem u novije vrijeme. Ovaj slučaj pokazuje kako AI može otkriti sigurnosne propuste s posljedicama na nivou cijelog interneta, ali iste mogućnosti mogu pomoći i napadačima da brzo razviju alate za napade i iskorištavanje ranjivosti.
Prema našim saznanjima, granični AI otkrio je ove ranjivosti prije napadača i tako otvorio vremenski prostor za odbranu, u kojem su timovi za održavanje i pružaoci sigurnosnih usluga mogli pripremiti ispravke i zaštitu prije javne objave.
Kako bismo većem broju stručnjaka za odbranu omogućili korištenje ovih mogućnosti, namijenili smo milijardu dolara za subvencionirani pristup Daybreaku kroz program Daybreak za stručnjake na prvoj liniji odbrane, usmjeren na organizacije koje štite ključne usluge uz ograničene sigurnosne resurse.
Koliko god bile značajne, ove greške samo su neke od ozbiljnih ranjivosti koje smo već otkrili i na čijem otklanjanju radimo. Očekujemo nagli porast sličnih otkrića u narednim mjesecima. Na osnovu dosadašnjeg iskustva predstavljamo prijedlog pristupa reagovanju na kritične ranjivosti u široko korištenom softveru, prilagođen eri AI-ja, i pozivamo sigurnosnu zajednicu da pomogne unaprijediti ovaj okvir. On povezuje naše modele, sigurnosnu stručnost i timove za održavanje kako bi se otkrića pretvorila u zaštitu i izgradio odgovor koji može pratiti napredak mogućnosti AI-ja.
Uvođenje ispravke u upotrebu može zahtijevati prilagođavanje starijim izdanjima, pripremu mjera ublažavanja kod pružalaca usluga i ažuriranje sistema u brojnim organizacijama. Ponovljiv proces pomaže tim timovima da brzo djeluju kako se otkriva sve više ranjivosti.
Kroz inicijativu Patch the Planet pružili smo sigurnosnu stručnost i pristup modelima kao podršku odgovoru na ranjivosti u PHP-u te s timovima za održavanje i istraživačkim partnerima testirali ispravke i pripremali smjernice. Pomogli smo i u koordinaciji s pružaocima infrastrukture radi zaštite pogođenih sistema te uključili državne agencije za kibernetičku sigurnost kako bi smjernice stigle do organizacija od ključnog značaja. Time smo podržali odgovor koji je predvodio tim za održavanje i pomogli drugim stručnjacima za odbranu da se pripreme.
Kod nekih otkrića istraživači mogu direktno sarađivati s timovima za održavanje softvera kako bi istražili problem i razvili ispravku. Druga zahtijevaju širi odgovor jer pogađaju mnoge proizvode ili zato što distributerima i pružaocima usluga treba vremena za pripremu ažuriranja i zaštite. Tog vremena može biti malo ako granične mogućnosti nisu mnogo ispred onih koje su široko dostupne. U tim slučajevima predloženi okvir može pomoći timovima za održavanje da utvrde koga treba uključiti i koordiniraju rad. Odgovor može obuhvatiti pet faza:
Potvrditi i otkloniti ranjivost u izvornom projektu. Tim za održavanje, istraživači i ključni tehnički partneri potvrđuju nalaz, procjenjuju njegov utjecaj te razvijaju i testiraju ispravku. Ovaj proces uključuje testiranje simuliranim napadima pomoću graničnih modela radi pronalaženja načina za zaobilaženje zakrpe i srodnih varijanti ranjivosti.
Dati pogođenim organizacijama vremena da djeluju. Predlažemo okvir za procjenu kojim organizacijama trebaju ranije informacije radi pripreme zaštite, dok timovi za održavanje odlučuju koga uključiti. Pomažemo u uspostavljanju kontakata, dogovorima o razmjeni informacija i koordinaciji timova. Distributer može prilagoditi ispravku starijem izdanju, pružalac hostinga testirati mjeru ublažavanja, a pružalac sigurnosnih usluga pripremiti mjere otkrivanja ili sprečavanja, uključujući pravila zaštitnog zida za web-aplikacije (WAF).
Koordinirati s državnim partnerima radi zaštite kritičnih sistema. Državne agencije imaju ključnu ulogu u koordinaciji šireg odgovora i dostavljanju sigurnosnih smjernica organizacijama odgovornim za kritičnu infrastrukturu i druge ključne usluge. U slučaju PHP-a, s partnerima smo radili na uključivanju više tijela američke vlade, među kojima su tim Bijele kuće za superinteligenciju, Ured nacionalnog direktora za kibernetičku sigurnost (ONCD) i Agencija za kibernetičku i infrastrukturnu sigurnost (CISA), kao i međunarodnih partnera radi podrške tim naporima.
Pripremiti ažuriranja za pogođene proizvode. Kada ispravka, smjernice i planovi objave budu dovoljno razrađeni, timovi za održavanje mogu uključiti dodatne distributere, pružaoce hostinga i drugih usluga, timove za odgovor na incidente i administratore radi pripreme ažuriranja i zatvaranja praznina u zaštiti.
Kada zakrpa postane dostupna, objaviti smjernice i podržati primjenu. Javne smjernice pomažu korisnicima da procijene izloženost, pronađu službena ažuriranja ili privremene mjere ublažavanja i provjere je li ispravka aktivna. Odgovor se nastavlja dok administratori primjenjuju ažuriranja i prijavljuju gdje im je potrebna pomoć.
Predloženi okvir uzima u obzir zaštitnu ulogu organizacije, uključujući zaštitu vlastitih sistema i klijenata, vrijeme potrebno za djelovanje i njenu sposobnost rukovanja osjetljivim informacijama. Isti kriteriji važili bi za uporedive organizacije, a timovi za održavanje odlučivali bi koga uključiti prije javne objave.
Svaki učesnik dobija informacije potrebne za svoj rad na zaštiti, od mrežnih zapisnika s pokazateljima kompromitacije do osjetljivijih, funkcionalnih demonstracija iskorištavanja ranjivosti. Čak i ograničeni detalji mogu otkriti ranjivost, pa odmjeravamo rizik njihovog dijeljenja u odnosu na zaštitu koju omogućavaju.
Timovi koji primjenjuju ovaj okvir sarađivali bi s timovima za održavanje kako bi stručnjacima za odbranu dali vremena za pripremu i preispitali rokove u slučaju aktivnog iskorištavanja ranjivosti u stvarnim napadima, curenja informacija, javne zakrpe koja otkriva ranjivost ili povećanog rizika za korisnike zbog zastoja u otklanjanju problema.
Web-stranica inicijative Patch the Planet(otvara se u novom prozoru) objedinjuje javne objave i smjernice kako bi administratori prepoznali pogođene sisteme, pronašli odgovarajuće ažuriranje i provjerili radi li ažurirani softver ispravno. Za PHP upućuje na službenu zakrpu i upute za nadogradnju koje je objavio tim za održavanje, kao i na tehnička istraživanja naših partnera. Smjernice obuhvataju i privremene mjere ublažavanja, situacije u kojima treba uključiti pružaoca usluga ili stručnjaka te izradu sigurnosnih kopija i oporavak. Privremena zaštita može smanjiti rizik, ali jasno ćemo navesti njena ograničenja i kompromise u radu koje zahtijeva.
Administratori mogu koristiti smjernice agencije CISA o prioritetima i otklanjanju ranjivosti(otvara se u novom prozoru) da procijene koliko brzo treba djelovati na osnovu izloženosti, iskorištavanja ranjivosti i mogućih posljedica. To može podrazumijevati hitno postavljanje zakrpe, trenutno ublažavanje rizika ili planirano ažuriranje, uz početnu forenzičku procjenu kada je opravdana radi utvrđivanja jesu li sistemi već kompromitirani. Prioritete treba preispitivati kako se okolnosti mijenjaju, uz jasan put ka trajnom otklanjanju problema.
Globalna koordinacija zavisi od ljudi koji održavaju softver. Mnoge projekte vode mali timovi koji, uz redovan razvoj, pregledaju i sigurnosne prijave. Tim timovima treba pomoć da razdvoje nove probleme od duplikata, procijene utjecaj i testiraju ispravke u podržanim izdanjima. Taj rad podržavamo finansiranjem, pristupom sposobnim modelima i praktičnom inženjerskom pomoći.
Moćne mogućnosti AI-ja napreduju širom industrije i očekujemo da će AI imati sve veću ulogu u pomaganju stručnjacima za odbranu da pronalaze ranjivosti, nadziru sisteme i odgovaraju na prijetnje. Ulažemo u modele, alate i partnerstva kako bismo stručnjacima za odbranu pomogli da te mogućnosti primijene u praksi.
Naša ulaganja uključuju pretplate za sve koji održavaju softver kroz program Codex za OSS i direktno sponzoriranje projekata poput fondacije Rust(otvara se u novom prozoru), radi podrške timovima za održavanje i tehničkom radu. Svaki projekt određuje vlastite prioritete. Višekratno upotrebljivi testovi i sigurnosni radni postupci mogu smanjiti napor potreban za obradu budućih nalaza. Projekti otvorenog koda mogu se prijaviti za Patch the Planet(otvara se u novom prozoru) radi praktične podrške.
Podešavamo i dodatne klasifikatore za blokiranje u Daybreaku kako bismo smanjili mogućnost zloupotrebe. To zahtijeva teške kompromise: zaštitne mjere namijenjene sprečavanju zloupotrebe mogu blokirati i legitiman sigurnosni rad. I širok pristup sposobnim modelima i djelotvorna zaštita od zloupotrebe od ključnog su značaja. Cilj nam je sačuvati mogućnosti koje su stručnjacima za odbranu potrebne da pronađu i otklone ranjivosti, a istovremeno ograničiti štetnu upotrebu. Nastavit ćemo usavršavati tu ravnotežu kako mogućnosti budu napredovale i kako budemo učili iz načina korištenja ovih alata.
Kako modeli postaju sposobniji, prilike se šire i izvan pronalaženja i otklanjanja pojedinačnih ranjivosti. Želimo pomoći inženjerima da od samog početka razvijaju sigurniji softver. Unapređenja široko korištene komponente mogu spriječiti greške ili ograničiti njihov utjecaj u brojnim proizvodima i uslugama.
AI može pomoći inženjerima da razumiju postojeći kod, pripreme izmjene i razviju testove, dok timovi za održavanje i sigurnosni stručnjaci provjeravaju da te izmjene čuvaju ponašanje softvera na koje se korisnici oslanjaju. Vidimo prilike u nekoliko oblasti:
Siguran kod od samog početka. Modeli za programiranje mogu pomoći programerima da izaberu sigurnije zadane postavke, pravilno koriste sigurnosne biblioteke i uoče rizične obrasce tokom pisanja koda. Sprečavanje ranjivosti tokom razvoja znači manje hitnih ispravki za timove za održavanje i korisnike.
Softver sa sigurnim upravljanjem memorijom. Prebacivanje kritičnih komponenti na jezike sa sigurnim upravljanjem memorijom može ukloniti česte klase memorijskih grešaka. AI može pomoći pri migracijama, uz testove i stručni pregled kojima se provjeravaju ponašanje i kompatibilnost.
Formalna verifikacija. Matematički dokazi mogu pokazati da kritične komponente zadovoljavaju određena sigurnosna svojstva pod navedenim pretpostavkama. Primjena ovih metoda na široko korištene komponente mogla bi pomoći da se isključe čitave klase ranjivosti u uslugama i kritičnoj infrastrukturi koje zavise od njih.
Jača izolacija. Sistemima je potrebna zaštita od ranjivosti koje još nisu otkrivene ili otklonjene. Pokretanje softvera koji obrađuje nepouzdane datoteke, slike ili medijske sadržaje u strogo ograničenim izoliranim okruženjima može ograničiti štetu ako softver bude kompromitiran. AI može pomoći inženjerima da testiraju i ojačaju široko korištene tehnologije izolacije, čime se unapređuje zaštita brojnih aplikacija.
Predstavljamo svoj pristup kako bi timovi za održavanje, istraživači, timovi za odgovor na incidente, pružaoci usluga i administratori pomogli da bude primjenjiv u praksi. Želimo razumjeti gdje bi pomogao, gdje bi mogao izazvati kašnjenja ili dodatno opterećenje i šta smo previdjeli. Primjeri iz ranijih objava ranjivosti bili bi naročito korisni.
Posebno nas zanimaju:
Rokovi za objavu. Koliko vremena timovima za održavanje, administratorima i stručnjacima za odbranu treba da pripreme i primijene pouzdane ispravke? Koji bi dokazi trebali potaknuti raniju objavu, naročito kada se neki korisnici mogu zaštititi prije drugih?
Hitno postavljanje zakrpi. Kada bi, ako uopće, državna tijela ili drugi administratori trebali iskoristiti ranjivost da postave zakrpe na sisteme koje posjeduju ili kojima su ovlašteni upravljati, nakon gubitka administratorskog pristupa? Koje bi zaštitne mjere trebale važiti? Možemo zamisliti krajnji cilj u kojem se cijeli internet neprekidno skenira radi poznatih ranjivosti, a nakon otkrivanja se obavještavaju vlasnici stranica ili se sistem zakrpljuje.
Rano obavještavanje. Kome treba unaprijed poslati upozorenje da bi mogao poduzeti korisne zaštitne mjere, uključujući stručnjake za odbranu koje bismo mogli previdjeti? Kada je postepeno obavještavanje djelotvornije od istovremenog obavještavanja šire grupe i kako odmjeriti obuhvat zaštite u odnosu na rizik od curenja informacija?
Softverski paketi sigurni po zadanim postavkama. Kako možemo pomoći u otkrivanju i otklanjanju ranjivosti u izvedenim paketima dok se čekaju ispravke u izvornom projektu ili prilagoditi ispravke starijim verzijama koje više ne dobijaju sigurnosna ažuriranja? Kakvo bi testiranje i održavanje učinilo te pakete pouzdanim izborom kada pravovremena nadogradnja nije izvediva?
Dobrodošle su i preporuke nezavisnih sigurnosnih stručnjaka koji mogu pregledati pristup, preispitati njegove pretpostavke i uočiti nedostatke. Vaši komentari pomoći će nam da usavršimo odgovor i odredimo prioritete podrške. Ovdje podijelite svoje povratne informacije(otvara se u novom prozoru).
