CRACI pro týmy PSIRT a vedoucí produktové bezpečnosti

Problém, který má PSIRT manažer

Šéf produktové bezpečnosti odpovídá za odpovědi, které PSIRT sám nevytvoří. Když se CVE objeví v široce používané knihovně, zákazníci, vedení a stále častěji i regulátoři se během několika hodin ptají na totéž: týká se nás to, v kterých produktech a verzích, od kdy a kdy to bude opraveno?

Odpovědi závisejí na inventáři a ten obvykle pochází ze skenerů, které dodatečně čtou lockfily nebo manifesty. Uvádějí vývojové závislosti, které se nikdy nedodávají, a přehlížejí balíčky, které si build stáhl jinou cestou. PSIRT proto žádá vývojové týmy o ruční kontrolu a odpověď přichází za několik dní, s výhradami.

FIRST PSIRT Services Framework označuje inventář komponent produktu za „nezbytný k rychlé identifikaci produktů dotčených zděděnými zranitelnostmi“. Právě tímto inventářem CRACI začíná. Celkový obraz této role najdete na stránce co je PSIRT.

Co CRACI dává týmu PSIRT

Inventář zaznamenaný z buildu

CRACI spouští vaše buildy GitHub Actions na vlastních runnerech a zaznamenává balíčky, které si každý job skutečně stáhl, včetně tranzitivních závislostí, balíčků obnovených z cache CI a závislostí, které neuvádí žádný lockfile. Je to záznamník, ne skener. Každá SBOM nese stav úplnosti, takže částečný záznam je označen jako částečný, a SBOM se exportují jako CycloneDX nebo SPDX.

Průběžné monitorování toho, co bylo dodáno

Monitorované SBOM se průběžně znovu vyhodnocují, jak vycházejí nové zranitelnosti, a nálezy se agregují napříč buildy a repozitáři. CVE zveřejněná příští měsíc se porovná s vydáními, která jste už dodali, nejen s příštím buildem. Známá škodlivá vydání se zveřejněnou CVE se označí jako jakákoli jiná zranitelnost.

Dotčené produkty, verze a období

Historie buildů ukazuje každý minulý build s jeho SBOM a to, které buildy obsahovaly zranitelnou závislost, přímou nebo tranzitivní, takže v rámci doby uchovávání víte, v jakém období se vás problém týkal. Zobrazení inventáře ukazuje přesně, které verze softwaru jsou nasazeny ve kterých produktech. Společně z otázky „týká se nás to?“ dělají prosté vyhledání.

Nakupované komponenty

Produkty se jen zřídka skládají pouze z vašeho vlastního kódu. Lze přidat SBOM dodavatelů, takže komponenty třetích stran jsou monitorovány spolu s vašimi buildy.

Triáž, směrování a VEX

Bezpečnostní týmy provádějí triáž nalezených zranitelností a posílají je týmům, které odpovídají za opravu, což odpovídá distribuovanému modelu PSIRT, v němž nápravu provádějí produktové týmy. CRACI podporuje VEX. Na stránce VEX se dočtete, jak prohlášení „not affected“ šetří práci týmu PSIRT i jeho zákazníkům.

Opravená CVE se nevrátí do pozdějších buildů

Policy gates mohou build zablokovat na základě nálezů, včetně buildů, které obsahují konkrétní CVE. Po uzavření případu PSIRT brána na tuto CVE zabrání tomu, aby se zranitelná verze potichu vrátila v pozdějším vydání.

Důkazy pro audity a zákazníky

API vrací SBOM, záznamy síťového provozu a původ (provenance) každého buildu, takže záznam za bezpečnostním upozorněním nebo odpovědí auditorovi je k dispozici i mimo uživatelské rozhraní. Tam, kde platí unijní Cyber Resilience Act, CRACI také připravuje obsah požadovaných oznámení, která pak podává osoba na straně výrobce přes Single Reporting Platform; povinnost zůstává na výrobci. Viz co je CRA.

Kam CRACI zapadá v procesu PSIRT

Fáze PSIRT	Čím přispívá CRACI
Příprava	SBOM pro každý build, zaznamenaná během běhu, se stavem úplnosti
Zjištění	Průběžné opětovné vyhodnocování monitorovaných SBOM, včetně SBOM dodavatelů
Ověření	Které buildy, verze a produkty komponentu obsahují a od kdy
Náprava	Triáž pro odpovědný tým; policy gates, které CVE nepustí do pozdějších buildů
Vydání a zveřejnění	Podpora VEX; export SBOM; přístup k záznamu buildu přes API

Fáze odpovídají životnímu cyklu správy zranitelností.

Co CRACI nedělá

• Analýza dosažitelnosti. CRACI ukazuje, že zranitelný balíček byl v buildu, ne to, zda váš kód volá zranitelnou funkci.
• Skenování zdrojového kódu. SAST a skenování tajných klíčů jsou mimo rozsah; to zvládá vedle CRACI řada dobrých nástrojů.
• Jiné CI systémy než GitHub Actions. Dnes GitHub Actions; další CI systémy jsou v plánu vývoje.
• Soulad za vás. CRACI dodává důkazy; splnění NIS2, CRA nebo jakéhokoli jiného rámce zůstává procesem vaší organizace.

CRACI pro týmy PSIRT: časté dotazy

Je CRACI nástroj pro PSIRT?

CRACI pokrývá tu část práce PSIRT, která závisí na znalosti toho, co dodáváte: SBOM z doby buildu, jejich průběžné monitorování, které buildy a produkty obsahují zranitelnou komponentu, a triáž pro odpovědný tým. Váš kanál pro zveřejňování a proces bezpečnostních upozornění na tomto záznamu staví.

Jak CRACI ví, co je v produktu?

Buildy běží na runnerech GitHub Actions od CRACI a CRACI zaznamenává balíčky, které si každý job skutečně stáhl, včetně tranzitivních závislostí, balíčků obnovených z cache CI a závislostí, které neuvádí žádný lockfile. Je to záznamník, ne skener. Každá SBOM nese stav úplnosti, takže víte, kdy je záznam částečný.

Dokáže nám CRACI říct, kterých minulých vydání se CVE týkala?

Ano, v rámci doby uchovávání. Historie buildů ukazuje každý minulý build a jeho SBOM a to, které buildy obsahovaly zranitelnou závislost, přímou nebo tranzitivní, takže víte, v jakém období se vás problém týkal. Zobrazení inventáře ukazuje, které verze softwaru jsou nasazeny ve kterých produktech.

Pokrývá CRACI komponenty, které kupujeme od dodavatelů?

Můžete přidat SBOM dodavatelů, takže nakupované komponenty jsou monitorovány spolu s vašimi buildy.

Podporuje CRACI VEX?

Ano. CRACI podporuje VEX pro zaznamenání toho, jak známá zranitelnost ovlivňuje váš produkt. Stavy a formáty popisuje stránka VEX a to, jak je přenášejí bezpečnostní upozornění, stránka CSAF.

Které CI systémy CRACI podporuje?

Dnes GitHub Actions. Další CI systémy jsou v plánu vývoje.