Patch the Planet: üleilmne koostöö agentide leitud kriitiliste turvanõrkuste kõrvaldamiseks
Viimase kahe kuu jooksul juhtisime hooldajate, teadlaste ja turvateenuse pakkujate koostööd, et kõrvaldada kriitilised turvanõrkused PHP-s – avatud lähtekoodiga programmeerimiskeeles, mille abil töötavad veebisaidid ja veebirakendused. Calif tuvastas meie algatuse Patch the Planet(avaneb uues aknas) raames GPT‑5.6 Soli abil kriitilise vea. Ka Wiz avastas mõlemad turvanõrkused iseseisvalt ja teatas neist. Paranduste tegemist ja avaldamist juhtisid PHP hooldajad. Meie tiimid ning partnerid, sealhulgas Wiz ja Cloudflare, panustasid uuringute, tehnilise toe ja koordineerimisega, et kaitsemeetmed oleksid enne avalikustamist valmis.
PHP-d kasutavate organisatsioonide esmane ülesanne on nüüd parandused rakendada. Jagame PHP versioonikontrollijat Codexi oskusena(avaneb uues aknas) aitamaks halduritel tuvastada potentsiaalselt haavatavaid PHP versioone ning selgitada PHP ja oma teenusepakkujate juhiste toel välja vajalikud uuendused.
Arvestades nende vigade tõsidust ja PHP laialdast kasutust, peame seda üheks viimaste aastate suurima mõjuga turvaprobleemiks. See näitab, kuidas tehisintellekt suudab avastada kogu internetti mõjutavaid turvavigu, kuid sama võimekus võib aidata ka ründajatel kiiresti luua ründevahendeid ja turvanõrkusi ära kasutavat koodi.
Meile teadaolevalt leidis tipptasemel tehisintellekt need turvanõrkused enne ründajaid, avades hooldajatele ja turvateenuse pakkujatele kaitsjate võimaluste akna, et valmistada parandused ja kaitsemeetmed ette enne avalikustamist.
Et rohkem kaitsjaid saaks seda võimekust kasutada, oleme programmi Daybreak eesliini kaitsjatele kaudu eraldanud miljard dollarit subsideeritud juurdepääsuks Daybreakile. Keskendume piiratud turberessurssidega organisatsioonidele, kes kaitsevad elutähtsaid teenuseid.
Kuigi need vead on tõsised, on need vaid osa olulistest turvanõrkustest, mille oleme juba leidnud ja mille parandamisega tegeleme. Eeldame, et sarnaste leidude arv kasvab lähikuudel järsult. Seniste kogemuste põhjal pakume välja tehisintellekti ajastusse sobiva lähenemise laialt kasutatava tarkvara kriitilistele turvanõrkustele reageerimiseks ning palume turvakogukonnal aidata seda raamistikku täiustada. See ühendab meie mudelid, turvaekspertide teadmised ja hooldajad, et leidudest sünniksid kaitsemeetmed ning reageerimissuutlikkus kasvaks koos tehisintellekti võimekusega.
Paranduse kasutuselevõtt võib nõuda selle kohandamist vanematele versioonidele, leevendusmeetmete ettevalmistamist teenusepakkujate juures ja süsteemide uuendamist paljudes organisatsioonides. Korratav protsess aitab neil tiimidel uute turvanõrkuste avastamisel kiiresti tegutseda.
Patch the Planeti kaudu pakkusime PHP turvanõrkustele reageerimise toetamiseks turvaalast oskusteavet ja juurdepääsu mudelitele ning tegime hooldajate ja uurimispartneritega koostööd paranduste testimiseks ja juhiste koostamiseks. Aitasime ka koordineerida mõjutatud süsteemide kaitset taristuteenuse pakkujatega ning kaasasime riiklikke küberturbeasutusi, et juhised jõuaksid kriitilise tähtsusega organisatsioonideni. See toetas hooldajate juhitud reageerimist ja aitas teistel kaitsjatel valmistuda.
Mõne leiu puhul saavad uurijad probleemi analüüsimiseks ja paranduse väljatöötamiseks teha koostööd otse tarkvara hooldajatega. Teised nõuavad laiemat reageerimist, sest mõjutavad paljusid tooteid või vajavad levitajad ja teenusepakkujad uuenduste ja kaitsemeetmete ettevalmistamiseks aega. Seda võib nappida, kui tipptasemel võimekus ei edesta kuigi palju laialdaselt kättesaadavat võimekust. Sellistel juhtudel aitab kavandatav raamistik hooldajatel otsustada, keda kaasata, ja tööd koordineerida. Reageerimine võib hõlmata viit etappi:
Kinnitage ja parandage turvanõrkus algses tarkvaraprojektis. Hooldaja, uurijad ja vajalikud tehnilised partnerid kinnitavad leiu, hindavad selle mõju ning töötavad välja ja testivad paranduse. See hõlmab ründetestimist tipptasemel mudelitega, et otsida võimalusi parandusest mööda pääseda ja turvanõrkuse seotud variante.
Andke mõjutatud organisatsioonidele aega tegutseda. Pakume raamistikku hindamaks, millised organisatsioonid vajavad kaitsemeetmete ettevalmistamiseks eelteavet. Kaasamise üle otsustavad hooldajad. Aitame ühenduse võtmise, teabejagamise kokkulepete ja tiimidevahelise koordineerimisega. Levitaja võib kohandada parandust vanemale versioonile, majutusteenuse pakkuja testida leevendusmeedet ning turvateenuse pakkuja valmistada ette tuvastus- või ennetusmeetmeid, sealhulgas veebirakenduse tulemüüri (WAF) reegleid.
Koordineerige tegevust riiklike partneritega, et aidata kaitsta kriitilisi süsteeme. Riigiasutustel on oluline roll laiema reageerimise koordineerimisel ning turvajuhiste viimisel kriitilise taristu ja muude elutähtsate teenuste eest vastutavate organisatsioonideni. PHP puhul tegime koos partneritega tööd USA valitsusasutuste kaasamiseks, sealhulgas Valge Maja superintellekti töörühma, riikliku küberjulgeoleku juhi büroo (ONCD) ning küberturvalisuse ja taristu turvalisuse ameti (CISA) kaasamiseks. Kaasasime ka rahvusvahelisi partnereid.
Valmistage ette mõjutatud toodete uuendused. Kui parandus, juhised ja avalikustamisplaanid on piisavalt kindlad, saavad hooldajad kaasata täiendavaid levitajaid, majutus- ja muid teenusepakkujaid, reageerimistiime ning haldureid, et valmistada ette uuendused ja kõrvaldada lüngad kaitses.
Kui parandus on saadaval, avaldage juhised ja toetage kasutuselevõttu. Avalikud juhised aitavad hinnata süsteemide ohustatust, leida usaldusväärseid uuendusi või ajutisi leevendusmeetmeid ning kontrollida, kas parandus on rakendatud. Reageerimine jätkub, kui haldurid paigaldavad uuendusi ja teatavad, kus nad abi vajavad.
Kavandatav raamistik arvestab organisatsiooni kaitserolli, sealhulgas oma süsteemide ja klientide kaitsmist, tegutsemiseks vajalikku aega ning võimet käsitleda tundlikku teavet. Võrreldavatele organisatsioonidele kehtiksid samad kriteeriumid ning hooldajad otsustaksid, keda enne avalikustamist kaasata.
Iga osaleja saab kaitsetööks vajaliku teabe, alates kompromiteerimise tunnustega võrgulogidest kuni tundlikuma, turvanõrkuse ärakasutatavust tõendava toimiva ründekoodini. Isegi vähesed üksikasjad võivad turvanõrkuse paljastada, seega kaalume nende jagamise riski võrreldes kaitsega, mida need võimaldavad.
Raamistikku järgivad tiimid teeksid hooldajatega koostööd, et anda kaitsjatele ettevalmistusaega. Ajakava hinnataks ümber aktiivse ärakasutamise, lekke, turvanõrkust paljastava avaliku paranduse või takerdunud parandustööst tuleneva kasutajate riski kasvu korral.
Patch the Planeti veebisait(avaneb uues aknas) koondab avalikustatud teabe ja juhised, et aidata halduritel tuvastada mõjutatud süsteeme, leida õige uuendus ja kontrollida, kas uuendatud tarkvara töötab korralikult. PHP puhul viitab see hooldajate ametlikule parandusele ja uuendamisjuhistele ning meie partnerite tehnilistele uuringutele. Juhised käsitlevad ka ajutisi leevendusmeetmeid, teenusepakkuja või eksperdi kaasamise vajadust ning varundamist ja taastamist. Ajutised kaitsemeetmed võivad riski vähendada, kuid selgitame ka nende piiranguid ja mõju süsteemide tööle.
Haldurid saavad kasutada CISA juhiseid prioriseerimise ja turvanõrkuste kõrvaldamise kohta(avaneb uues aknas), et hinnata tegutsemise kiireloomulisust ohustatuse, ärakasutamise ja võimaliku mõju põhjal. See võib tähendada erakorralist parandamist, viivitamatut leevendamist või plaanilist uuendust ning vajaduse korral esmast küberkriminalistilist analüüsi, et hinnata, kas süsteemid on juba kompromiteeritud. Olude muutudes tuleb prioriteedid üle vaadata, säilitades selge plaani püsiva lahenduseni jõudmiseks.
Üleilmne koordineerimine sõltub inimestest, kes tarkvara hooldavad. Paljusid projekte veavad väikesed tiimid, kes vaatavad turvateateid läbi igapäevase arendustöö kõrvalt. Need tiimid vajavad abi uute probleemide eristamisel korduvatest teadetest, mõju hindamisel ja paranduste testimisel kõigis toetatud versioonides. Toetame seda tööd rahastuse, võimekatele mudelitele juurdepääsu ja praktilise inseneriabiga.
Tehisintellekti võimekus areneb kogu sektoris ning eeldame, et tehisintellekt aitab kaitsjatel üha enam leida turvanõrkusi, jälgida süsteeme ja reageerida ohtudele. Investeerime mudelitesse, tööriistadesse ja partnerlustesse, et aidata kaitsjatel seda võimekust rakendada.
Meie investeeringud hõlmavad tellimusi kõigile hooldajatele programmi Codex avatud lähtekoodiga tarkvarale kaudu ning selliste projektide nagu Rusti sihtasutus(avaneb uues aknas) otsest rahastamist hooldajate ja tehnilise töö toetamiseks. Iga projekt seab oma prioriteedid ise. Korduskasutatavad testid ja turbe töövood võivad vähendada tulevaste leidude käsitlemiseks kuluvat vaeva. Avatud lähtekoodiga projektid saavad praktilise toe saamiseks taotleda osalemist Patch the Planetis(avaneb uues aknas).
Samuti häälestame Daybreaki jaoks täiendavaid blokeerivaid klassifikaatoreid, et vähendada väärkasutuse võimalust. Sellega kaasnevad keerulised kompromissid: kuritarvituste vältimiseks mõeldud kaitsemeetmed võivad takistada ka õiguspärast turvatööd. Nii laialdane juurdepääs võimekatele mudelitele kui ka tõhus kaitse väärkasutuse eest on hädavajalikud. Meie eesmärk on säilitada kaitsjatele vajalik võimekus turvanõrkuste leidmiseks ja parandamiseks, piirates samal ajal kahjulikku kasutust. Jätkame selle tasakaalu täpsustamist, kui võimekus areneb ja õpime nende tööriistade kasutamisest.
Mida võimekamaks mudelid muutuvad, seda enam avarduvad võimalused üksikute turvanõrkuste leidmisest ja parandamisest kaugemale. Soovime aidata inseneridel luua turvalisemat tarkvara juba algusest peale. Laialt kasutatava komponendi täiustamine võib ennetada vigu või piirata nende mõju paljudes toodetes ja teenustes.
Tehisintellekt saab aidata inseneridel mõista olemasolevat koodi, valmistada ette muudatusi ja luua teste. Hooldajad ja turvaeksperdid kontrollivad samal ajal, et muudatused säilitaksid toimimise, millele kasutajad tuginevad. Näeme võimalusi mitmes valdkonnas:
Turvaline kood algusest peale. Programmeerimismudelid saavad aidata arendajatel valida turvalisemaid vaikesätteid, kasutada turbeteeke õigesti ja märgata riskantseid mustreid juba koodi kirjutamisel. Turvanõrkuste ennetamine arenduse käigus tähendab hooldajatele ja kasutajatele vähem erakorralisi parandusi.
Mäluohutu tarkvara. Kriitiliste komponentide üleviimine mäluohututesse keeltesse võib kõrvaldada levinud mäluvigade klasse. Tehisintellekt saab aidata üleviimisel, samas kui testide ja eksperdikontrolliga saab kontrollida toimimist ja ühilduvust.
Formaalne verifitseerimine. Matemaatilised tõestused võivad näidata, et kriitilised komponendid vastavad kindlaksmääratud eeldustel määratletud turbeomadustele. Nende meetodite rakendamine laialt kasutatavatele komponentidele võiks aidata välistada turvanõrkuste klasse neist sõltuvates teenustes ja kriitilises taristus.
Tugevam isoleerimine. Süsteemid vajavad kaitset ka turvanõrkuste eest, mida pole veel leitud ega parandatud. Mitteusaldusväärseid faile, pilte või meediat töötleva tarkvara käitamine rangelt piiratud liivakastides võib vähendada kahju selle kompromiteerimise korral. Tehisintellekt saab aidata inseneridel testida ja tugevdada laialt kasutatavaid liivakastitehnoloogiaid, parandades paljude rakenduste kaitset.
Jagame oma lähenemist, et hooldajad, uurijad, reageerimistiimid, teenusepakkujad ja haldurid saaksid aidata muuta selle praktikas toimivaks. Soovime mõista, kus sellest oleks abi, kus see võiks põhjustada viivitusi või lisakoormust ning mis on meil märkamata jäänud. Eriti kasulikud oleksid näited varasematest avalikustamistest.
Eelkõige huvitavad meid järgmised teemad:
Aeg avalikustamiseni. Kui palju aega vajavad hooldajad, haldurid ja kaitsjad usaldusväärsete paranduste ettevalmistamiseks ja kasutuselevõtuks? Millised tõendid peaksid tingima varasema avalikustamise, eriti kui osa kasutajaid saab kaitsta teistest varem?
Erakorraline parandamine. Kas ja millal peaksid valitsused või muud haldurid pärast administraatorijuurdepääsu kaotamist kasutama turvanõrkust neile kuuluvate või nende hallata lubatud süsteemide parandamiseks? Millised kaitsemeetmed peaksid sel juhul kehtima? Võime ette kujutada tulevikku, kus kogu internetti skannitakse pidevalt teadaolevate turvanõrkuste leidmiseks ning leiu korral kas teavitatakse saidi omanikke või parandatakse süsteem.
Varajane teavitamine. Kes vajab eelhoiatust, et rakendada kasulikku kaitsemeedet, sealhulgas kaitsjad, kes võivad meil tähelepanuta jääda? Millal toimib etapiviisiline teavitamine paremini kui laiema rühma korraga teavitamine ning kuidas kaaluda teavituse ulatust võrreldes lekkeriskiga?
Vaikimisi turvalised tarkvarapaketid. Kuidas saame aidata tuvastada ja parandada turvanõrkusi algsest projektist sõltuvates pakettides, kuni algse projekti parandused on veel ootel, või kohandada parandusi vanematele versioonidele, mis enam turvauuendusi ei saa? Milline testimine ja hooldus muudaks need paketid usaldusväärseks valikuks, kui õigeaegne uuendamine pole võimalik?
Ootame ka soovitusi sõltumatute turvaekspertide kohta, kes saaksid lähenemise üle vaadata, selle eeldused kahtluse alla seada ja lünki tuvastada. Teie panus aitab meil reageerimist täiustada ja otsustada, kuhu tuge eelisjärjekorras suunata. Jagage oma tagasisidet siin(avaneb uues aknas).
