Patch the Planet: агенттер тапқан аса қауіпті осалдықтарға жаһандық ден қоюды үйлестіру
Соңғы екі айда веб-сайттар мен веб-қосымшаларда қолданылатын ашық кодты PHP тіліндегі аса қауіпті осалдықтарды жою үшін жоба сүйемелдеушілері, зерттеушілер және қауіпсіздік провайдерлері бірлестігіне жетекшілік еттік. Calif біздің Patch the Planet(жаңа терезеде ашылады) бастамамыз аясында GPT‑5.6 Sol арқылы аса қауіпті ақауды тапты. Wiz те екі осалдықты өз бетінше анықтап, хабарлады. Түзетулерді әзірлеп, шығаруға PHP сүйемелдеушілері жетекшілік етті. Біздің командалар мен Wiz, Cloudflare сияқты серіктестер осалдықтар жарияланғанша қорғаныс дайындау үшін зерттеу, техникалық қолдау және үйлестіру жұмыстарын атқарды.
PHP қолданатын ұйымдар үшін қазір ең маңыздысы — түзетулерді орнату. PHP нұсқаларын тексеретін құралды Codex-ке арналған skill модулі ретінде ұсынамыз(жаңа терезеде ашылады) — ол жүйе әкімшілеріне осал болуы мүмкін PHP нұсқаларын анықтауға және PHP әзірлеушілері мен өз қызмет провайдерлерінің нұсқауларына сүйеніп, қажетті жаңартуларды таңдауға көмектеседі.
Бұл ақаулардың қауіптілігі мен PHP-дің кең таралғанын ескерсек, мұны соңғы жылдардағы ең елеулі қауіпсіздік мәселелерінің бірі деп санаймыз. Бұл ЖИ-дің интернет ауқымында әсер етуі мүмкін осалдықтарды таба алатынын көрсетеді. Бірақ сол мүмкіндіктер шабуылдаушыларға шабуыл құралдары мен эксплойттарды жылдам әзірлеуге де көмектеседі.
Біздің білуімізше, озық ЖИ бұл осалдықтарды шабуылдаушылардан бұрын анықтады. Осылайша, жобаларды сүйемелдеушілер мен қауіпсіздік қызметін көрсетушілерге осалдықтар жарияланғанға дейін түзетулер мен қорғаныс шараларын дайындауға мүмкіндік беретін «Defender’s Window» кезеңі пайда болды.
Көбірек қорғаушы осы мүмкіндіктерді пайдалана алуы үшін біз 1 млрд АҚШ доллары көлемінде субсидияланған Daybreak жүйесіне қолжетімділікті Daybreak for Frontline Defenders бағдарламасы арқылы ұсынуға міндеттеме алдық. Бағдарлама маңызды қызметтерді қорғайтын, қауіпсіздік ресурстары шектеулі ұйымдарға бағытталған.
Бұл ақаулар өте маңызды болғанымен, олар біз анықтаған және қазір түзету жұмыстарын жүргізіп жатқан бірнеше елеулі осалдықтың қатарында ғана. Алдағы айларда осындай осалдықтардың анықталу саны күрт артады деп күтеміз. Осы уақытқа дейін жинаған тәжірибемізге сүйеніп, кең таралған бағдарламалық жасақтамадағы аса қауіпті осалдықтарға ЖИ дәуіріне сай ден қою тәсілін ұсынамыз және қауіпсіздік қауымдастығын осы тәсілді жетілдіруге көмектесуге шақырамыз. Бұл тәсіл модельдерімізді, қауіпсіздік саласындағы тәжірибемізді және жобаларды сүйемелдеушілерді біріктіріп, анықталған осалдықтар негізінде нақты қорғаныс шараларын әзірлеуге және ЖИ мүмкіндіктері артқан сайын ауқымын кеңейте алатын ден қою жүйесін құруға көмектеседі.
Түзетуді қолданысқа енгізу үшін оны ескі нұсқаларға бейімдеу, провайдерлердің қорғаныс шараларын дайындау және көптеген ұйымның жүйелерін жаңарту қажет болуы мүмкін. Қайта қолданылатын жұмыс тәртібі жаңа осалдықтар табылған сайын командаларға жылдам әрекет етуге көмектеседі.
Patch the Planet арқылы PHP бойынша жұмыстарға қауіпсіздік тәжірибеміз бен модельдерге қолжетімділік ұсындық. Сүйемелдеушілермен және зерттеуші серіктестермен бірге түзетулерді сынап, нұсқаулықтар дайындадық. Сондай-ақ осал жүйелерді қорғау үшін инфрақұрылым провайдерлерімен жұмысты үйлестіріп, нұсқаулықтарды маңызды ұйымдарға жеткізуге мемлекеттік киберқауіпсіздік органдарын тарттық. Бұл сүйемелдеушілер бастаған жұмысты қолдап, өзге қорғаушылардың дайындалуына көмектесті.
Кейбір осалдықтарды зерттеп, түзету әзірлеу үшін зерттеушілер бағдарламаны сүйемелдеушілермен тікелей жұмыс істей алады. Басқалары кеңірек ден қоюды қажет етеді: олар көп өнімге әсер етеді немесе таратушылар мен қызмет провайдерлеріне жаңартулар мен қорғаныс дайындауға уақыт керек. Озық мүмкіндіктер жалпыға қолжетімді мүмкіндіктерден аса алшақ болмаса, уақыт тапшы болуы мүмкін. Мұндайда ұсынылған жүйе сүйемелдеушілерге кімдерді тарту керегін анықтап, жұмысты үйлестіруге көмектеседі. Ден қою бес кезеңнен тұруы мүмкін:
Бастапқы жобадағы осалдықты растау және түзету. Сүйемелдеуші, зерттеушілер және негізгі техникалық серіктестер осалдықты растап, әсерін бағалайды, түзету әзірлеп, сынайды. Бұған озық модельдермен шабуыл тұрғысынан сынау да кіреді: мақсат — түзетуді айналып өту жолдары мен осалдықтың ұқсас нұсқаларын іздеу.
Осалдықтар әсер еткен ұйымдарға әрекет етуге уақыт беру. Қорғаныс шараларын дайындау үшін қай ұйымдарға алдын ала ақпарат қажет екенін анықтауға көмектесетін тәсілді ұсынамыз, ал кімдерді тарту керегін жобаларды сүйемелдеушілер шешеді. Біз байланыс орнатуға, ақпарат алмасу туралы келісімдер жасасуға және командалардың жұмысын үйлестіруге көмектесеміз. Таратушы түзетуді ескі нұсқаға бейімдеуі, хостинг провайдері қатерді азайту шарасын сынауы, ал қауіпсіздік қызметін көрсетуші анықтау не алдын алу шараларын, соның ішінде веб-қолданбаларға арналған брандмауэрдің (WAF) ережелерін дайындауы мүмкін.
Маңызды жүйелерді қорғау үшін мемлекеттік серіктестермен жұмысты үйлестіру. Мемлекеттік органдар ауқымды ден қою шараларын үйлестіруде және қауіпсіздік нұсқаулықтарын маңызды инфрақұрылым мен негізгі қызметтерге жауапты ұйымдарға жеткізуде шешуші рөл атқарады. PHP жағдайында серіктестерімізбен бірге АҚШ үкіметінің бірнеше құрылымымен, соның ішінде Ақ үйдің «Super Intelligence Force» жұмыс тобымен, Ұлттық киберқауіпсіздік директоры кеңсесімен (ONCD), Киберқауіпсіздік және инфрақұрылым қауіпсіздігі агенттігімен (CISA), сондай-ақ халықаралық серіктестермен байланыс орнатып, осы жұмысты қолдауға күш салдық.
Осалдық әсер еткен өнімдерге жаңартулар дайындау. Түзету, нұсқаулықтар мен жариялау жоспарлары нақтыланған сайын, сүйемелдеушілер жаңартулар дайындап, қорғаныс олқылықтарын жою үшін қосымша таратушыларды, хостинг және қызмет провайдерлерін, ден қою топтары мен әкімшілерді тарта алады.
Түзету шыққан соң нұсқаулықтарды жариялап, оны енгізуге қолдау көрсету. Ашық нұсқаулықтар қауіпке ұшырау деңгейін бағалауға, ресми жаңартуларды не уақытша қорғаныс шараларын табуға және түзетудің іске қосылғанын тексеруге көмектеседі. Әкімшілер жаңартуларды енгізіп, қай жерде көмек керегін хабарлаған сайын ден қою жұмысы жалғаса береді.
Ұсынылған тәсіл ұйымның қорғаныс рөлін, соның ішінде өз жүйелері мен клиенттерін қорғауын, әрекет етуге қажет уақытын және құпиялылықты қажет ететін ақпаратпен жұмыс істеу қабілетін ескереді. Ұқсас ұйымдарға бірдей өлшемдер қолданылады, ал осалдық туралы ақпарат жарияланғанға дейін кімдерді тартуды жобаларды сүйемелдеушілер шешеді.
Әр қатысушы қорғаныс жұмысын орындауға қажетті ақпаратты алады: жүйенің бұзылғанын көрсететін индикаторлары бар желілік журналдардан бастап, осалдықты пайдалануға болатынын іс жүзінде дәлелдейтін, бөлісу тұрғысынан неғұрлым сезімтал әрі жұмыс істейтін эксплойт үлгілеріне дейін. Тіпті шектеулі мәліметтің өзі осалдықты ашып беруі мүмкін. Сондықтан ақпаратты бөлісуден туындайтын тәуекелді оның қорғанысқа беретін пайдасымен салыстырамыз.
Бұл жүйені ұстанатын командалар сүйемелдеушілермен бірге қорғаушыларға дайындалуға уақыт береді. Осалдық нақты шабуылдарда пайдаланылса, ақпарат тарап кетсе, ашық түзету оны әшкерелесе немесе түзету кідіріп, пайдаланушыларға қауіп артса, мерзім қайта қаралады.
Patch the Planet сайты(жаңа терезеде ашылады) жарияланған мәліметтер мен нұсқаулықтарды жинақтайды. Олар әкімшілерге осал жүйелерді анықтауға, тиісті жаңартуды табуға және жаңартылған бағдарламаның дұрыс жұмыс істейтінін тексеруге көмектеседі. PHP бойынша сайт сүйемелдеушілердің ресми түзетуі мен жаңарту нұсқауларына және серіктестеріміздің техникалық зерттеулеріне бағыттайды. Нұсқаулықтар уақытша қорғаныс шараларын, провайдер не сарапшыны қашан тарту керегін, сақтық көшірме жасауды және қалпына келтіруді де қамтиды. Уақытша қорғаныс шаралары тәуекелді азайта алады, бірақ олардың шектеулерін және оларды қолданудың жүйе жұмысына қатысты артықшылықтары мен кемшіліктерін ашық түсіндіреміз.
Әкімшілер CISA-ның басымдық белгілеу және осалдықтарды жою нұсқаулығына(жаңа терезеде ашылады) сүйеніп, қауіпке ұшырау деңгейін, осалдықтың пайдаланылуын және ықтимал әсерін ескере отырып, әрекет ету шұғылдығын бағалай алады. Бұл шұғыл түзету орнатуды, дереу уақытша қорғаныс шараларын енгізуді немесе жоспарлы жаңартуды білдіруі мүмкін. Қажет болған жағдайда жүйелердің бұрын бұзылған-бұзылмағанын анықтау үшін бастапқы цифрлық криминалистикалық талдау да жүргізіледі. Жағдай өзгерген сайын басымдықтарды қайта қарап, осалдықтарды түпкілікті жою жолын айқын белгілеу қажет.
Жаһандық үйлестіру бағдарламаларды сүйемелдейтін адамдарға байланысты. Көп жобаны күнделікті әзірлеу жұмыстарымен қатар қауіпсіздік есептерін де қарайтын шағын командалар жүргізеді. Бұл командаларға жаңа мәселелерді қайталанған хабарламалардан ажыратуға, әсерін бағалауға және түзетулерді қолдау көрсетілетін барлық нұсқада сынауға көмек қажет. Біз бұл жұмысқа қаржы бөліп, қуатты модельдерге қолжетімділік және тікелей инженерлік көмек ұсынамыз.
ЖИ-дің қуатты мүмкіндіктері бүкіл салада дамып келеді. ЖИ қорғаушыларға осалдықтарды табуға, жүйелерді бақылауға және қауіптерге ден қоюға көмектесуде барған сайын үлкен рөл атқарады деп күтеміз. Қорғаушылар осы мүмкіндіктерді іске жарата алуы үшін модельдерге, құралдар мен серіктестіктерге инвестиция салып жатырмыз.
Инвестицияларымыздың қатарында барлық сүйемелдеушілерге Codex for OSS арқылы жазылымдар ұсыну және Rust Foundation(жаңа терезеде ашылады) сияқты ұйымдарға сүйемелдеушілер мен техникалық жұмыстарды қолдау үшін тікелей қаржылай демеушілік көрсету бар. Әр жоба өз басымдықтарын өзі белгілейді. Қайта пайдалануға болатын сынақтар мен қауіпсіздік жұмыс процестері болашақта анықталатын осалдықтарды өңдеуге жұмсалатын күшті азайтуы мүмкін. Ашық бастапқы кодты жобалар практикалық қолдау алу үшін Patch the Planet бастамасына(жаңа терезеде ашылады) өтінім бере алады.
Теріс пайдалану ықтималдығын азайту үшін Daybreak жүйесіне арналған қосымша бұғаттау жіктеуіштерін де баптап жатырмыз. Мұнда күрделі тепе-теңдік қажет: теріс пайдалануды тоқтатуға арналған қорғаныс шаралары заңды қауіпсіздік жұмысына да кедергі келтіруі мүмкін. Қуатты модельдердің кеңінен қолжетімді болуы да, теріс пайдаланудан тиімді қорғану да аса маңызды. Мақсатымыз — зиянды қолдануды шектей отырып, қорғаушыларға осалдықтарды табу мен түзетуге қажет мүмкіндіктерді сақтау. Мүмкіндіктер дамып, құралдардың қалай қолданылатынын білген сайын, осы тепе-теңдікті жетілдіре береміз.
Модельдердің мүмкіндіктері артқан сайын, оларды қолдану әлеуеті жекелеген осалдықтарды тауып, түзетумен шектелмейді. Инженерлерге әуел бастан қауіпсіздеу бағдарламалық жасақтама әзірлеуге көмектескіміз келеді. Кеңінен қолданылатын компонентті жетілдіру көптеген өнім мен қызметтегі қателердің алдын алуға немесе олардың әсерін шектеуге мүмкіндік береді.
ЖИ инженерлерге қолданыстағы кодты түсінуге, өзгерістер дайындауға және сынақтар әзірлеуге көмектесе алады. Ал жобаларды сүйемелдеушілер мен қауіпсіздік сарапшылары бұл өзгерістердің бағдарламалық жасақтаманың пайдаланушылар үшін маңызды жұмыс істеу ерекшеліктерін сақтайтынын тексереді. Біз бірнеше бағытта мүмкіндік көріп отырмыз:
Әуел бастан қауіпсіз код. Код жазуға арналған модельдер әзірлеушілерге қауіпсіздеу әдепкі баптауларды таңдауға, қауіпсіздік кітапханаларын дұрыс қолдануға және код жазу кезінде қауіпті үлгілерді байқауға көмектесе алады. Әзірлеу кезінде осалдықтардың алдын алу сүйемелдеушілер мен пайдаланушылар үшін шұғыл түзетулерді азайтады.
Жад тұрғысынан қауіпсіз бағдарламалық жасақтама. Маңызды компоненттерді жад қауіпсіздігін қамтамасыз ететін бағдарламалау тілдеріне көшіру жадқа қатысты жиі кездесетін қателердің тұтас санаттарын жоя алады. ЖИ мұндай көшіруге көмектесе алады, ал сынақтар мен сарапшылық тексерулер бағдарламаның жұмыс істеу тәртібі мен үйлесімділігін тексеруге мүмкіндік береді.
Формалды верификация. Математикалық дәлелдер маңызды компоненттердің берілген алғышарттарда белгіленген қауіпсіздік қасиеттеріне сай екенін көрсете алады. Бұл әдістерді кең қолданылатын компоненттерге қолдану оларға тәуелді қызметтер мен маңызды инфрақұрылымда осалдықтардың тұтас санаттарын болдырмауға көмектесуі мүмкін.
Күшейтілген оқшаулау. Жүйелер әлі анықталмаған немесе түзетілмеген осалдықтардан да қорғалуы керек. Сенімсіз файлдарды, суреттерді немесе медиаматериалдарды өңдейтін бағдарламаларды қатаң шектелген құмсалғыштарда іске қосу олардың қауіпсіздігі бұзылған жағдайда ықтимал залалды шектеуге көмектеседі. ЖИ инженерлерге кеңінен қолданылатын құмсалғыш технологияларын сынап, нығайтуға көмектесіп, көптеген қолданбаның қорғанысын жақсарта алады.
Сүйемелдеушілер, зерттеушілер, ден қою топтары, провайдерлер мен әкімшілер тәсілімізді іс жүзінде қолдануға жарамды етуге көмектессін деп оны бөлісіп отырмыз. Оның қай тұста көмектесетінін, қай жерде кідіріс не қосымша жүктеме туғызуы мүмкін екенін және нені ескермегенімізді білгіміз келеді. Бұрынғы осалдықтарды жариялау тәжірибесінен мысалдар әсіресе пайдалы болар еді.
Бізді әсіресе мына мәселелер қызықтырады:
Жариялауға дейінгі мерзімдер. Сүйемелдеушілерге, әкімшілер мен қорғаушыларға сенімді түзетулерді дайындап, енгізу үшін қанша уақыт керек? Әсіресе кейбір пайдаланушыларды басқаларынан ертерек қорғауға болатын жағдайда, қандай деректер осалдықты ертерек жариялауға негіз болуы керек?
Шұғыл түзету орнату. Мемлекеттік органдар не басқа әкімшілер әкімшілік қолжетімділіктен айырылғанда, өздеріне тиесілі немесе басқаруға рұқсаты бар жүйелерге түзету орнату үшін осалдықты пайдалануына бола ма? Болса, қашан? Қандай қорғаныс шаралары қолданылуы керек? Түпкі нәтижені былай елестетуге болады: бүкіл интернет белгілі осалдықтарға үздіксіз тексеріліп, осалдық табылса, сайт иелеріне хабарланады немесе жүйеге түзету орнатылады.
Алдын ала хабарлау. Нәтижелі қорғаныс шарасын қабылдау үшін кімге алдын ала ескерту қажет? Назарымыздан тыс қалуы мүмкін қорғаушылар кімдер? Қай кезде кең топқа бірден хабарлағаннан гөрі кезең-кезеңімен хабарлау тиімді? Қамту ауқымы мен ақпараттың тарап кету қаупін қалай теңгеруіміз керек?
Әдепкіде қауіпсіз бағдарламалық пакеттер. Бастапқы жобада түзету дайын болғанша, оған тәуелді пакеттердегі осалдықтарды табуға және жоюға қалай көмектесе аламыз? Қауіпсіздік жаңартуларын енді алмайтын ескі нұсқаларға түзетулерді қалай бейімдей аламыз? Уақтылы жаңарту мүмкін болмағанда, бұл пакеттер сенімді балама болуы үшін қандай сынақтар мен сүйемелдеу қажет?
Сондай-ақ тәсілді бағалап, оның алғышарттарын сын тұрғысынан қарастырып, олқылықтарын анықтай алатын тәуелсіз қауіпсіздік сарапшыларын ұсынсаңыздар, қуанамыз. Пікірлеріңіз ден қою жұмысын жетілдіріп, қолдау басымдықтарын белгілеуге көмектеседі. Пікіріңізді осында бөлісіңіз(жаңа терезеде ашылады).
