Patch the Planet: глобална координација одговора на критичне рањивости које откривају агенти
Током протекла два месеца предводили смо коалицију тимова за одржавање софтвера, истраживача и пружалаца безбедносних услуга како бисмо отклонили критичне рањивости у PHP-у, програмском језику отвореног кода који се користи за покретање веб-сајтова и веб-апликација. Calif је открио критичан пропуст помоћу модела GPT‑5.6 Sol у оквиру наше иницијативе Patch the Planet(отвара се у новом прозору), док је Wiz независно открио и пријавио обе рањивости. Тим за одржавање PHP-а водио је израду и објављивање исправки, а наши тимови и партнери као што су Wiz, Cloudflare и други допринели су истраживањем, техничком подршком и координацијом како би заштита била спремна пре објављивања рањивости.
За организације које користе PHP приоритет је сада примена исправки. Објављујемо алат за проверу верзије PHP-а као вештину за Codex(отвара се у новом прозору) како бисмо помогли администраторима да препознају потенцијално рањиве верзије PHP-а и, уз смернице PHP-а и својих пружалаца услуга, утврде која ажурирања треба применити.
Због озбиљности ових пропуста и широке употребе PHP-а, сматрамо да је ово један од безбедносних проблема с највећим последицама у скорије време. Овај случај показује како ВИ може да открије безбедносне пропусте који утичу на читав интернет, али исте способности могу и да помогну нападачима да брзо развију алате за нападе и искоришћавање рањивости.
Колико знамо, гранични модели ВИ открили су ове рањивости пре нападача и тиме отворили временски прозор за одбрану, у којем су тимови за одржавање и пружаоци безбедносних услуга могли да припреме исправке и заштиту пре објављивања.
Да бисмо помогли већем броју стручњака за одбрану да користе ове способности, определили смо милијарду долара за субвенционисани приступ програму Daybreak кроз програм Daybreak за браниоце на првој линији, намењен организацијама које штите кључне услуге уз ограничене безбедносне ресурсе.
Ма колико биле озбиљне, ове грешке су тек неке од значајних рањивости које смо већ открили и на чијем отклањању радимо. Очекујемо нагли пораст броја сличних открића у наредним месецима. На основу досадашњег искуства предлажемо приступ реаговању на критичне рањивости у широко коришћеном софтверу, прилагођен добу ВИ, и позивамо безбедносну заједницу да помогне у унапређењу овог оквира. Он повезује наше моделе, безбедносну стручност и тимове за одржавање како би се открића преточила у заштиту и успоставио одговор који може да прати напредак способности ВИ.
Увођење исправке у употребу може захтевати прилагођавање старијим издањима, припрему мера ублажавања код пружалаца услуга и ажурирање система у бројним организацијама. Поновљив поступак помаже тим тимовима да брзо делују како се открива све више рањивости.
Кроз Patch the Planet пружили смо безбедносну стручност и приступ моделима као подршку одговору на рањивости PHP-а, а са тимовима за одржавање и истраживачким партнерима тестирали смо исправке и припремали смернице. Помогли смо и у координацији заштите погођених система са пружаоцима инфраструктуре и укључили државне агенције за сајбер безбедност како би смернице стигле до кључних организација. Тиме смо подржали одговор који је водио тим за одржавање и помогли другима задуженим за одбрану да се припреме.
Код неких открића истраживачи могу директно да сарађују са тимом за одржавање софтвера како би испитали проблем и развили исправку. Друга захтевају шири одговор јер погађају више производа или зато што дистрибутерима и пружаоцима услуга треба време за припрему ажурирања и заштите. Тог времена можда нема много ако граничне способности нису далеко испред широко доступних. У тим случајевима предложени оквир може помоћи тимовима за одржавање да утврде кога треба укључити и координишу рад. Одговор може обухватити пет фаза:
Потврдити и отклонити рањивост у изворном пројекту. Тим за одржавање, истраживачи и кључни технички партнери потврђују налаз, процењују утицај и развијају и тестирају исправку. Овај поступак обухвата тестирање из перспективе нападача помоћу граничних модела, ради проналажења начина за заобилажење закрпе и сродних варијанти рањивости.
Дати погођеним организацијама време да делују. Предлажемо оквир за процену којим организацијама су потребне ране информације да би припремиле заштиту, док тимови за одржавање одлучују кога ће укључити. Помажемо у успостављању контаката, склапању споразума о размени информација и координацији тимова. Дистрибутер може прилагодити исправку старијем издању, пружалац хостинга тестирати меру ублажавања, а пружалац безбедносних услуга припремити мере откривања или спречавања напада, укључујући правила за заштитни зид веб-апликација (WAF).
Координисати рад са државним партнерима ради заштите критичних система. Државне агенције имају кључну улогу у координацији ширег одговора и достављању безбедносних смерница организацијама одговорним за критичну инфраструктуру и друге основне услуге. У случају PHP-а, заједно с партнерима радили смо на укључивању више органа власти САД, међу којима су Тим Беле куће за суперинтелигенцију, Канцеларија националног директора за сајбер безбедност (ONCD) и Агенција за сајбер безбедност и безбедност инфраструктуре (CISA), као и међународних партнера, да бисмо подржали ове напоре.
Припремити ажурирања за све погођене производе. Када се исправка, смернице и планови објављивања устале, тимови за одржавање могу укључити додатне дистрибутере, пружаоце хостинга и услуга, тимове за реаговање и администраторе како би припремили ажурирања и попунили празнине у заштити.
Када закрпа буде доступна, објавити смернице и подржати примену. Јавне смернице помажу корисницима да процене изложеност, пронађу званична ажурирања или привремене мере ублажавања и провере да ли је исправка активна. Одговор се наставља док администратори примењују ажурирања и пријављују где им је потребна помоћ.
Предложени оквир узима у обзир заштитну улогу организације, укључујући заштиту сопствених система и клијената, време потребно за деловање и њену способност да поступа са осетљивим информацијама. Исти критеријуми важили би за упоредиве организације, а тимови за одржавање одлучивали би кога укључити пре објављивања.
Сваки учесник добија информације потребне за спровођење заштите, од мрежних евиденција са показатељима компромитовања до осетљивијих функционалних примера кода који доказују могућност искоришћавања рањивости. Чак и оскудни детаљи могу открити рањивост, па одмеравамо ризик њиховог дељења у односу на заштиту коју омогућавају.
Тимови који следе овај оквир сарађивали би са тимовима за одржавање како би браниоцима оставили време за припрему и преиспитали рокове у случају активног искоришћавања рањивости у пракси, цурења информација, јавне закрпе која открива рањивост или већег ризика по кориснике услед застоја у отклањању проблема.
Веб-сајт Patch the Planet(отвара се у новом прозору) обједињује јавна обавештења и смернице како би администратори препознали погођене системе, пронашли одговарајуће ажурирање и проверили да ли ажурирани софтвер исправно ради. За PHP упућује на званичну закрпу и упутства за надоградњу тима за одржавање, као и на техничка истраживања наших партнера. Смернице обухватају и привремене мере ублажавања, ситуације у којима треба укључити пружаоца услуга или стручњака, као и прављење резервних копија и опоравак. Привремена заштита може смањити ризик, али ћемо јасно навести њена ограничења и оперативне компромисе.
Администратори могу користити смернице агенције CISA за одређивање приоритета и отклањање проблема(отвара се у новом прозору) да процене колико брзо треба деловати на основу изложености, искоришћавања рањивости и могућег утицаја. То може значити хитну примену закрпа, неодложно ублажавање ризика или планирано ажурирање, уз почетну форензичку процену, када је оправдана, да би се утврдило да ли су системи већ компромитовани. Приоритете треба преиспитивати како се услови мењају, уз јасан пут до трајног отклањања проблема.
Глобална координација зависи од људи који одржавају софтвер. Многе пројекте воде мали тимови који, уз редован развој, разматрају и безбедносне пријаве. Тим тимовима је потребна помоћ да раздвоје нове проблеме од поновљених пријава, процене утицај и тестирају исправке у свим подржаним издањима. Тај рад подржавамо финансирањем, приступом способним моделима и непосредном инжењерском помоћи.
Моћне способности ВИ напредују широм сектора и очекујемо да ће ВИ имати све већу улогу у помагању браниоцима да проналазе рањивости, надгледају системе и реагују на претње. Улажемо у моделе, алате и партнерства како бисмо помогли браниоцима да те способности примене у пракси.
Наша улагања обухватају претплате за све који одржавају софтвер кроз програм Codex for OSS и директно спонзорисање пројеката као што је Rust Foundation(отвара се у новом прозору), за подршку тимовима за одржавање и техничком раду. Сваки пројекат одређује сопствене приоритете. Тестови и безбедносни поступци за вишекратну употребу могу смањити труд потребан за обраду будућих налаза. Пројекти отвореног кода могу да се пријаве за Patch the Planet(отвара се у новом прозору) како би добили непосредну подршку.
Подешавамо и додатне класификаторе за блокирање у програму Daybreak како бисмо смањили могућност злоупотребе. То подразумева тешке компромисе: мере за спречавање злоупотребе могу блокирати и легитиман рад на безбедности. И широк приступ способним моделима и делотворна заштита од злоупотребе од пресудне су важности. Циљ нам је да очувамо способности које су браниоцима потребне за откривање и отклањање рањивости, а да ограничимо штетну употребу. Наставићемо да усавршавамо ту равнотежу како способности напредују и како учимо из начина употребе ових алата.
Како модели постају способнији, могућности превазилазе проналажење и отклањање појединачних рањивости. Желимо да помогнемо инжењерима да од самог почетка граде безбеднији софтвер. Унапређења широко коришћене компоненте могу спречити грешке или ограничити њихов утицај на бројне производе и услуге.
ВИ може помоћи инжењерима да разумеју постојећи код, припреме измене и развију тестове, док тимови за одржавање и безбедносни стручњаци проверавају да ли те измене чувају понашање софтвера на које се корисници ослањају. Видимо могућности у неколико области:
Безбедан код од самог почетка. Модели за програмирање могу помоћи програмерима да изаберу безбеднија подразумевана подешавања, правилно користе безбедносне библиотеке и уочавају ризичне обрасце док пишу код. Спречавање рањивости током развоја значи мање хитних исправки за тимове за одржавање и кориснике.
Софтвер са безбедним управљањем меморијом. Пребацивање критичних компоненти на језике са безбедним управљањем меморијом може елиминисати уобичајене класе меморијских грешака. ВИ може помоћи у миграцији, уз тестове и стручну проверу понашања и компатибилности.
Формална верификација. Математички докази могу показати да критичне компоненте задовољавају наведена безбедносна својства под датим претпоставкама. Примена ових метода на широко коришћене компоненте могла би да помогне у искључивању читавих класа рањивости у услугама и критичној инфраструктури које се на њих ослањају.
Јача изолација. Системима је потребна заштита од рањивости које још нису откривене или отклоњене. Покретање софтвера који обрађује непоуздане датотеке, слике или медијске садржаје у строго ограниченим, изолованим окружењима може ограничити штету ако буде компромитован. ВИ може помоћи инжењерима да тестирају и ојачају широко коришћене технологије изолованог извршавања, чиме се унапређује заштита у бројним апликацијама.
Представљамо свој приступ како би тимови за одржавање, истраживачи, тимови за реаговање, пружаоци услуга и администратори помогли да он буде применљив у пракси. Желимо да разумемо где би помогао, где би могао да изазове кашњења или додатно оптерећење и шта смо превидели. Посебно би били корисни примери из ранијих објављивања рањивости.
Посебно нас занимају:
Рокови за објављивање. Колико је времена потребно тимовима за одржавање, администраторима и браниоцима да припреме и примене поуздане исправке? Који докази треба да буду повод за раније објављивање, нарочито када неки корисници могу бити заштићени пре других?
Хитна примена закрпа. Када би, ако икада, државни органи или други администратори требало да искористе рањивост ради примене закрпа на системе које поседују или којима су овлашћени да управљају, након губитка администраторског приступа? Које заштитне мере треба применити? Можемо замислити коначно стање у којем се читав интернет непрекидно скенира у потрази за познатим рањивостима, а по откривању се обавештавају власници сајтова или се на систем примењује закрпа.
Рано обавештавање. Коме је потребно рано упозорење да би предузео корисне заштитне мере, укључујући и браниоце које бисмо могли да превидимо? Када је обавештавање у фазама делотворније од истовременог обавештавања шире групе и како треба одмерити обухват у односу на ризик од цурења информација?
Софтверски пакети безбедни по подразумеваним подешавањима. Како можемо помоћи у откривању и отклањању рањивости у изведеним пакетима док се чекају исправке изворног пројекта, или у преношењу исправки на старије верзије које више не добијају безбедносна ажурирања? Какво би тестирање и одржавање учинило ове пакете поузданим избором када благовремена надоградња није изводљива?
Добродошле су и препоруке за независне безбедносне стручњаке који могу да размотре приступ, преиспитају његове претпоставке и уоче недостатке. Ваш допринос ће нам помоћи да унапредимо одговор и одредимо приоритете подршке. Поделите своје мишљење овде(отвара се у новом прозору).
