Во изминатите два месеца предводевме коалиција од одржувачи, истражувачи и даватели на безбедносни услуги за отстранување критични ранливости во PHP, програмски јазик со отворен код што се користи за веб-страници и веб-апликации. Calif откри критичен пропуст со GPT‑5.6 Sol во рамките на нашата иницијатива Patch the Planet(се отвора во нов прозорец), а Wiz независно ги откри и ги пријави двете ранливости. Одржувачите на PHP ги предводеа поправките и објавувањето, а нашите тимови и партнери како Wiz, Cloudflare и други придонесоа со истражување, техничка поддршка и координација за подготовка на заштитни мерки пред јавното обелоденување.
За организациите што користат PHP, приоритет сега е примената на поправките. Споделуваме алатка за проверка на верзијата на PHP како вештина за Codex(се отвора во нов прозорец) за операторите да ги препознаат потенцијално ранливите верзии на PHP и, со насоките од PHP и нивните даватели на услуги, да утврдат кои ажурирања им се потребни.
Со оглед на сериозноста на овие пропусти и широката употреба на PHP, ова го сметаме за еден од безбедносните проблеми со најголемо влијание во последниве години. Ова покажува како ВИ може да открие безбедносни пропусти со влијание врз целиот интернет, но истите способности можат да им помогнат и на напаѓачите брзо да развијат алатки за напад и искористување ранливости.
Колку што ни е познато, граничната ВИ ги откри овие ранливости пред напаѓачите, отворајќи временска предност за бранителите, во која одржувачите и давателите на безбедносни услуги можеа да подготват поправки и заштитни мерки пред обелоденувањето.
За повеќе бранители да ги користат овие способности, наменивме 1 милијарда долари за субвенциониран пристап до Daybreak преку Daybreak за бранителите на првата линија, со фокус на организациите со ограничени безбедносни ресурси што штитат основни услуги.
И покрај нивната сериозност, овие грешки се само дел од значајните ранливости што веќе ги откривме и работиме да ги отстраниме. Очекуваме бројот на слични откритија нагло да порасне во следните месеци. Врз основа на досегашното искуство, предлагаме пристап соодветен за ерата на ВИ за одговор на критични ранливости во широко користен софтвер и ја повикуваме безбедносната заедница да помогне во подобрувањето на оваа рамка. Таа ги обединува нашите модели, безбедносната експертиза и одржувачите за откритијата да се преточат во заштита и да се изгради одговор што ќе се проширува со напредокот на ВИ.
За да се примени поправката во практика, може да бара приспособување за постари изданија, подготовка на мерки за ублажување кај давателите на услуги и ажурирање системи во многу организации. Повторлив процес им помага на тие тимови да дејствуваат брзо со откривањето нови ранливости.
Преку Patch the Planet придонесовме со безбедносна експертиза и пристап до модели за да го поддржиме одговорот за PHP, а со одржувачите и истражувачките партнери ги тестиравме поправките и подготвувавме насоки. Помогнавме и во координацијата со давателите на инфраструктурни услуги за заштита на засегнатите системи и вклучивме државни агенции за сајбербезбедност за насоките да стигнат до клучните организации. Ова го поддржа одговорот предводен од одржувачите и им помогна на другите бранители да се подготват.
За некои откритија, истражувачите можат директно со одржувачите на софтверот да го испитаат проблемот и да развијат поправка. Други бараат поширок одговор бидејќи засегаат многу производи или затоа што на дистрибутерите и давателите на услуги им треба време за подготовка на ажурирања и заштитни мерки. Тоа време може да биде кратко ако граничните способности не се многу понапред од широко достапните. Во тие случаи, предложената рамка може да им помогне на одржувачите да утврдат кого да вклучат и да ја координираат работата. Одговорот може да опфати пет фази:
Потврдете ја и отстранете ја ранливоста во изворниот проект. Одржувачот, истражувачите и клучните технички партнери го потврдуваат откритието, го проценуваат влијанието и развиваат и тестираат поправка. Овој процес вклучува тестирање со симулирани напади со гранични модели за да се најдат начини за заобиколување на закрпата и сродни варијанти на ранливоста.
Дајте им време на засегнатите организации да дејствуваат. Предлагаме рамка за процена на кои организации им требаат однапред информации за да подготват заштита, а одржувачите одлучуваат кого да вклучат. Помагаме со воспоставување контакти, договори за споделување информации и координација меѓу тимовите. Дистрибутер може да приспособи поправка за постаро издание, хостинг-провајдер да тестира мерка за ублажување, а давател на безбедносни услуги да подготви мерки за откривање или спречување, вклучително и правила за заштитен ѕид за веб-апликации (WAF).
Координирајте се со државните партнери за заштита на критичните системи. Државните агенции имаат клучна улога во координирањето поширок одговор и во доставувањето безбедносни насоки до организациите одговорни за критичната инфраструктура и другите основни услуги. За PHP, со нашите партнери работевме на вклучување повеќе органи на владата на САД: Тимот за суперинтелигенција на Белата куќа, Канцеларијата на националниот директор за сајбербезбедност (ONCD), Агенцијата за сајбербезбедност и инфраструктурна безбедност (CISA), како и меѓународни партнери за поддршка на овие напори.
Подгответе ажурирања за засегнатите производи. Кога поправката, насоките и плановите за обелоденување ќе се стабилизираат, одржувачите можат да вклучат дополнителни дистрибутери, даватели на хостинг и други услуги, тимови за одговор и оператори за подготовка на ажурирања и пополнување на празнините во заштитата.
Кога закрпата ќе биде достапна, објавете насоки и поддржете ја примената. Јавните насоки помагаат да се процени изложеноста, да се најдат официјални ажурирања или привремени мерки за ублажување и да се провери дали поправката е активна. Одговорот продолжува додека операторите ги применуваат ажурирањата и пријавуваат каде им треба помош.
Предложената рамка ја зема предвид заштитната улога на организацијата, вклучително и заштитата на сопствените системи и клиенти, времето потребно за дејствување и способноста за ракување со чувствителни информации. Истите критериуми би важеле за споредливи организации, а одржувачите би одлучувале кого да вклучат пред обелоденувањето.
Секој учесник ги добива информациите потребни за заштитната работа: од мрежни дневници со показатели за компромитирање до почувствителен функционален код што ја докажува можноста за искористување на ранливоста. И ограничени детали можат да откријат ранливост, па го одмеруваме ризикот од нивното споделување наспроти заштитата што ја овозможуваат.
Тимовите што ја следат оваа рамка би соработувале со одржувачите за да им дадат време на бранителите да се подготват и да ги преиспитаат роковите при активно искористување во реални напади, протекување информации, јавна закрпа што ја разоткрива ранливоста или зголемен ризик за корисниците поради застој во санирањето.
Веб-страницата на Patch the Planet(се отвора во нов прозорец) ги обединува јавните објави и насоки за операторите да ги препознаат засегнатите системи, да го најдат соодветното ажурирање и да проверат дали ажурираниот софтвер работи правилно. За PHP, таа упатува на официјалната закрпа и упатствата за надградба од одржувачите, како и на техничките истражувања на нашите партнери. Насоките опфаќаат и привремени мерки за ублажување, кога да се вклучи давател на услуги или експерт, како и резервни копии и обновување. Привремените заштитни мерки можат да го намалат ризикот, но јасно ќе ги наведеме нивните ограничувања и оперативните компромиси.
Операторите можат да ги користат насоките на CISA за приоритети и санирање(се отвора во нов прозорец) за да проценат колку брзо треба да дејствуваат според изложеноста, искористувањето и потенцијалното влијание. Тоа може да значи итно поставување закрпи, неодложно ублажување или планирано ажурирање, со првична форензичка процена, кога е оправдана, за да се утврди дали системите веќе се компромитирани. Приоритетите треба да се преиспитуваат со промената на условите, со јасен пат до трајно санирање.
Глобалната координација зависи од луѓето што го одржуваат софтверот. Многу проекти ги водат мали тимови што ги разгледуваат безбедносните пријави паралелно со редовната развојна работа. На тие тимови им треба помош да ги одвојат новите проблеми од дупликатите, да го проценат влијанието и да ги тестираат поправките во поддржаните изданија. Ја поддржуваме таа работа со финансирање, пристап до способни модели и практична инженерска помош.
Моќните способности на ВИ напредуваат низ целата индустрија и очекуваме ВИ да има сѐ поголема улога во помагањето на бранителите да откриваат ранливости, да ги следат системите и да одговараат на закани. Вложуваме во модели, алатки и партнерства за бранителите да можат да ги применат тие способности.
Нашите вложувања вклучуваат претплати за сите одржувачи преку Codex за OSS и директно спонзорирање проекти како Фондацијата Rust(се отвора во нов прозорец), за поддршка на одржувачите и техничката работа. Секој проект ги одредува сопствените приоритети. Тестовите и безбедносните работни процеси што можат повторно да се користат го намалуваат напорот потребен за справување со идни откритија. Проектите со отворен код можат да се пријават во Patch the Planet(се отвора во нов прозорец) за практична поддршка.
Калибрираме и дополнителни класификатори за блокирање во Daybreak за да го намалиме потенцијалот за злоупотреба. Ова бара тешки компромиси: заштитните мерки наменети да спречат злоупотреба можат да блокираат и легитимна безбедносна работа. И широкиот пристап до способни модели и ефикасната заштита од злоупотреба се од клучно значење. Целта ни е да ги зачуваме способностите што им требаат на бранителите за откривање и отстранување ранливости, а истовремено да ја ограничиме штетната употреба. Ќе продолжиме да ја подобруваме таа рамнотежа како што напредуваат способностите и учиме од начинот на кој се користат овие алатки.
Како што моделите стануваат поспособни, можностите се прошируваат надвор од откривањето и отстранувањето поединечни ранливости. Сакаме да им помогнеме на инженерите да создаваат побезбеден софтвер од самиот почеток. Подобрувањата во широко користена компонента можат да спречат грешки или да го ограничат нивното влијание во многу производи и услуги.
ВИ може да им помогне на инженерите да го разберат постојниот код, да подготват измени и да развијат тестови, додека одржувачите и безбедносните експерти проверуваат дали измените го зачувуваат однесувањето на кое се потпираат корисниците. Гледаме можности во неколку области:
Безбеден код од самиот почеток. Моделите за програмирање можат да им помогнат на програмерите да изберат побезбедни стандардни поставки, правилно да ги користат безбедносните библиотеки и да забележуваат ризични обрасци додека пишуваат код. Спречувањето ранливости во текот на развојот значи помалку итни поправки за одржувачите и корисниците.
Софтвер со безбедно управување со меморијата. Пренесувањето критични компоненти во јазици со безбедно управување со меморијата може да отстрани чести категории мемориски грешки. ВИ може да помогне со миграциите, придружени со тестови и стручна проверка на однесувањето и компатибилноста.
Формална верификација. Математичките докази можат да покажат дека критичните компоненти ги исполнуваат зададените безбедносни својства при наведените претпоставки. Примената на овие методи на широко користени компоненти би можела да помогне да се исклучат цели категории ранливости во услугите и критичната инфраструктура што зависат од нив.
Посилна изолација. На системите им треба заштита од ранливости што сѐ уште не се откриени или отстранети. Извршувањето софтвер што обработува недоверливи датотеки, слики или медиуми во строго ограничени изолирани средини може да ја намали штетата ако тој биде компромитиран. ВИ може да им помогне на инженерите да ги тестираат и зајакнат широко користените технологии за изолирано извршување, подобрувајќи ја заштитата во многу апликации.
Го споделуваме нашиот пристап за одржувачите, истражувачите, тимовите за одговор, давателите на услуги и операторите да помогнат тој да биде применлив во практика. Сакаме да разбереме каде би помогнал, каде би можел да предизвика доцнење или дополнителен товар и што сме пропуштиле. Особено би биле корисни примери од претходни обелоденувања.
Особено нѐ интересираат:
Рокови за обелоденување. Колку време им треба на одржувачите, операторите и бранителите за да подготват и применат сигурни поправки? Кои докази треба да поттикнат порано обелоденување, особено кога некои корисници можат да бидат заштитени порано од други?
Итно поставување закрпи. Кога, ако воопшто, владите или другите оператори треба да искористат ранливост за да постават закрпи на системи што ги поседуваат или се овластени да ги управуваат, откако ќе го изгубат администраторскиот пристап? Кои заштитни мерки треба да важат? Можеме да замислиме крајна состојба во која целиот интернет постојано се скенира за познати ранливости, а при нивно откривање се известуваат сопствениците на страниците или се поставува закрпа на системот.
Рано известување. Кому му треба претходно предупредување за да преземе корисна заштитна мерка, вклучително и бранители што можеби би ги изоставиле? Кога известувањето во фази е поефикасно од истовременото известување поширока група и како треба да го одмериме опфатот наспроти ризикот од протекување информации?
Софтверски пакети со стандардно вклучена безбедност. Како можеме да помогнеме во откривањето и отстранувањето ранливости во зависните пакети додека се чекаат поправки во изворните проекти, или да ги приспособиме поправките за постари верзии што веќе не добиваат безбедносни ажурирања? Какво тестирање и одржување би ги направило овие пакети сигурен избор кога не е можна навремена надградба?
Добредојдени се и препораки за независни безбедносни експерти што можат да го разгледаат пристапот, да ги преиспитаат неговите претпоставки и да утврдат пропусти. Вашиот придонес ќе ни помогне да го подобриме одговорот и да ги одредиме приоритетите за поддршка. Споделете ги вашите мислења и предлози тука(се отвора во нов прозорец).
