Patch the Planet: koordinimi i reagimit global ndaj cenueshmërive kritike të zbuluara nga agjentët
Gjatë dy muajve të fundit, drejtuam një koalicion mirëmbajtësish, studiuesish dhe ofruesish sigurie për të trajtuar cenueshmëri kritike në PHP, një gjuhë programimi me burim të hapur që përdoret për faqe dhe aplikacione uebi. Calif identifikoi një të metë kritike me GPT‑5.6 Sol në kuadër të nismës sonë Patch the Planet(hapet në një dritare të re). Wiz gjithashtu i zbuloi dhe raportoi në mënyrë të pavarur të dyja cenueshmëritë. Mirëmbajtësit e PHP-së drejtuan korrigjimet dhe publikimin, ndërsa ekipet tona dhe partnerë si Wiz, Cloudflare e të tjerë kontribuuan me kërkime, mbështetje teknike dhe koordinim për të përgatitur mbrojtjen para bërjes publike.
Për organizatat që përdorin PHP, përparësia tani është zbatimi i korrigjimeve. Po ofrojmë një kontrollues të versionit të PHP-së si aftësi të Codex(hapet në një dritare të re) për t'i ndihmuar operatorët të identifikojnë versione potencialisht të cenueshme dhe, me udhëzimet e PHP-së dhe ofruesve të tyre, të përcaktojnë përditësimet e nevojshme.
Duke pasur parasysh rëndësinë e këtyre të metave dhe përdorimin e gjerë të PHP-së, e konsiderojmë këtë një nga çështjet e sigurisë me ndikimin më të madh në vitet e fundit. Kjo tregon se si IA-ja mund të zbulojë të meta sigurie me ndikim në shkallë interneti, por të njëjtat aftësi mund t'i ndihmojnë edhe sulmuesit të zhvillojnë shpejt mjete sulmi dhe shfrytëzimi të cenueshmërive.
Me sa dimë, IA-ja avangardë i gjeti këto cenueshmëri para sulmuesve, duke hapur një dritare mundësie për mbrojtësit, që mirëmbajtësit dhe ofruesit e sigurisë të përgatisnin korrigjime dhe masa mbrojtëse para bërjes publike.
Për t'i ndihmuar më shumë mbrojtës t'i përdorin këto aftësi, kemi zotuar 1 miliard dollarë për qasje të subvencionuar në Daybreak përmes Daybreak për mbrojtësit në vijën e parë, me fokus te organizatat me burime të kufizuara sigurie që mbrojnë shërbime thelbësore.
Sado të rëndësishme qofshin, këto gabime janë vetëm disa nga cenueshmëritë serioze që kemi gjetur e po punojmë të korrigjojmë. Presim që zbulime të ngjashme të shtohen ndjeshëm në muajt e ardhshëm. Duke u mbështetur në përvojën tonë të deritanishme, propozojmë një qasje për epokën e IA-së ndaj cenueshmërive kritike në softuerët e përdorur gjerësisht dhe i kërkojmë komunitetit të sigurisë të ndihmojë në përmirësimin e kësaj kornize. Ajo bashkon modelet tona, ekspertizën e sigurisë dhe mirëmbajtësit për t'i kthyer zbulimet në mbrojtje dhe për të ndërtuar një reagim që mund të zgjerohet krahas përparimit të aftësive të IA-së.
Vënia në përdorim e një korrigjimi mund të kërkojë përshtatjen për versione të vjetra, përgatitjen e masave zbutëse nga ofruesit dhe përditësimin e sistemeve në shumë organizata. Një proces i përsëritshëm i ndihmon këto ekipe të veprojnë shpejt ndërsa zbulohen më shumë cenueshmëri.
Përmes Patch the Planet, ofruam ekspertizë sigurie dhe qasje në modele për të mbështetur reagimin për PHP-në dhe punuam me mirëmbajtës e partnerë kërkimorë për të testuar korrigjimet dhe përgatitur udhëzimet. Ndihmuam edhe në koordinimin me ofruesit e infrastrukturës për mbrojtjen e sistemeve të prekura dhe përfshimë agjenci qeveritare kibernetike që udhëzimet të arrinin tek organizatat kritike. Kjo mbështeti reagimin e drejtuar nga mirëmbajtësit dhe ndihmoi mbrojtësit e tjerë të përgatiteshin.
Për disa zbulime, studiuesit mund të punojnë drejtpërdrejt me mirëmbajtësit e softuerit për të hetuar çështjen dhe zhvilluar një korrigjim. Të tjera kërkojnë reagim më të gjerë, sepse prekin shumë produkte ose sepse shpërndarësve dhe ofruesve të shërbimeve u duhet kohë për të përgatitur përditësime e mbrojtje. Kjo kohë mund të jetë e shkurtër nëse aftësitë avangardë nuk janë shumë përpara atyre të disponueshme gjerësisht. Në këto raste, korniza e propozuar mund t'i ndihmojë mirëmbajtësit të përcaktojnë kë duhet të përfshijnë dhe të koordinojnë punën. Reagimi mund të përfshijë pesë faza:
Verifikimi dhe korrigjimi i cenueshmërisë në projektin burimor. Mirëmbajtësi, studiuesit dhe partnerët teknikë kryesorë konfirmojnë zbulimin, vlerësojnë ndikimin dhe zhvillojnë e testojnë një korrigjim. Ky proces përfshin testime sulmuese me modele avangardë për të kërkuar mënyra anashkalimi të korrigjimit dhe variante të lidhura me cenueshmërinë.
Dhënia e kohës për veprim organizatave të prekura. Propozojmë një kornizë për të shqyrtuar cilave organizatave u duhet informacion paraprak për të përgatitur mbrojtjen, ndërsa mirëmbajtësit vendosin kë të përfshijnë. Ndihmojmë me kontaktimin, marrëveshjet për ndarjen e informacionit dhe koordinimin mes ekipeve. Një shpërndarës mund të përshtatë një korrigjim për një version të vjetër, një ofrues hostimi të testojë një masë zbutëse dhe një ofrues sigurie të përgatisë masa zbulimi ose parandalimi, përfshirë rregulla të murit mbrojtës për aplikacionet e uebit (WAF).
Koordinimi me partnerët qeveritarë për të mbrojtur sistemet kritike. Agjencitë qeveritare kanë rol thelbësor në koordinimin e një reagimi më të gjerë dhe në përcjelljen e udhëzimeve të sigurisë tek organizatat përgjegjëse për infrastrukturën kritike dhe shërbime të tjera thelbësore. Për PHP-në, bashkëpunuam me partnerët tanë për të përfshirë disa struktura të qeverisë amerikane, duke përfshirë Forcën e Superinteligjencës së Shtëpisë së Bardhë, Zyrën e Drejtorit Kombëtar për Çështjet Kibernetike (ONCD), Agjencinë e Sigurisë Kibernetike dhe të Infrastrukturës (CISA), si dhe partnerë ndërkombëtarë për të mbështetur këtë përpjekje.
Përgatitja e përditësimeve për produktet e prekura. Ndërsa korrigjimi, udhëzimet dhe planet e bërjes publike marrin formë përfundimtare, mirëmbajtësit mund të përfshijnë shpërndarës të tjerë, ofrues hostimi e shërbimesh, ekipe reagimi dhe operatorë për të përgatitur përditësime dhe mbuluar boshllëqet.
Publikimi i udhëzimeve dhe mbështetja e zbatimit sapo të jetë gati korrigjimi. Udhëzimet publike i ndihmojnë njerëzit të vlerësojnë ekspozimin, të gjejnë përditësime zyrtare ose masa të përkohshme zbutëse dhe të kontrollojnë nëse korrigjimi është në përdorim. Reagimi vazhdon ndërsa operatorët zbatojnë përditësimet dhe raportojnë ku u duhet ndihmë.
Korniza e propozuar merr parasysh rolin mbrojtës të organizatës, përfshirë mbrojtjen e sistemeve dhe klientëve të saj, kohën e nevojshme për veprim dhe aftësinë për të trajtuar informacion të ndjeshëm. Të njëjtat kritere do të zbatoheshin për organizata të krahasueshme, ndërsa mirëmbajtësit do të vendosnin kë të përfshinin para bërjes publike.
Çdo pjesëmarrës merr informacionin e nevojshëm për punën mbrojtëse, nga regjistrat e rrjetit me tregues komprometimi deri te kodi funksional që demonstron shfrytëzimin e cenueshmërisë, i cili është më i ndjeshëm. Edhe pak hollësi mund të zbulojnë një cenueshmëri, ndaj peshojmë rrezikun e ndarjes së tyre kundrejt mbrojtjes që mundësojnë.
Ekipet që ndjekin këtë kornizë do të punonin me mirëmbajtësit për t'u dhënë mbrojtësve kohë të përgatiteshin dhe do të rishikonin afatet në rast shfrytëzimi aktiv në praktikë, rrjedhjeje informacioni, korrigjimi publik që zbulon cenueshmërinë ose rreziku të shtuar për përdoruesit nga ngecja e korrigjimit.
Faqja e Patch the Planet(hapet në një dritare të re) mbledh njoftimet publike dhe udhëzimet për t'i ndihmuar operatorët të identifikojnë sistemet e prekura, të gjejnë përditësimin e duhur dhe të verifikojnë që softueri i përditësuar funksionon siç duhet. Për PHP-në, ajo orienton drejt korrigjimit zyrtar dhe udhëzimeve të përmirësimit nga mirëmbajtësit, si dhe kërkimeve teknike të partnerëve tanë. Udhëzimet mbulojnë edhe masat e përkohshme zbutëse, rastet kur duhet përfshirë një ofrues ose ekspert, si dhe kopjet rezervë dhe rikuperimin. Mbrojtja e përkohshme mund ta ulë rrezikun, por do t'i sqarojmë kufizimet e saj dhe kompromiset në funksionim.
Operatorët mund të përdorin udhëzimet e CISA-s për përparësitë dhe korrigjimin(hapet në një dritare të re) për të vlerësuar urgjencën e veprimit sipas ekspozimit, shfrytëzimit dhe ndikimit të mundshëm. Kjo mund të kërkojë korrigjim urgjent, zbutje të menjëhershme ose përditësim të planifikuar, krahas vlerësimit fillestar forenzik kur nevojitet, për të përcaktuar nëse sistemet janë komprometuar tashmë. Përparësitë duhen rivlerësuar kur kushtet ndryshojnë, me një rrugë të qartë drejt zgjidhjes së qëndrueshme.
Koordinimi global varet nga njerëzit që mirëmbajnë softuerin. Shumë projekte drejtohen nga ekipe të vogla që shqyrtojnë raportet e sigurisë krahas punës së përditshme të zhvillimit. Këtyre ekipeve u duhet ndihmë për të dalluar problemet e reja nga raportimet e përsëritura, për të vlerësuar ndikimin dhe për të testuar korrigjimet në versionet e mbështetura. E mbështesim këtë punë me financim, qasje në modele të afta dhe ndihmë praktike inxhinierike.
Aftësitë e fuqishme të IA-së po përparojnë në mbarë industrinë dhe presim që IA-ja të luajë rol gjithnjë e më të madh për t'i ndihmuar mbrojtësit të gjejnë cenueshmëri, të monitorojnë sistemet dhe t'u përgjigjen kërcënimeve. Po investojmë në modele, mjete dhe partneritete për t'i ndihmuar mbrojtësit t'i vënë në punë këto aftësi.
Investimet tona përfshijnë abonime për të gjithë mirëmbajtësit përmes Codex për OSS dhe sponsorizim të drejtpërdrejtë të projekteve si Fondacioni Rust(hapet në një dritare të re), në mbështetje të mirëmbajtësve dhe punës teknike. Çdo projekt përcakton përparësitë e veta. Testet dhe rrjedhat e ripërdorshme të punës së sigurisë mund të ulin përpjekjet e nevojshme për të trajtuar zbulimet e ardhshme. Projektet me burim të hapur mund të aplikojnë në Patch the Planet(hapet në një dritare të re) për mbështetje praktike.
Po kalibrojmë edhe klasifikues shtesë bllokues për Daybreak, për të ulur mundësinë e keqpërdorimit. Kjo përfshin kompromise të vështira: masat mbrojtëse kundër abuzimit mund të bllokojnë edhe punë legjitime në fushën e sigurisë. Si qasja e gjerë në modele të afta, ashtu edhe mbrojtja efektive kundër keqpërdorimit janë thelbësore. Synojmë të ruajmë aftësitë që u duhen mbrojtësve për të gjetur dhe korrigjuar cenueshmëri, duke kufizuar përdorimin e dëmshëm. Do të vazhdojmë ta përmirësojmë këtë ekuilibër ndërsa aftësitë përparojnë dhe mësojmë nga përdorimi i këtyre mjeteve.
Ndërsa modelet bëhen më të afta, mundësitë shtrihen përtej gjetjes dhe korrigjimit të cenueshmërive të veçanta. Duam t'i ndihmojmë inxhinierët të ndërtojnë softuer më të sigurt që në fillim. Përmirësimet në një komponent të përdorur gjerësisht mund të parandalojnë gabime ose të kufizojnë ndikimin e tyre në shumë produkte e shërbime.
IA-ja mund t'i ndihmojë inxhinierët të kuptojnë kodin ekzistues, të përgatisin ndryshime dhe të zhvillojnë teste, ndërsa mirëmbajtësit dhe ekspertët e sigurisë verifikojnë që ndryshimet ruajnë funksionimin te i cili mbështeten përdoruesit. Shohim mundësi në disa fusha:
Kod i sigurt që në fillim. Modelet e programimit mund t'i ndihmojnë zhvilluesit të zgjedhin cilësime të parazgjedhura më të sigurta, të përdorin saktë bibliotekat e sigurisë dhe të dallojnë modele të rrezikshme gjatë shkrimit të kodit. Parandalimi i cenueshmërive gjatë zhvillimit do të thotë më pak korrigjime urgjente për mirëmbajtësit dhe përdoruesit.
Softuer me përdorim të sigurt të memories. Kalimi i komponentëve kritikë në gjuhë që garantojnë përdorim të sigurt të memories mund të eliminojë kategori të zakonshme gabimesh të memories. IA-ja mund të ndihmojë në migrim, me teste dhe shqyrtim nga ekspertët për të kontrolluar funksionimin dhe përputhshmërinë.
Verifikim formal. Provat matematikore mund të tregojnë se komponentët kritikë përmbushin veti të përcaktuara sigurie sipas supozimeve të deklaruara. Zbatimi i këtyre metodave te komponentët e përdorur gjerësisht mund të ndihmojë në përjashtimin e kategorive të cenueshmërive në shërbimet dhe infrastrukturën kritike që varen prej tyre.
Izolim më i fortë. Sistemet kanë nevojë për mbrojtje nga cenueshmëritë që ende nuk janë gjetur ose korrigjuar. Ekzekutimi i softuerit që përpunon skedarë, imazhe ose media që nuk konsiderohen të besuara në mjedise të izoluara me kufizime të rrepta mund të kufizojë dëmin nëse ai komprometohet. IA-ja mund t'i ndihmojë inxhinierët të testojnë dhe forcojnë teknologjitë e izolimit të përdorura gjerësisht, duke përmirësuar mbrojtjen në shumë aplikacione.
Po e ndajmë qasjen tonë që mirëmbajtësit, studiuesit, ekipet e reagimit, ofruesit dhe operatorët të na ndihmojnë ta bëjmë të zbatueshme. Duam të kuptojmë ku do të ndihmonte, ku mund të sillte vonesa ose ngarkesë shtesë dhe çfarë na ka shpëtuar. Shembujt nga rastet e mëparshme të bërjes publike do të ishin veçanërisht të dobishëm.
Na interesojnë veçanërisht:
Afatet e bërjes publike. Sa kohë u duhet mirëmbajtësve, operatorëve dhe mbrojtësve për të përgatitur dhe zbatuar korrigjime të besueshme? Cilat prova duhet të çojnë në bërje publike më të hershme, sidomos kur disa përdorues mund të mbrohen më shpejt se të tjerët?
Korrigjime urgjente. Në cilat raste, nëse ka të tilla, duhet që qeveritë ose operatorët e tjerë të shfrytëzojnë një cenueshmëri për të korrigjuar sisteme që zotërojnë ose janë të autorizuar të administrojnë, pasi kanë humbur qasjen administrative? Çfarë masash mbrojtëse duhen zbatuar? Mund të përfytyrojmë një gjendje përfundimtare ku i gjithë interneti skanohet vazhdimisht për cenueshmëri të njohura dhe, kur zbulohet një e tillë, njoftohen pronarët e faqes ose korrigjohet sistemi.
Njoftim paraprak. Kujt i duhet paralajmërim për të ndërmarrë një veprim mbrojtës të dobishëm, përfshirë mbrojtësit që mund të lëmë jashtë vëmendjes? Kur funksionojnë më mirë njoftimet me faza sesa njoftimi i një grupi më të gjerë njëherësh dhe si duhet ta peshojmë shtrirjen e mbrojtjes kundrejt rrezikut të rrjedhjes së informacionit?
Paketa softuerike të sigurta si parazgjedhje. Si mund të ndihmojmë në identifikimin dhe korrigjimin e cenueshmërive në paketat e prejardhura, ndërsa priten korrigjimet e projektit burimor, ose të përshtatim korrigjime për versione të vjetra që nuk marrin më përditësime sigurie? Çfarë testimi dhe mirëmbajtjeje do t'i bënte këto paketa alternativa të besueshme kur kalimi në një version më të ri nuk është i realizueshëm në kohë?
Mirëpresim edhe rekomandime për ekspertë të pavarur sigurie që mund të shqyrtojnë qasjen, të vënë në pikëpyetje supozimet e saj dhe të identifikojnë boshllëqet. Kontributi yt do të na ndihmojë të përmirësojmë reagimin dhe të përcaktojmë përparësitë e mbështetjes. Ndaj mendimin tënd këtu(hapet në një dritare të re).
