Patch the Planet: globāla reaģēšana uz aģentu atklātām kritiskām ievainojamībām

Pēdējos divos mēnešos mēs vadījām uzturētāju, pētnieku un drošības pakalpojumu sniedzēju apvienību, lai novērstu kritiskas ievainojamības PHP — atvērtā pirmkoda programmēšanas valodā, ko izmanto vietņu un tīmekļa lietotņu darbībai. Mūsu iniciatīvā Patch the Planet⁠(atveras jaunā logā) Calif ar GPT‑5.6 Sol palīdzību atklāja kritisku trūkumu. Arī Wiz neatkarīgi atklāja abas ievainojamības un ziņoja par tām. PHP uzturētāji vadīja labojumu izstrādi un izlaišanu, savukārt mūsu komandas un partneri, tostarp Wiz un Cloudflare, sniedza ieguldījumu izpētē, tehniskajā atbalstā un koordinācijā, lai sagatavotu aizsardzību pirms informācijas publiskošanas.

Organizācijām, kas izmanto PHP, šobrīd svarīgākais ir ieviest labojumus. Publicējam PHP versiju pārbaudes rīku kā Codex prasmi⁠(atveras jaunā logā) , lai palīdzētu sistēmu pārvaldītājiem identificēt potenciāli ievainojamas PHP versijas un, izmantojot arī PHP un pakalpojumu sniedzēju norādījumus, noteikt nepieciešamos atjauninājumus.

Ņemot vērā šo trūkumu nopietnību un PHP plašo lietojumu, mēs to uzskatām par vienu no pēdējo gadu nozīmīgākajām drošības problēmām. Tas parāda, kā MI var atklāt drošības trūkumus ar ietekmi interneta mērogā, taču šīs pašas spējas var arī palīdzēt uzbrucējiem strauji izstrādāt uzbrukuma rīkus un ievainojamību izmantošanas kodu.

Cik mums zināms, robežšķirtnes MI šīs ievainojamības atklāja pirms uzbrucējiem, paverot aizstāvju iespēju logu, kurā uzturētāji un drošības pakalpojumu sniedzēji var sagatavot labojumus un aizsardzību pirms informācijas publiskošanas.

Lai šīs spējas varētu izmantot vairāk aizstāvju, esam apņēmušies piešķirt 1 miljardu ASV dolāru subsidētai piekļuvei Daybreak programmā Daybreak priekšējās līnijas aizstāvjiem, koncentrējoties uz organizācijām, kas ar ierobežotiem drošības resursiem aizsargā būtiskus pakalpojumus.

Lai gan šīs kļūdas ir nopietnas, tās ir tikai dažas no būtiskajām ievainojamībām, kuras jau esam atklājuši un strādājam pie to novēršanas. Paredzam, ka tuvākajos mēnešos līdzīgu atklājumu skaits strauji pieaugs. Balstoties uz līdzšinējo pieredzi, piedāvājam MI laikmetam piemērotu pieeju reaģēšanai uz kritiskām ievainojamībām plaši lietotā programmatūrā un aicinām drošības kopienu palīdzēt pilnveidot šo ietvaru. Tas apvieno mūsu modeļus, drošības zināšanas un uzturētājus, lai atklājumus pārvērstu aizsardzībā un veidotu reaģēšanas procesu, ko var paplašināt, attīstoties MI spējām.

Labojuma ieviešana var prasīt tā pielāgošanu vecākām versijām, riska mazināšanas pasākumu sagatavošanu pie pakalpojumu sniedzējiem un sistēmu atjaunināšanu daudzās organizācijās. Atkārtojams process palīdz šīm komandām rīkoties ātri, kad tiek atklāts vairāk ievainojamību.

Ar Patch the Planet starpniecību sniedzām drošības zināšanas un piekļuvi modeļiem, lai atbalstītu reaģēšanu uz PHP ievainojamībām, un kopā ar uzturētājiem un pētniecības partneriem pārbaudījām labojumus un sagatavojām norādījumus. Palīdzējām arī koordinēt skarto sistēmu aizsardzību ar infrastruktūras pakalpojumu sniedzējiem un iesaistījām valstu kiberdrošības iestādes, lai norādījumi sasniegtu kritiski svarīgas organizācijas. Tas atbalstīja uzturētāju vadīto reaģēšanu un palīdzēja sagatavoties citiem aizstāvjiem.

Dažu atklājumu gadījumā pētnieki var tieši sadarboties ar programmatūras uzturētājiem, lai izpētītu problēmu un izstrādātu labojumu. Citos gadījumos vajadzīga plašāka reaģēšana, jo tiek skarti daudzi produkti vai izplatītājiem un pakalpojumu sniedzējiem nepieciešams laiks atjauninājumu un aizsardzības sagatavošanai. Šā laika var būt maz, ja robežšķirtnes spējas tikai nedaudz apsteidz plaši pieejamās. Šādos gadījumos piedāvātais ietvars var palīdzēt uzturētājiem noteikt iesaistāmās puses un koordinēt darbu. Reaģēšana var ietvert piecus posmus:

• Apstiprināt un novērst ievainojamību sākotnējā projektā. Uzturētājs, pētnieki un galvenie tehniskie partneri apstiprina atklājumu, izvērtē tā ietekmi un izstrādā un pārbauda labojumu. Process ietver testēšanu no uzbrucēja skatpunkta ar robežšķirtnes modeļiem, meklējot veidus, kā apiet ielāpu, un saistītus ievainojamības variantus.

• Dot skartajām organizācijām laiku rīkoties. Piedāvājam ietvaru, kas palīdz izvērtēt, kurām organizācijām nepieciešama iepriekšēja informācija aizsardzības sagatavošanai, bet uzturētāji izlemj, ko iesaistīt. Palīdzam sazināties ar iesaistāmajām pusēm, noslēgt informācijas apmaiņas vienošanās un koordinēt komandu darbu. Izplatītājs var pielāgot labojumu vecākai versijai, mitināšanas pakalpojumu sniedzējs — pārbaudīt riska mazināšanas pasākumu, bet drošības pakalpojumu sniedzējs — sagatavot atklāšanas vai novēršanas pasākumus, tostarp tīmekļa lietotņu ugunsmūra (WAF) noteikumus.

• Sadarboties ar valsts partneriem, lai palīdzētu aizsargāt kritiski svarīgas sistēmas. Valsts iestādēm ir būtiska loma plašākas reaģēšanas koordinēšanā un drošības norādījumu nogādāšanā organizācijām, kas atbild par kritisko infrastruktūru un citiem būtiskiem pakalpojumiem. PHP gadījumā kopā ar partneriem strādājām pie vairāku ASV valdības struktūru iesaistes, tostarp Baltā nama Superintelekta darba grupas, Nacionālā kiberdrošības direktora biroja (ONCD) un Kiberdrošības un infrastruktūras drošības aģentūras (CISA), kā arī starptautisko partneru iesaistes šo centienu atbalstam.

• Sagatavot atjauninājumus skartajiem produktiem. Kad labojums, norādījumi un publiskošanas plāni ir nostabilizējušies, uzturētāji var iesaistīt papildu izplatītājus, mitināšanas un citu pakalpojumu sniedzējus, reaģēšanas komandas un sistēmu pārvaldītājus, lai sagatavotu atjauninājumus un novērstu aizsardzības nepilnības.

• Kad ielāps ir pieejams, publicēt norādījumus un atbalstīt ieviešanu. Publiski norādījumi palīdz izvērtēt apdraudējumu, atrast atjauninājumus no uzticamiem avotiem vai pagaidu riska mazināšanas pasākumus un pārbaudīt, vai labojums ir ieviests un darbojas. Reaģēšana turpinās, sistēmu pārvaldītājiem ieviešot atjauninājumus un ziņojot, kur nepieciešama palīdzība.

Piedāvātais ietvars ņem vērā organizācijas lomu aizsardzībā, tostarp savu sistēmu un klientu aizsargāšanā, rīcībai vajadzīgo laiku un spēju rīkoties ar sensitīvu informāciju. Salīdzināmām organizācijām tiktu piemēroti vienādi kritēriji, uzturētājiem izlemjot, ko iesaistīt pirms informācijas publiskošanas.

Katrs dalībnieks saņem aizsardzības darbam vajadzīgo informāciju — no tīkla žurnāliem ar kompromitēšanas indikatoriem līdz sensitīvākam, strādājošam kodam, kas demonstrē ievainojamības izmantošanu. Pat ierobežotas ziņas var atklāt ievainojamību, tāpēc mēs samērojam to izpaušanas risku ar aizsardzību, ko tās ļauj nodrošināt.

Komandas, kas ievērotu šo ietvaru, sadarbotos ar uzturētājiem, lai dotu aizstāvjiem laiku sagatavoties, un pārskatītu termiņus, ja ievainojamība jau tiktu aktīvi izmantota uzbrukumos, notiktu noplūde, publisks ielāps atklātu ievainojamību vai kavēta novēršana palielinātu risku lietotājiem.

Patch the Planet vietnē⁠(atveras jaunā logā) apkopota publiskotā informācija un norādījumi, lai palīdzētu sistēmu pārvaldītājiem identificēt skartās sistēmas, atrast pareizo atjauninājumu un pārbaudīt, vai atjauninātā programmatūra darbojas pareizi. PHP gadījumā tā sniedz saites uz uzturētāju oficiālo ielāpu un jaunināšanas norādījumiem, kā arī mūsu partneru tehniskajiem pētījumiem. Norādījumi aptver arī pagaidu riska mazināšanu, pakalpojumu sniedzēja vai eksperta iesaistīšanas brīdi, kā arī dublēšanu un atkopšanu. Pagaidu aizsardzība var mazināt risku, taču mēs skaidri norādīsim tās ierobežojumus un ar to saistītos darbības kompromisus.

Sistēmu pārvaldītāji var izmantot CISA norādījumus par prioritāšu noteikšanu un ievainojamību novēršanu⁠(atveras jaunā logā), lai izvērtētu rīcības steidzamību, ņemot vērā apdraudējumu, ievainojamību izmantošanu un iespējamo ietekmi. Tas var nozīmēt ārkārtas ielāpošanu, tūlītēju riska mazināšanu vai plānotu atjaunināšanu, vajadzības gadījumā veicot arī sākotnēju digitālo pierādījumu izvērtēšanu, lai noteiktu, vai sistēmas jau nav kompromitētas. Mainoties apstākļiem, prioritātes jāpārskata, saglabājot skaidru ceļu uz noturīgu problēmas novēršanu.

Globāla koordinācija ir atkarīga no cilvēkiem, kuri uztur programmatūru. Daudzus projektus vada nelielas komandas, kas drošības ziņojumus izskata līdztekus ikdienas izstrādes darbam. Šīm komandām vajadzīga palīdzība, lai atšķirtu jaunas problēmas no atkārtotiem ziņojumiem, izvērtētu ietekmi un pārbaudītu labojumus visās atbalstītajās versijās. Mēs atbalstām šo darbu ar finansējumu, piekļuvi spējīgiem modeļiem un praktisku inženiertehnisku palīdzību.

Visā nozarē attīstās jaudīgas MI spējas, un mēs sagaidām, ka MI aizvien vairāk palīdzēs aizstāvjiem atrast ievainojamības, uzraudzīt sistēmas un reaģēt uz draudiem. Mēs ieguldām modeļos, rīkos un partnerībās, lai palīdzētu aizstāvjiem šīs spējas izmantot praksē.

Mūsu ieguldījumi ietver abonementus visiem uzturētājiem programmā Codex atvērtā pirmkoda programmatūrai un tiešu sponsorējumu tādiem projektiem kā Rust Foundation⁠(atveras jaunā logā), atbalstot uzturētājus un tehnisko darbu. Katrs projekts pats nosaka savas prioritātes. Atkārtoti izmantojami testi un drošības darbplūsmas var mazināt pūles, kas būs vajadzīgas turpmāko atklājumu apstrādei. Atvērtā pirmkoda projekti var pieteikties Patch the Planet⁠(atveras jaunā logā), lai saņemtu praktisku atbalstu.

Mēs arī kalibrējam papildu bloķēšanas klasifikatorus Daybreak, lai mazinātu ļaunprātīgas izmantošanas iespējas. Tas prasa sarežģītus kompromisus: aizsargmehānismi ļaunprātīgas izmantošanas novēršanai var bloķēt arī leģitīmu drošības darbu. Gan plaša piekļuve spējīgiem modeļiem, gan efektīva aizsardzība pret ļaunprātīgu izmantošanu ir kritiski svarīga. Mūsu mērķis ir saglabāt aizstāvjiem vajadzīgās spējas ievainojamību atrašanai un novēršanai, vienlaikus ierobežojot kaitīgu izmantošanu. Turpināsim pilnveidot šo līdzsvaru, spējām attīstoties un mums mācoties no šo rīku izmantošanas.

Modeļiem kļūstot spējīgākiem, iespējas sniedzas tālāk par atsevišķu ievainojamību atrašanu un novēršanu. Mēs vēlamies palīdzēt inženieriem veidot drošāku programmatūru jau no paša sākuma. Plaši izmantota komponenta uzlabojumi var novērst kļūdas vai ierobežot to ietekmi daudzos produktos un pakalpojumos.

MI var palīdzēt inženieriem izprast esošo kodu, sagatavot izmaiņas un izstrādāt testus, savukārt uzturētāji un drošības eksperti pārbauda, vai šīs izmaiņas saglabā darbību, uz kuru paļaujas lietotāji. Mēs saskatām iespējas vairākās jomās:

• Drošs kods jau no paša sākuma. Programmēšanas modeļi var palīdzēt izstrādātājiem izvēlēties drošākus noklusējuma iestatījumus, pareizi lietot drošības bibliotēkas un pamanīt riskantus koda rakstīšanas paņēmienus jau darba gaitā. Ievainojamību novēršana izstrādes laikā nozīmē mazāk ārkārtas labojumu uzturētājiem un lietotājiem.

• Atmiņas ziņā droša programmatūra. Kritiski svarīgu komponentu pārcelšana uz atmiņas ziņā drošām valodām var izskaust izplatītas atmiņas kļūdu klases. MI var palīdzēt migrācijā, bet testi un ekspertu pārbaudes — pārliecināties par darbību un savietojamību.

• Formālā verifikācija. Matemātiski pierādījumi var apliecināt, ka, pastāvot noteiktiem pieņēmumiem, kritiski svarīgi komponenti atbilst norādītajām drošības īpašībām. Šo metožu piemērošana plaši lietotiem komponentiem varētu palīdzēt izslēgt veselas ievainojamību klases pakalpojumos un kritiskajā infrastruktūrā, kas no tiem ir atkarīga.

• Stingrāka izolācija. Sistēmām vajadzīga aizsardzība pret ievainojamībām, kas vēl nav atrastas vai novērstas. Programmatūras, kas apstrādā neuzticamus failus, attēlus vai multividi, darbināšana stingri ierobežotās smilškastēs var mazināt kaitējumu, ja tā tiek kompromitēta. MI var palīdzēt inženieriem pārbaudīt un nostiprināt plaši lietotas smilškastes tehnoloģijas, uzlabojot aizsardzību daudzās lietotnēs.

Iepazīstinām ar savu pieeju, lai uzturētāji, pētnieki, reaģēšanas komandas, pakalpojumu sniedzēji un sistēmu pārvaldītāji varētu palīdzēt to padarīt praktiski īstenojamu. Vēlamies saprast, kur tā palīdzētu, kur varētu radīt kavēšanos vai papildu slogu un ko esam palaiduši garām. Īpaši noderētu piemēri no iepriekšējām ievainojamību publiskošanas reizēm.

Mūs īpaši interesē:

• Termiņi līdz informācijas publiskošanai. Cik daudz laika uzturētājiem, sistēmu pārvaldītājiem un aizstāvjiem vajag, lai sagatavotu un ieviestu uzticamus labojumus? Kādiem pierādījumiem būtu jāmudina publiskot informāciju agrāk, īpaši tad, ja dažus lietotājus iespējams aizsargāt ātrāk nekā citus?

• Ārkārtas ielāpošana. Vai un kādos gadījumos valdībām vai citiem sistēmu pārvaldītājiem pēc administratīvās piekļuves zaudēšanas būtu jāizmanto ievainojamība, lai ielāpotu tiem piederošas vai to pilnvarotā pārvaldībā esošas sistēmas? Kādi aizsargpasākumi būtu jāpiemēro? Varam iedomāties nākotni, kurā visā internetā nepārtraukti tiek meklētas zināmas ievainojamības un, tās atklājot, tiek vai nu informēti vietņu īpašnieki, vai ielāpotas sistēmas.

• Savlaicīga informēšana. Kam vajadzīgs iepriekšējs brīdinājums, lai veiktu lietderīgus aizsardzības pasākumus, tostarp aizstāvjiem, kurus mēs varētu neievērot? Kad pakāpeniska informēšana ir efektīvāka par plašākas grupas vienlaicīgu informēšanu, un kā samērot aizsardzības aptvērumu ar noplūdes risku?

• Pēc noklusējuma drošas programmatūras pakotnes. Kā varam palīdzēt atrast un novērst ievainojamības atvasinātajās pakotnēs, kamēr vēl tiek gaidīti sākotnējo projektu labojumi, vai pielāgot labojumus vecākām versijām, kas vairs nesaņem drošības atjauninājumus? Kāda testēšana un uzturēšana padarītu šīs pakotnes par uzticamu izvēli, ja savlaicīga jaunināšana nav iespējama?

Aicinām arī ieteikt neatkarīgus drošības ekspertus, kuri varētu izvērtēt šo pieeju, apšaubīt tās pieņēmumus un atklāt nepilnības. Jūsu ieguldījums palīdzēs mums pilnveidot reaģēšanu un noteikt atbalsta prioritātes. Dalieties ar atsauksmēm šeit⁠(atveras jaunā logā).