PSIRT vs CSIRT: zranitelnosti produktů a incidenty ve vlastním IT

Co je CSIRT?

CSIRT (Computer Security Incident Response Team) je tým, který řeší bezpečnostní incidenty pro vymezenou skupinu lidí nebo organizací, takzvanou constituency. CSIRT Services Framework od FIRST jej definuje jako organizační jednotku, která může být i virtuální, nebo jako schopnost poskytující této skupině služby pro předcházení počítačovým bezpečnostním incidentům, jejich detekci, řešení a reakci na ně.

O tom, o jaký druh CSIRT jde, rozhoduje jeho constituency:

• Podnikový CSIRT: vlastní sítě, systémy, účty a data jedné firmy.
• Sektorový CSIRT: skupina organizací v jednom odvětví, například ve financích nebo energetice.
• Národní CSIRT: celá země, často s rolí v přeshraniční koordinaci.
• Tým dodavatele: zákazníci firmy, pro problémy v jejích produktech. To je PSIRT.

CSIRT Services Framework (verze 2.1) dělí služby CSIRT do pěti oblastí: správa událostí informační bezpečnosti, řízení incidentů informační bezpečnosti, správa zranitelností, situační povědomí a předávání znalostí.

Co je PSIRT?

PSIRT (Product Security Incident Response Team) je podle FIRST útvar v rámci organizace, který se zaměřuje na identifikaci, posouzení a vypořádání rizik spojených s bezpečnostními zranitelnostmi v produktech, které organizace vyrábí nebo prodává. Přijímá hlášení o zranitelnostech, zjišťuje, kterých produktů a verzí se týkají, zajistí sestavení a dodání opravy a informuje zákazníky prostřednictvím bezpečnostních upozornění.

Jeho framework, PSIRT Services Framework (verze 1.1), má šest oblastí služeb: správa ekosystému zainteresovaných stran, objevování zranitelností, triáž a analýza zranitelností, náprava, zveřejňování zranitelností a školení a vzdělávání.

Hlavní rozdíl

Rozdíl spočívá v tom, čí systémy jsou ohroženy. CSIRT chrání organizaci: incident je ve vašem prostředí a vy ho zadržíte. PSIRT chrání vaše zákazníky: zranitelnost je ve vašem produktu, který běží v jejich prostředích, a vy ji za ně opravit nemůžete. Dodáte opravu a řeknete jim, ať ji nainstalují.

FIRST to říká jasně: hlavním rozlišovacím znakem mezi PSIRT a ostatními týmy pro reakci na incidenty ve stejné organizaci je zaměření na produkty, zatímco podnikový CSIRT se obecně soustředí na systémy a sítě, které tvoří vlastní infrastrukturu organizace.

Srovnání PSIRT a CSIRT

	Podnikový CSIRT	PSIRT
Rozsah	Incidenty ve vlastních sítích, systémech a datech organizace	Zranitelnosti v produktech, které organizace dodává
Komu slouží	Zaměstnanci a interní systémy	Zákazníci a uživatelé produktů
Typické vstupy	Výstrahy, logy, hlášení uživatelů, threat intelligence	Hlášení výzkumníků, bezpečnostní upozornění ke komponentám třetích stran, interní testování, koordinátoři
Typické výstupy	Zadržené incidenty, obnovené systémy, analýzy po incidentu	Opravená vydání, bezpečnostní upozornění, záznamy CVE, oznámení zákazníkům
Kdy začíná běžet čas	Když je incident zjištěn	Když je zranitelnost nahlášena nebo zveřejněna
Typický vlastník	CISO nebo IT bezpečnost	Produktová bezpečnost nebo vývoj
Framework FIRST	CSIRT Services Framework 2.1	PSIRT Services Framework 1.1
Normy	ISO/IEC 27035 (řízení incidentů)	ISO/IEC 29147 (zveřejňování zranitelností), ISO/IEC 30111 (řešení zranitelností)

Oba frameworky zdůrazňují, že týmy nepracují izolovaně. Framework PSIRT popisuje týmy CSIRT, včetně národních, jako zainteresované strany, se kterými by PSIRT měl budovat vztahy, protože právě přes ně se dodavatel o zranitelnosti často dozví včas.

CERT vs CSIRT

Prvním týmem tohoto druhu bylo CERT Coordination Center, které podle SEI vzniklo jako reakce na červa Morris v roce 1988, s financováním od DARPA, na Software Engineering Institute univerzity Carnegie Mellon. CERT je ochranná známka registrovaná ve Spojených státech univerzitou Carnegie Mellon a SEI opravňuje americké týmy používat ji ve svých názvech. Mimo Spojené státy už tuto známku nelicencuje.

„CERT“ a „CSIRT“ tedy označují stejný druh týmu. CSIRT je neutrální termín, který používá FIRST i právo EU; mnoho týmů, zejména národních, má však CERT ve svém názvu dodnes.

Národní týmy CSIRT a koordinátoři

Pro produktový tým je důležitých několik organizací, protože stojí mezi nálezci, dodavateli a uživateli:

• CERT/CC koordinuje zveřejňování softwarových zranitelností od roku 1988 a vydává průvodce koordinovaným zveřejňováním zranitelností pro organizace, které budují vlastní proces.
• CISA koordinuje zveřejňování mezi oznamovateli, výrobci a uživateli ve Spojených státech a může zranitelnost zveřejnit již 45 dní po prvním pokusu kontaktovat nereagujícího dodavatele, bez ohledu na to, zda oprava existuje.
• Národní týmy CSIRT v EU. NIS2 vyžaduje, aby každý členský stát určil nebo zřídil jeden či více týmů CSIRT, které spolupracují v síti CSIRTs Network společně s CERT-EU. Sekretariát zajišťuje ENISA, agentura EU pro kybernetickou bezpečnost.

Národní týmy CSIRT mají také formální roli při hlášení zranitelností. Podle článku 12 NIS2 určí každý členský stát jeden CSIRT jako koordinátora pro koordinované zveřejňování zranitelností: důvěryhodného prostředníka mezi osobou, která zranitelnost hlásí, a výrobcem, který dokáže identifikovat dotčené dodavatele, pomoci oznamovateli a vyjednat lhůty pro zveřejnění. Cyber Resilience Act na stejnou roli navazuje: výrobci oznamují aktivně zneužívané zranitelnosti ve svých produktech týmu CSIRT určenému jako koordinátor a zároveň agentuře ENISA.

Jak PSIRT a CSIRT spolupracují

Vezměme zranitelnou open source komponentu, která je aktivně zneužívána a kterou používáte jak ve svém produktu, tak ve svých interních systémech. Oba týmy dostanou stejné bezpečnostní upozornění a každý má svůj úkol:

1. CSIRT: najde komponentu na interních serverech a noteboocích, prověří v logech, zda došlo ke zneužití, nasadí opravu nebo systém izoluje a pokud bylo cokoli kompromitováno, řídí incident.
2. PSIRT: zjistí, které produkty, verze a buildy komponentu obsahují, posoudí, zda je produkt zasažen, dodá opravené vydání a zveřejní bezpečnostní upozornění s prohlášením VEX pro verze, které zasaženy nejsou.
3. Oba: sdílejí indikátory a časové osy. Pokud CSIRT zjistí, že útok zasáhl build systém, musí PSIRT prověřit, zda nebylo pozměněno některé dodané vydání, a z interního incidentu se tak stává produktový. Útok na dodavatelský řetězec tuto hranici obvykle překračuje.

Krok, který PSIRT zdržuje, je ten druhý. CSIRT může proskenovat vlastní prostředí. PSIRT se musí zodpovídat za software, který už mají zákazníci v rukou, a to znamená vědět, co šlo do každého vydání, které dodal. Zbytek cesty PSIRT k opravě popisují stránky životní cyklus správy zranitelností a koordinované zveřejňování zranitelností.

CSIRT vs SOC

Security Operations Center (SOC) hlídá: nepřetržitě monitoruje výstrahy a logy, odfiltruje šum a eskaluje to, co vypadá skutečně. CSIRT reaguje: převezme potvrzený incident, zadrží ho, vyšetří, koordinuje postup s právním oddělením a komunikací a vede obnovu. V menších organizacích jsou SOC a CSIRT často titíž lidé a SEI upozorňuje, že na tom, zda se tým jmenuje CSIRT, SOC nebo jinak, záleží méně než na tom, jaké funkce vykonává.

Ani jeden nenahrazuje PSIRT. SOC monitoruje vaše prostředí; zranitelnost v zařízení, které provozuje zákazník, nevidí.

Potřebujete obojí?

Pokud vyrábíte software nebo zařízení a zároveň provozujete vlastní IT, potřebujete obě funkce. Nepotřebujete ale dvě oddělení. Malí dodavatelé často začínají s jedním vedoucím bezpečnosti, který řídí reakci na incidenty ve firmě, a s písemným procesem PSIRT pro produkty, přičemž vývoj má pohotovost pro opravy. Oddělený musí být proces: interní incident a zranitelnost produktu mají jiné vlastníky, jiné lhůty a jiné lidi, které je třeba informovat.

Kde zapadá CRACI

CRACI podporuje stranu PSIRT: přehled o tom, co je v softwaru, který dodáváte. Spouští vaše buildy GitHub Actions na vlastních runnerech, zaznamenává balíčky, které každý job skutečně stáhl, včetně tranzitivních závislostí a balíčků obnovených z cache, a exportuje SBOM jako CycloneDX nebo SPDX.

Monitorované SBOM se průběžně znovu vyhodnocují a historie buildů ukazuje, které dřívější buildy obsahovaly zranitelnou závislost. Pohled inventáře ukazuje, které verze jsou nasazeny ve kterých produktech, a bezpečnostní týmy provádějí triáž nálezů a předávají je týmům, které vlastní opravu. Viz sledování zranitelností a CRACI pro týmy PSIRT.

PSIRT vs CSIRT: časté dotazy

Co je CSIRT?

Computer Security Incident Response Team. FIRST jej definuje jako organizační jednotku, která může být i virtuální, nebo jako schopnost poskytující vymezené skupině služby a podporu pro předcházení počítačovým bezpečnostním incidentům, jejich detekci, řešení a reakci na ně. Touto skupinou může být jedna firma, odvětví nebo celá země.

Jaký je rozdíl mezi PSIRT a CSIRT?

PSIRT řeší zranitelnosti v produktech, které firma prodává a jimž jsou vystaveni její zákazníci. Podnikový CSIRT řeší bezpečnostní incidenty ve vlastních systémech a sítích firmy. FIRST označuje zaměření na produkty za hlavní rozlišovací znak mezi nimi.

Je CERT totéž co CSIRT?

Funkčně ano. CERT je ochranná známka registrovaná ve Spojených státech univerzitou Carnegie Mellon, jejíž CERT Coordination Center bylo prvním takovým týmem, založeným v roce 1988 po červu Morris. CSIRT je obecný termín. Mnoho národních týmů používá CERT ve svém názvu a EU ve své legislativě používá CSIRT.

Jaký je rozdíl mezi SOC a CSIRT?

SOC nepřetržitě monitoruje a detekuje: sleduje výstrahy a logy a eskaluje to, co vypadá skutečně. CSIRT odpovídá za reakci na potvrzené incidenty: zadržení, vyšetřování, koordinaci a obnovu. V mnoha organizacích se obě funkce překrývají nebo sdílejí lidi a SEI poznamenává, že rozhoduje to, jaké funkce tým vykonává, ne jak se jmenuje.

Potřebujeme PSIRT i CSIRT?

Pokud prodáváte software nebo zařízení a zároveň provozujete vlastní IT, potřebujete obě funkce, i když ne nutně dvě oddělení. V malé firmě často obě pokrývá stejná hrstka lidí, s oddělenými procesy: jedním pro incidenty ve vašem prostředí a druhým pro zranitelnosti v tom, co dodáváte.

Co dělá národní CSIRT?

Řeší incidenty pro celostátní skupinu, sdílí varování a koordinuje spolupráci přes hranice. Podle NIS2 určí každý členský stát EU alespoň jeden CSIRT a jeden z nich působí jako koordinátor pro koordinované zveřejňování zranitelností: důvěryhodný prostředník mezi osobou, která zranitelnost hlásí, a výrobcem.