Patch the Planet. համաշխարհային արձագանք գործակալների բացահայտած կրիտիկական խոցելիություններին
Վերջին երկու ամսում մենք ղեկավարեցինք սպասարկողների, հետազոտողների և անվտանգության ծառայություններ մատուցողների միավորումը՝ PHP-ի կրիտիկական խոցելիությունները վերացնելու համար։ PHP-ն բաց կոդով ծրագրավորման լեզու է, որով աշխատում են կայքերն ու վեբ հավելվածները։ Մեր Patch the Planet(բացվում է նոր պատուհանում) նախաձեռնության շրջանակում Calif-ը GPT‑5.6 Sol-ի միջոցով հայտնաբերեց կրիտիկական թերություն։ Wiz-ը նույնպես անկախ հայտնաբերեց և հաղորդեց երկու խոցելիությունների մասին։ Շտկումներն ու թողարկումը ղեկավարեցին PHP-ի սպասարկողները։ Մեր թիմերը և Wiz-ի, Cloudflare-ի նման գործընկերներն աջակցեցին հետազոտությամբ, տեխնիկական օգնությամբ և համակարգմամբ՝ մինչև հրապարակումը պաշտպանական միջոցներ պատրաստելու համար։
PHP օգտագործող կազմակերպությունների առաջնահերթությունն այժմ շտկումները կիրառելն է։ Մենք տրամադրում ենք PHP-ի տարբերակները ստուգող գործիք՝ որպես Codex-ի հմտություն(բացվում է նոր պատուհանում) օգնելու համակարգերի պատասխանատուներին հայտնաբերել հնարավոր խոցելի տարբերակները և, հետևելով PHP-ի ու ծառայություններ մատուցողների ցուցումներին, որոշել անհրաժեշտ թարմացումները։
Հաշվի առնելով այս թերությունների լրջությունն ու PHP-ի տարածվածությունը՝ սա համարում ենք վերջին տարիների անվտանգության ամենամեծ ազդեցություն ունեցող խնդիրներից մեկը։ Սա ցույց է տալիս, թե ինչպես ԱԲ-ն կարող է բացահայտել ամբողջ համացանցի վրա ազդող անվտանգության թերություններ։ Բայց նույն կարողությունները նաև կարող են օգնել հարձակվողներին արագ ստեղծել հարձակման և խոցելիությունների շահագործման գործիքներ։
Մեր տեղեկություններով՝ առաջադեմ ԱԲ-ն այս խոցելիությունները գտել է հարձակվողներից շուտ՝ սպասարկողներին և անվտանգության ծառայություններ մատուցողներին տալով պաշտպանության նախապատրաստման ժամանակ՝ մինչև հրապարակումը շտկումներ ու պաշտպանական միջոցներ պատրաստելու համար։
Այս կարողություններն ավելի շատ պաշտպանների հասանելի դարձնելու համար Daybreak՝ առաջնագծի պաշտպանների համար ծրագրով ստանձնել ենք Daybreak-ի հասանելիությունը 1 միլիարդ դոլարով սուբսիդավորելու պարտավորություն՝ կենտրոնանալով անվտանգության սահմանափակ ռեսուրսներով կենսական ծառայություններ պաշտպանող կազմակերպությունների վրա։
Որքան էլ լուրջ լինեն այս սխալները, դրանք մեր արդեն հայտնաբերած և շտկվող մի շարք լուրջ խոցելիություններից են։ Ակնկալում ենք, որ առաջիկա ամիսներին նման բացահայտումները կտրուկ կավելանան։ Մինչ այժմ կուտակած փորձի հիման վրա առաջարկում ենք լայնորեն օգտագործվող ծրագրերի կրիտիկական խոցելիություններին արձագանքելու՝ ԱԲ-ի դարաշրջանին համապատասխան մոտեցում և խնդրում անվտանգության համայնքին օգնել կատարելագործել այս շրջանակը։ Այն միավորում է մեր մոդելները, անվտանգության փորձագիտությունն ու սպասարկողներին՝ բացահայտումները պաշտպանության վերածելու և ԱԲ-ի կարողությունների աճին համընթաց ընդլայնվող արձագանք ձևավորելու համար։
Շտկումը կիրառելու համար կարող է պահանջվել այն հարմարեցնել հին թողարկումներին, ծառայություններ մատուցողների հետ պատրաստել ռիսկը մեղմող միջոցներ և թարմացնել բազմաթիվ կազմակերպությունների համակարգերը։ Կրկնելի գործընթացն օգնում է այս թիմերին արագ գործել նոր խոցելիությունների հայտնաբերման դեպքում։
Patch the Planet-ի միջոցով PHP-ի խնդրի լուծմանն աջակցեցինք անվտանգության փորձագիտությամբ և մոդելների հասանելիությամբ։ Սպասարկողների ու հետազոտող գործընկերների հետ փորձարկեցինք շտկումները և պատրաստեցինք ուղեցույցներ։ Նաև օգնեցինք ենթակառուցվածք տրամադրողների հետ համակարգել խոցելի համակարգերի պաշտպանությունը և ներգրավեցինք կիբերանվտանգության պետական մարմիններին՝ ուղեցույցները կենսական նշանակության կազմակերպություններին հասցնելու համար։ Սա աջակցեց սպասարկողների ղեկավարած արձագանքին և օգնեց մյուս պաշտպաններին նախապատրաստվել։
Որոշ բացահայտումների դեպքում հետազոտողները կարող են անմիջապես աշխատել ծրագրի սպասարկողների հետ՝ խնդիրը ուսումնասիրելու և շտկում մշակելու համար։ Մյուսները պահանջում են ավելի լայն արձագանք, քանի որ ազդում են բազմաթիվ արտադրանքների վրա, կամ տարածողներին ու ծառայություններ մատուցողներին ժամանակ է պետք թարմացումներ և պաշտպանական միջոցներ պատրաստելու համար։ Այդ ժամանակը կարող է սուղ լինել, եթե առաջադեմ կարողությունները քիչ են գերազանցում լայնորեն հասանելի կարողություններին։ Այդ դեպքերում առաջարկվող շրջանակը կարող է օգնել սպասարկողներին որոշել՝ ում ներգրավել, և համակարգել աշխատանքը։ Արձագանքը կարող է ներառել հինգ փուլ՝
Հաստատել և շտկել սկզբնական նախագծի խոցելիությունը։ Սպասարկողը, հետազոտողները և առանցքային տեխնիկական գործընկերները հաստատում են բացահայտումը, գնահատում ազդեցությունը, մշակում ու փորձարկում շտկումը։ Սա ներառում է առաջադեմ մոդելներով հարձակման սցենարների փորձարկում՝ շտկումը շրջանցելու ուղիներ և խոցելիության հարակից տարբերակներ գտնելու համար։
Տուժող կազմակերպություններին գործելու ժամանակ տալ։ Մենք առաջարկում ենք շրջանակ՝ գնահատելու, թե որ կազմակերպություններին է նախնական տեղեկություն պետք պաշտպանությունը պատրաստելու համար։ Իսկ ում ներգրավել՝ որոշում են սպասարկողները։ Մենք օգնում ենք կապեր հաստատել, տեղեկությունների փոխանակման համաձայնագրեր կնքել և համակարգել թիմերի աշխատանքը։ Տարածողը կարող է շտկումը հարմարեցնել հին թողարկմանը, հոսթինգի մատակարարը՝ փորձարկել ռիսկը մեղմող միջոց, իսկ անվտանգության ծառայություն մատուցողը՝ պատրաստել հայտնաբերման կամ կանխարգելման միջոցներ, այդ թվում՝ վեբ հավելվածների ցանցային վահանի (WAF) կանոններ։
Համակարգել աշխատանքը պետական գործընկերների հետ՝ կենսական համակարգերը պաշտպանելու համար։ Պետական մարմիններն առանցքային դեր ունեն ավելի լայն արձագանքը համակարգելու և անվտանգության ուղեցույցները կենսական ենթակառուցվածքների ու ծառայությունների պատասխանատու կազմակերպություններին հասցնելու գործում։ PHP-ի դեպքում գործընկերների հետ աշխատեցինք ներգրավել ԱՄՆ մի շարք պետական կառույցների՝ Սպիտակ տան գերբանականության աշխատանքային խմբին, Կիբերանվտանգության ազգային տնօրենի գրասենյակին (ONCD), Կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությանը (CISA), ինչպես նաև միջազգային գործընկերներին՝ այս աշխատանքին աջակցելու համար։
Պատրաստել թարմացումներ բոլոր խոցելի արտադրանքների համար։ Շտկման, ուղեցույցների և հրապարակման ծրագրերի հստակեցմանը զուգահեռ սպասարկողները կարող են ներգրավել այլ տարածողների, հոսթինգի ու ծառայությունների մատակարարների, արձագանքման թիմերի և համակարգերի պատասխանատուների՝ թարմացումներ պատրաստելու և պաշտպանության բացերը լրացնելու համար։
Շտկման հասանելի դառնալուն պես հրապարակել ուղեցույցներ և աջակցել ներդրմանը։ Հանրային ուղեցույցներն օգնում են գնահատել խոցելիության ենթարկվածությունը, գտնել վստահելի թարմացումներ կամ ռիսկը ժամանակավորապես մեղմող միջոցներ և ստուգել, որ շտկումը գործում է։ Արձագանքը շարունակվում է, երբ համակարգերի պատասխանատուները ներդնում են թարմացումները և հայտնում՝ որտեղ է օգնություն պետք։
Առաջարկվող շրջանակը հաշվի է առնում կազմակերպության պաշտպանական դերը, ներառյալ սեփական համակարգերն ու հաճախորդներին պաշտպանելը, գործելու համար անհրաժեշտ ժամանակը և զգայուն տեղեկություններ մշակելու կարողությունը։ Համադրելի կազմակերպությունների նկատմամբ կկիրառվեն նույն չափանիշները, իսկ սպասարկողները կորոշեն՝ ում ներգրավել մինչև հրապարակումը։
Յուրաքանչյուր մասնակից ստանում է պաշտպանության համար անհրաժեշտ տեղեկությունները՝ ներխուժման ցուցիչներով ցանցային մատյաններից մինչև ավելի զգայուն՝ խոցելիության շահագործման աշխատող ցուցադրական գործիքներ։ Նույնիսկ սակավ մանրամասները կարող են բացահայտել խոցելիությունը, ուստի դրանց փոխանցման ռիսկը համադրում ենք ապահոված պաշտպանության հետ։
Այս շրջանակով աշխատող թիմերը սպասարկողների հետ պաշտպաններին նախապատրաստվելու ժամանակ կտան և կվերանայեն ժամկետները, եթե լինեն իրական հարձակումներում ակտիվ շահագործում, արտահոսք, խոցելիությունը բացահայտող հրապարակային շտկում կամ շտկման ձգձգումից օգտատերերի ռիսկի աճ։
Patch the Planet կայքը(բացվում է նոր պատուհանում) մեկտեղում է հրապարակված բացահայտումներն ու ուղեցույցները՝ օգնելու համակարգերի պատասխանատուներին գտնել խոցելի համակարգերը, ընտրել ճիշտ թարմացումը և ստուգել թարմացված ծրագրի ճիշտ աշխատանքը։ PHP-ի համար այն հղումներ է տալիս սպասարկողների պաշտոնական շտկմանն ու արդիականացման հրահանգներին և մեր գործընկերների տեխնիկական հետազոտություններին։ Ուղեցույցն անդրադառնում է նաև ժամանակավոր պաշտպանությանը, մատակարար կամ փորձագետ ներգրավելու պահի ընտրությանը, պահուստավորմանն ու վերականգնմանը։ Ժամանակավոր պաշտպանությունը կարող է նվազեցնել ռիսկը, բայց մենք հստակ կներկայացնենք դրա սահմանափակումներն ու շահագործման վրա հնարավոր բացասական ազդեցությունը։
Համակարգերի պատասխանատուները կարող են օգտվել CISA-ի՝ առաջնահերթությունների որոշման և խոցելիությունների վերացման ուղեցույցից(բացվում է նոր պատուհանում)՝ գնահատելու արձագանքի հրատապությունը՝ ըստ ենթարկվածության, շահագործման և հնարավոր ազդեցության։ Դա կարող է պահանջել արտակարգ շտկում, ռիսկի անհապաղ մեղմում կամ պլանավորված թարմացում, իսկ անհրաժեշտության դեպքում՝ նաև թվային հետքերի նախնական քննություն՝ պարզելու, թե արդյոք համակարգերն արդեն կոտրվել են։ Պայմանների փոփոխությանը զուգահեռ պետք է վերանայել առաջնահերթությունները՝ ունենալով խնդրի վերջնական լուծման հստակ ուղի։
Համաշխարհային համակարգումը կախված է ծրագրերը սպասարկող մարդկանցից։ Շատ նախագծեր վարում են փոքր թիմեր, որոնք առօրյա մշակման աշխատանքին զուգահեռ ուսումնասիրում են անվտանգության մասին հաղորդումները։ Այս թիմերին օգնություն է պետք՝ նոր խնդիրները կրկնվող հաղորդումներից տարբերելու, ազդեցությունը գնահատելու և աջակցվող թողարկումներում շտկումները փորձարկելու համար։ Մենք աջակցում ենք այդ աշխատանքին ֆինանսավորմամբ, հզոր մոդելների հասանելիությամբ և գործնական ինժեներական օգնությամբ։
ԱԲ-ի հզոր կարողությունները զարգանում են ողջ ոլորտում։ Ակնկալում ենք, որ ԱԲ-ն ավելի մեծ դեր կխաղա պաշտպաններին խոցելիություններ գտնելու, համակարգերը մշտադիտարկելու և սպառնալիքներին արձագանքելու հարցում օգնելիս։ Մենք ներդրումներ ենք անում մոդելներում, գործիքներում և գործընկերություններում՝ պաշտպաններին օգնելու կիրառել այդ կարողությունները։
Մեր ներդրումները ներառում են Codex՝ բաց կոդով ծրագրերի համար ծրագրով բոլոր սպասարկողներին տրվող բաժանորդագրություններ և Rust հիմնադրամի(բացվում է նոր պատուհանում) նման նախագծերի ուղղակի հովանավորություն՝ սպասարկողներին ու տեխնիկական աշխատանքին աջակցելու համար։ Յուրաքանչյուր նախագիծ ինքն է սահմանում իր առաջնահերթությունները։ Բազմակի օգտագործման թեստերն ու անվտանգության աշխատանքային գործընթացները կարող են նվազեցնել հետագա բացահայտումներին արձագանքելու համար անհրաժեշտ ջանքերը։ Բաց կոդով նախագծերը կարող են դիմել Patch the Planet-ին(բացվում է նոր պատուհանում)՝ գործնական աջակցություն ստանալու համար։
Մենք նաև կարգաբերում ենք Daybreak-ի լրացուցիչ արգելափակող դասակարգիչները՝ չարաշահման հնարավորությունը նվազեցնելու համար։ Սա բարդ փոխզիջումներ է պահանջում. չարաշահումը կանխող պաշտպանական միջոցները կարող են նաև խոչընդոտել անվտանգության օրինական աշխատանքին։ Ե՛վ հզոր մոդելների լայն հասանելիությունը, և՛ չարաշահումից արդյունավետ պաշտպանությունը վճռորոշ են։ Մեր նպատակն է պահպանել պաշտպաններին խոցելիություններ գտնելու և շտկելու համար անհրաժեշտ կարողությունները՝ միաժամանակ սահմանափակելով վնասակար կիրառումը։ Կշարունակենք ճշգրտել այդ հավասարակշռությունը՝ կարողությունների զարգացմանը և գործիքների կիրառման փորձի կուտակմանը զուգահեռ։
Մոդելների կարողությունների աճով հնարավորություններն ընդլայնվում են՝ դուրս գալով առանձին խոցելիություններ գտնելու և շտկելու սահմաններից։ Մենք ուզում ենք օգնել ինժեներներին հենց սկզբից ավելի անվտանգ ծրագրեր ստեղծել։ Լայնորեն օգտագործվող բաղադրիչի բարելավումը կարող է կանխել սխալները կամ սահմանափակել դրանց ազդեցությունը բազմաթիվ արտադրանքներում ու ծառայություններում։
ԱԲ-ն կարող է օգնել ինժեներներին հասկանալ առկա կոդը, պատրաստել փոփոխություններ և մշակել թեստեր, իսկ սպասարկողներն ու անվտանգության փորձագետները կարող են ստուգել, որ փոփոխությունները պահպանում են օգտատերերի համար կարևոր գործելակերպը։ Հնարավորություններ ենք տեսնում մի քանի ուղղությամբ՝
Ի սկզբանե անվտանգ կոդ։ Ծրագրավորման մոդելները կարող են օգնել մշակողներին ընտրել ավելի անվտանգ լռելյայն կարգավորումներ, ճիշտ օգտագործել անվտանգության գրադարանները և կոդը գրելիս նկատել ռիսկային օրինաչափությունները։ Մշակման ընթացքում խոցելիությունները կանխելը սպասարկողների և օգտատերերի համար նշանակում է ավելի քիչ արտակարգ շտկումներ։
Հիշողության հետ անվտանգ աշխատող ծրագրեր։ Կարևոր բաղադրիչները հիշողության անվտանգություն ապահովող լեզուների տեղափոխելը կարող է վերացնել հիշողության սխալների տարածված դասեր։ ԱԲ-ն կարող է օգնել տեղափոխմանը, իսկ թեստերն ու փորձագիտական ստուգումը՝ ստուգել գործելակերպն ու համատեղելիությունը։
Ֆորմալ ստուգում։ Մաթեմատիկական ապացույցները կարող են ցույց տալ, որ նշված ենթադրությունների պայմաններում կարևոր բաղադրիչները բավարարում են անվտանգության սահմանված հատկություններին։ Այս մեթոդները լայնորեն օգտագործվող բաղադրիչների նկատմամբ կիրառելը կարող է օգնել բացառել խոցելիությունների ամբողջ դասեր դրանցից կախված ծառայություններում և կենսական ենթակառուցվածքներում։
Ավելի խիստ մեկուսացում։ Համակարգերին պաշտպանություն է պետք դեռ չհայտնաբերված կամ չշտկված խոցելիություններից։ Անվստահելի ֆայլեր, պատկերներ կամ մեդիա մշակող ծրագրերը խիստ սահմանափակված մեկուսացված միջավայրերում գործարկելը կարող է նվազեցնել վնասը, եթե դրանք կոտրվեն։ ԱԲ-ն կարող է օգնել ինժեներներին փորձարկել և ամրապնդել լայնորեն օգտագործվող մեկուսացման տեխնոլոգիաները՝ բարելավելով բազմաթիվ հավելվածների պաշտպանությունը։
Ներկայացնում ենք մեր մոտեցումը, որպեսզի սպասարկողները, հետազոտողները, արձագանքման թիմերը, մատակարարներն ու համակարգերի պատասխանատուները օգնեն այն գործնականում կիրառելի դարձնել։ Ուզում ենք հասկանալ՝ որտեղ այն կօգնի, որտեղ կարող է ձգձգում կամ հավելյալ բեռ առաջացնել, և ինչ ենք բաց թողել։ Հատկապես օգտակար կլինեն նախկին հրապարակումների օրինակները։
Մեզ հատկապես հետաքրքրում են՝
Հրապարակման ժամկետները։ Որքա՞ն ժամանակ է պետք սպասարկողներին, համակարգերի պատասխանատուներին և պաշտպաններին՝ հուսալի շտկումներ պատրաստելու ու ներդնելու համար։ Ի՞նչ փաստերի հիման վրա պետք է ավելի վաղ հրապարակել տեղեկությունը, հատկապես երբ որոշ օգտատերերի կարելի է ավելի շուտ պաշտպանել, քան մյուսներին։
Արտակարգ շտկումները։ Ո՞ր դեպքերում, եթե ընդհանրապես դա ընդունելի է, պետք է կառավարությունները կամ համակարգերի այլ պատասխանատուները խոցելիությունն օգտագործեն՝ շտկելու իրենց պատկանող կամ իրենց կառավարմանը վստահված համակարգերը, որոնց ադմինիստրատիվ հասանելիությունը կորցրել են։ Ի՞նչ պաշտպանական երաշխիքներ պետք է գործեն։ Կարող ենք պատկերացնել մի ապագա, երբ ամբողջ համացանցում մշտապես սկանավորում է կատարվում հայտնի խոցելիությունները գտնելու համար, իսկ հայտնաբերելիս կա՛մ ծանուցվում են կայքերի սեփականատերերը, կա՛մ շտկվում է համակարգը։
Վաղ ծանուցումը։ Ո՞ւմ է նախնական զգուշացում պետք օգտակար պաշտպանական քայլ ձեռնարկելու համար՝ ներառյալ այն պաշտպաններին, որոնց կարող ենք անտեսել։ Ե՞րբ են փուլային ծանուցումներն ավելի արդյունավետ, քան մեծ խմբին միանգամից տեղեկացնելը, և ինչպե՞ս համադրել ընդգրկման ծավալն ու արտահոսքի ռիսկը։
Ըստ կանխադրման անվտանգ ծրագրային փաթեթները։ Ինչպե՞ս կարող ենք օգնել հայտնաբերել և շտկել կախյալ փաթեթների խոցելիությունները, քանի դեռ սկզբնական նախագծերի շտկումները պատրաստ չեն, կամ շտկումները տեղափոխել հին տարբերակներ, որոնք այլևս անվտանգության թարմացումներ չեն ստանում։ Ի՞նչ փորձարկում և սպասարկում է պետք, որպեսզի այս փաթեթները հուսալի տարբերակ լինեն, երբ ժամանակին արդիականացնել հնարավոր չէ։
Նաև ողջունում ենք անվտանգության անկախ փորձագետների թեկնածությունների առաջարկները, որոնք կարող են ուսումնասիրել մոտեցումը, քննության առնել դրա ենթադրությունները և գտնել բացերը։ Ձեր ներդրումը կօգնի մեզ կատարելագործել արձագանքը և որոշել աջակցության առաջնահերթությունները։ Կիսվեք ձեր կարծիքով այստեղ(բացվում է նոր պատուհանում)։
