PSIRT vs. CSIRT: Produktschwachstellen und Vorfälle in der eigenen IT

Was ist ein CSIRT?

Ein CSIRT (Computer Security Incident Response Team) ist das Team, das Sicherheitsvorfälle für eine festgelegte Gruppe von Personen oder Organisationen bearbeitet, seine sogenannte Zielgruppe. Das CSIRT Services Framework von FIRST definiert es als Organisationseinheit, die auch virtuell sein kann, oder als Fähigkeit, die dieser Zielgruppe Services bereitstellt, um Computersicherheitsvorfälle zu verhindern, zu erkennen, zu bearbeiten und auf sie zu reagieren.

Die Zielgruppe entscheidet, um welche Art von CSIRT es sich handelt:

• Unternehmens-CSIRT: die eigenen Netzwerke, Systeme, Konten und Daten eines Unternehmens.
• Branchen-CSIRT: eine Gruppe von Organisationen aus einer Branche, etwa Finanzen oder Energie.
• Nationales CSIRT: ein ganzes Land, oft mit einer Rolle in der grenzüberschreitenden Koordination.
• Hersteller-Team: die Kunden eines Unternehmens, bei Problemen in dessen Produkten. Das ist das PSIRT.

Das CSIRT Services Framework (Version 2.1) gliedert die Services eines CSIRT in fünf Bereiche: Management von Informationssicherheitsereignissen, Management von Informationssicherheitsvorfällen, Schwachstellenmanagement, Lagebewusstsein und Wissenstransfer.

Was ist ein PSIRT?

Ein PSIRT (Product Security Incident Response Team) ist, so FIRST, die Einheit innerhalb einer Organisation, die sich darauf konzentriert, die Risiken zu identifizieren, zu bewerten und zu bearbeiten, die mit Sicherheitslücken in den Produkten verbunden sind, die die Organisation herstellt oder verkauft. Es nimmt Schwachstellenmeldungen entgegen, ermittelt, welche Produkte und Versionen betroffen sind, sorgt dafür, dass ein Fix entwickelt und ausgeliefert wird, und informiert Kunden über Advisories.

Sein Framework, das PSIRT Services Framework (Version 1.1), hat sechs Servicebereiche: Management des Stakeholder-Ökosystems, Entdeckung von Schwachstellen, Triage und Analyse von Schwachstellen, Behebung, Offenlegung von Schwachstellen sowie Schulung und Ausbildung.

Der entscheidende Unterschied

Der Unterschied liegt darin, wessen Systeme gefährdet sind. Ein CSIRT schützt die Organisation: Der Vorfall spielt sich in Ihrer Umgebung ab, und Sie dämmen ihn ein. Ein PSIRT schützt Ihre Kunden: Die Schwachstelle steckt in Ihrem Produkt, das in deren Umgebungen läuft, und Sie können es nicht für sie patchen. Sie liefern einen Fix aus und sagen ihnen, dass sie ihn installieren sollen.

FIRST sagt es klar: Der Fokus auf Produkte ist das entscheidende Unterscheidungsmerkmal zwischen einem PSIRT und anderen Incident-Response-Teams derselben Organisation, und ein Unternehmens-CSIRT konzentriert sich in der Regel auf die Systeme und Netzwerke, aus denen die eigene Infrastruktur der Organisation besteht.

PSIRT und CSIRT im Vergleich

	Unternehmens-CSIRT	PSIRT
Umfang	Vorfälle in den eigenen Netzwerken, Systemen und Daten der Organisation	Schwachstellen in den Produkten, die die Organisation ausliefert
Zielgruppe	Mitarbeitende und interne Systeme	Kunden und Nutzer der Produkte
Typische Eingänge	Warnmeldungen, Logs, Meldungen von Nutzern, Threat Intelligence	Meldungen von Forschenden, Advisories zu Drittkomponenten, interne Tests, Koordinatoren
Typische Ergebnisse	Eingedämmte Vorfälle, wiederhergestellte Systeme, Nachbesprechungen von Vorfällen	Behobene Releases, Security Advisories, CVE-Einträge, Kundenbenachrichtigungen
Die Uhr beginnt zu laufen	Wenn ein Vorfall erkannt wird	Wenn eine Schwachstelle gemeldet oder veröffentlicht wird
Typischerweise zuständig	Der CISO oder die IT-Sicherheit	Produktsicherheit oder Entwicklung
FIRST-Framework	CSIRT Services Framework 2.1	PSIRT Services Framework 1.1
Normen	ISO/IEC 27035 (Incident Management)	ISO/IEC 29147 (Offenlegung von Schwachstellen), ISO/IEC 30111 (Behandlung von Schwachstellen)

Beide Frameworks betonen, dass die Teams nicht isoliert arbeiten. Das PSIRT-Framework beschreibt CSIRTs, nationale eingeschlossen, als Stakeholder, zu denen ein PSIRT Beziehungen aufbauen sollte, weil ein Hersteller über sie oft früh von einer Schwachstelle erfährt.

CERT vs. CSIRT

Das erste Team dieser Art war das CERT Coordination Center, das laut dem SEI 1988 aus der Reaktion auf den Morris-Wurm hervorging, mit Mitteln der DARPA, am Software Engineering Institute der Carnegie Mellon University. CERT ist eine in den Vereinigten Staaten für die Carnegie Mellon University eingetragene Marke, und das SEI erlaubt US-Teams, sie in ihrem Namen zu führen. Außerhalb der Vereinigten Staaten lizenziert es die Marke nicht mehr.

„CERT“ und „CSIRT“ bezeichnen also dieselbe Art von Team. CSIRT ist der neutrale Begriff, den FIRST und das EU-Recht verwenden; viele Teams, vor allem nationale, tragen weiterhin CERT im Namen.

Nationale CSIRTs und Koordinatoren

Einige Organisationen sind für ein Produktteam wichtig, weil sie zwischen Findern, Herstellern und Nutzern stehen:

• CERT/CC koordiniert seit 1988 die Offenlegung von Software-Schwachstellen und veröffentlicht einen Leitfaden zur koordinierten Offenlegung von Schwachstellen für Organisationen, die einen eigenen Prozess aufbauen.
• CISA koordiniert in den Vereinigten Staaten die Offenlegung zwischen Meldenden, Herstellern und Nutzern und kann bereits 45 Tage nach dem ersten Versuch, einen nicht reagierenden Hersteller zu erreichen, veröffentlichen, unabhängig davon, ob es einen Fix gibt.
• Nationale CSIRTs in der EU. NIS2 verpflichtet jeden Mitgliedstaat, ein oder mehrere CSIRTs zu benennen oder einzurichten, und sie arbeiten gemeinsam mit CERT-EU im CSIRTs Network zusammen. ENISA, die EU-Agentur für Cybersicherheit, stellt das Sekretariat.

Nationale CSIRTs haben auch eine formale Rolle bei der Meldung von Schwachstellen. Nach NIS2 Artikel 12 benennt jeder Mitgliedstaat ein CSIRT als Koordinator für die koordinierte Offenlegung von Schwachstellen: einen vertrauenswürdigen Vermittler zwischen der Person, die eine Schwachstelle meldet, und dem Hersteller. Dieser Vermittler kann die betroffenen Hersteller identifizieren, die meldende Person unterstützen und Fristen für die Offenlegung aushandeln. Der Cyber Resilience Act baut auf derselben Rolle auf: Hersteller melden aktiv ausgenutzte Schwachstellen in ihren Produkten gleichzeitig dem als Koordinator benannten CSIRT und ENISA.

Wie PSIRT und CSIRT zusammenarbeiten

Nehmen wir eine verwundbare Open-Source-Komponente, die ausgenutzt wird und sowohl in Ihrem Produkt als auch in Ihren internen Systemen steckt. Beide Teams erhalten dasselbe Advisory, und jedes hat seine eigene Aufgabe:

1. CSIRT: findet die Komponente auf internen Servern und Laptops, prüft Logs auf Ausnutzung, patcht oder isoliert und bearbeitet einen Vorfall, falls etwas kompromittiert wurde.
2. PSIRT: ermittelt, welche Produkte, Versionen und Builds die Komponente enthalten, bewertet, ob das Produkt betroffen ist, liefert ein behobenes Release aus und veröffentlicht ein Advisory, mit einer VEX-Aussage für die nicht betroffenen Versionen.
3. Beide: tauschen Indikatoren und Zeitachsen aus. Stellt das CSIRT fest, dass der Angriff das Build-System erreicht hat, muss das PSIRT prüfen, ob ein ausgeliefertes Release manipuliert wurde, und aus einem internen Vorfall wird ein Produktvorfall. Ein Lieferkettenangriff überschreitet diese Grenze meist.

Was das PSIRT ausbremst, ist der zweite Schritt. Ein CSIRT kann seine eigene Umgebung scannen. Ein PSIRT muss für Software geradestehen, die bereits in den Händen der Kunden ist, und dafür wissen, was in jedes ausgelieferte Release eingeflossen ist. Den weiteren Weg des PSIRT zum Fix beschreiben die Seiten zum Lebenszyklus des Schwachstellenmanagements und zur koordinierten Offenlegung von Schwachstellen.

CSIRT vs. SOC

Ein Security Operations Center (SOC) beobachtet: Es überwacht rund um die Uhr Warnmeldungen und Logs, filtert das Rauschen heraus und eskaliert, was echt aussieht. Ein CSIRT reagiert: Es übernimmt den bestätigten Vorfall, dämmt ihn ein, untersucht ihn, stimmt sich mit Rechtsabteilung und Kommunikation ab und leitet die Wiederherstellung. In kleineren Organisationen sind SOC und CSIRT oft dieselben Personen, und das SEI weist darauf hin, dass es weniger darauf ankommt, ob ein Team CSIRT, SOC oder anders heißt, als darauf, welche Funktionen es erfüllt.

Keines von beiden ersetzt ein PSIRT. Ein SOC überwacht Ihre Umgebung; eine Schwachstelle in einem Gerät, das ein Kunde betreibt, kann es nicht sehen.

Brauchen Sie beides?

Wenn Sie Software oder Geräte herstellen und außerdem Ihre eigene IT betreiben, brauchen Sie beide Funktionen. Zwei Abteilungen brauchen Sie nicht. Kleine Hersteller beginnen oft mit einer für Sicherheit verantwortlichen Person, die die Incident Response für das Unternehmen leitet, und einem schriftlichen PSIRT-Prozess für die Produkte, wobei die Entwicklung für Fixes in Bereitschaft steht. Getrennt sein muss der Prozess: Ein interner Vorfall und eine Produktschwachstelle haben unterschiedliche Zuständige, unterschiedliche Fristen und unterschiedliche Personen, die zu informieren sind.

Wo CRACI ins Spiel kommt

CRACI unterstützt die PSIRT-Seite: zu wissen, was in der Software steckt, die Sie ausliefern. Es führt Ihre GitHub-Actions-Builds auf eigenen Runnern aus, zeichnet die Pakete auf, die jeder Job tatsächlich geladen hat, einschließlich transitiver Abhängigkeiten und aus Caches wiederhergestellter Pakete, und exportiert SBOMs als CycloneDX oder SPDX.

Überwachte SBOMs werden laufend neu bewertet, und die Build-Historie zeigt, welche früheren Builds eine verwundbare Abhängigkeit enthielten. Die Inventaransicht zeigt, welche Versionen auf welchen Produkten im Einsatz sind, und Sicherheitsteams sichten Befunde und leiten sie an die Teams weiter, die für den Fix zuständig sind. Siehe Schwachstellenverfolgung und CRACI für PSIRTs.

PSIRT vs. CSIRT: häufig gestellte Fragen

Was ist ein CSIRT?

Ein Computer Security Incident Response Team. FIRST definiert es als Organisationseinheit, die auch virtuell sein kann, oder als Fähigkeit, die einer festgelegten Zielgruppe Services und Unterstützung bietet, um Computersicherheitsvorfälle zu verhindern, zu erkennen, zu bearbeiten und auf sie zu reagieren. Die Zielgruppe kann ein Unternehmen, eine Branche oder ein ganzes Land sein.

Was ist der Unterschied zwischen einem PSIRT und einem CSIRT?

Ein PSIRT bearbeitet Schwachstellen in den Produkten, die ein Unternehmen verkauft und denen dessen Kunden ausgesetzt sind. Ein Unternehmens-CSIRT bearbeitet Sicherheitsvorfälle in den eigenen Systemen und Netzwerken des Unternehmens. FIRST nennt den Fokus auf Produkte das entscheidende Unterscheidungsmerkmal zwischen beiden.

Ist ein CERT dasselbe wie ein CSIRT?

Funktional ja. CERT ist eine in den Vereinigten Staaten für die Carnegie Mellon University eingetragene Marke, deren CERT Coordination Center das erste Team dieser Art war, gegründet 1988 nach dem Morris-Wurm. CSIRT ist der allgemeine Begriff. Viele nationale Teams führen CERT im Namen, und die EU verwendet in ihrer Gesetzgebung CSIRT.

Was ist der Unterschied zwischen einem SOC und einem CSIRT?

Ein SOC überwacht und erkennt rund um die Uhr: Es beobachtet Warnmeldungen und Logs und eskaliert, was echt aussieht. Ein CSIRT verantwortet die Reaktion auf bestätigte Vorfälle: Eindämmung, Untersuchung, Koordination und Wiederherstellung. In vielen Organisationen überschneiden sich beide oder teilen sich Personal, und das SEI merkt an, dass es darauf ankommt, welche Funktionen ein Team erfüllt, nicht wie es heißt.

Brauchen wir sowohl ein PSIRT als auch ein CSIRT?

Wenn Sie Software oder Geräte verkaufen und außerdem Ihre eigene IT betreiben, brauchen Sie beide Funktionen, aber nicht unbedingt zwei Abteilungen. In einem kleinen Unternehmen decken oft dieselben wenigen Personen beides ab, mit getrennten Prozessen: einem für Vorfälle in Ihrer Umgebung und einem für Schwachstellen in dem, was Sie ausliefern.

Was macht ein nationales CSIRT?

Es bearbeitet Vorfälle für eine nationale Zielgruppe, teilt Warnungen und koordiniert grenzüberschreitend. Nach NIS2 benennt jeder EU-Mitgliedstaat mindestens ein CSIRT, und eines davon fungiert als Koordinator für die koordinierte Offenlegung von Schwachstellen: ein vertrauenswürdiger Vermittler zwischen der Person, die eine Schwachstelle meldet, und dem Hersteller.