PSIRT: mitä tuoteturvallisuuden poikkeamiin reagoiva tiimi tekee

Mikä on PSIRT?

Product Security Incident Response Team (PSIRT) on toiminto, joka käsittelee tietoturvahaavoittuvuuksia yrityksen valmistamissa ja myymissä tuotteissa. FIRST määrittelee sen yksiköksi, joka keskittyy ”the identification, assessment and disposition of the risks associated with security vulnerabilities within the products”, mukaan lukien tarjoomat, ratkaisut, komponentit ja palvelut.

Käytännössä PSIRT:

• ylläpitää kanavaa, jonka kautta tutkijat, asiakkaat ja kumppanit ilmoittavat haavoittuvuuksista;
• seuraa haavoittuvuuksia tuotteidensa kolmansien osapuolten ja avoimen lähdekoodin komponenteissa;
• tekee jokaiselle ilmoitukselle triagen (luokittelu ja priorisointi): onko se todellinen, mihin tuotteisiin ja versioihin se vaikuttaa, kuinka vakava se on;
• saa vastuussa olevan kehitystiimin korjaamaan sen riskiä vastaavassa aikataulussa;
• julkaisee tietoturvatiedotteita ja koordinoi julkistamisen löytäjien ja jatkojalostavien toimittajien kanssa;
• raportoi mittarit johdolle ja kouluttaa tuotteita rakentavia ihmisiä.

Suurin osa työstä tapahtuu julkaisun jälkeen. FIRST toteaa, että useimmat tuotehaavoittuvuudet ilmoitetaan laatupoikkeamina vasta, kun tuote on markkinoilla, vaikka PSIRT tuottaa arvoa jo aiemmin suunnittelukatselmoinneissa ja uhkamallinnuksessa.

PSIRT:n paikka organisaatiossa

Ero muihin tietoturvatiimeihin on keskittyminen tuotteisiin. Yrityksen CSIRT-yksikkö suojaa yrityksen omia järjestelmiä ja verkkoja; PSIRT suojaa asiakkaita, jotka käyttävät yrityksen tuotteita. Niillä on yhteisiä taitoja ja usein sama raportointilinja, ja ne kohtaavat, kun yrityksen oman infrastruktuurin poikkeama, kuten kaapattu build-järjestelmä, ulottuu tuotteeseen. Koko vertailu on sivulla PSIRT vs. CSIRT.

FIRST kuvaa kolme toimintamallia:

• Hajautettu: pieni PSIRT-ydin asettaa käytännöt ja koordinoi, ja kunkin tuotetiimin tietoturvaedustajat tekevät triagen ja korjaukset. Malli skaalautuu suureen ja monipuoliseen tuotevalikoimaan, mutta työn tekijät eivät raportoi PSIRT:lle.
• Keskitetty: suurempi PSIRT, jolla on oma ohjelmanhallinta sekä triage- ja korjaushenkilöstö ja joka raportoi tuoteturvallisuudesta vastaavalle ylimmälle johdolle. Se sopii pienemmille yrityksille tai yhtenäiseen tuotevalikoimaan, ja sen kustannukset kasvavat valikoiman kasvaessa.
• Hybridi: näiden yhdistelmä, joka valitaan yrityksen koon, tuotevalikoiman ja kehitysstrategian mukaan.

Mallista riippumatta FIRST korostaa riippumattomuutta: PSIRT:n pitäisi raportoida johtajalle, joka vahvistaa sen valtuudet, jotta se voi ottaa objektiivisen kannan yrityksen omien tuotteiden haavoittuvuuksiin.

FIRST PSIRT Services Framework

FIRSTin maksutta julkaisema PSIRT Services Framework, nyt versiossa 1.1, on viitekehys, jolle useimmat PSIRT-tiimit rakentavat palveluluettelonsa. Se määrittelee toiminnan perustan (valtuutus, sidosryhmät, budjetti, käytännöt) ja sen jälkeen kuusi palvelualuetta:

Palvelualue	Mitä se kattaa
1. Sidosryhmäekosysteemin hallinta	Sisäiset sidosryhmät, löytäjäyhteisö, jatkojalostavat toimittajat ja asiakkaat, poikkeamaviestintä, löytäjien tunnustaminen, sidosryhmämittarit
2. Haavoittuvuuksien löytäminen	Haavoittuvuusilmoitusten vastaanotto, ilmoittamattomien haavoittuvuuksien löytäminen, tuotekomponenttien haavoittuvuuksien seuranta, uusien haavoittuvuuksien tunnistaminen, löytämisen mittarit
3. Haavoittuvuuksien triage ja analyysi	Ilmoitusten arviointi, yhteistyö vakiintuneiden löytäjien kanssa, haavoittuvuuksien toistaminen
4. Korjaaminen	Korjausten julkaisunhallintasuunnitelma, korjaaminen, poikkeamien käsittely, julkaisumittarit
5. Haavoittuvuuksien julkistaminen	Ilmoittaminen, koordinointi, julkistaminen tietoturvatiedotteilla, julkistamisen mittarit
6. Koulutus	PSIRT:n, kehitys- ja validointitiimien ja muiden sidosryhmien koulutus; palautemekanismit

Yksi palvelu kannattaa nostaa esiin, koska siitä on tullut suuri osa työtä: tuotekomponenttien haavoittuvuuksien seuranta. Sen ensimmäinen toiminto on tuotekomponenttien inventaario, luettelo kuhunkin tuotteeseen sisältyvistä toimittajista, tuotteista ja versioista, jota FIRST kutsuu sanoin ”essential to quickly identify affected products for inherited vulnerabilities”. Nykyaikaisissa ohjelmistoissa tämä inventaario on ohjelmistojen materiaaliluettelo (SBOM).

PSIRT-prosessi lyhyesti

Prosessia kuvaa kaksi ISO/IEC-standardia. ISO/IEC 30111:2019 kattaa sen, miten toimittaja käsittelee haavoittuvuudet sisäisesti. ISO/IEC 29147:2018 kattaa sen, miten se vastaanottaa ilmoituksia ulkopuolelta ja julkaisee korjaustiedot. 30111 on tarkoitettu käytettäväksi yhdessä 29147:n kanssa, ja sen kuvaamat vaiheet antavat hyödyllisen rungon:

1. Valmistelu. Käytännöt, roolit, julkaistu tapa ilmoittaa haavoittuvuuksista, pisteytysmenetelmä ja inventaario siitä, mitä toimitetaan.
2. Vastaanotto. Ota vastaan ilmoitukset tutkijoilta, asiakkailta, kumppaneilta ja omasta testauksestasi sekä käyttämiesi komponenttien tietoturvatiedotteista. Kuittaa ilmoitus löytäjälle.
3. Varmennus. Vahvista haavoittuvuus, toista se, pisteytä se ja selvitä kaikki tuotteet ja versiot, joihin se vaikuttaa. Kirjaa myös tuotteet, joihin se ei vaikuta, ja miksi.
4. Korjauksen kehitys. Vastuussa oleva tiimi rakentaa ja testaa korjauksen tai lievennyksen. PSIRT seuraa sitä sovittua aikataulua vasten.
5. Julkaisu. Toimita korjaus ja julkaise tietoturvatiedote yhteistyössä löytäjän ja niiden jatkojalostavien toimittajien kanssa, jotka sisällyttävät tuotteesi omiinsa.
6. Julkaisun jälkeen. Seuraa korjauksen ongelmia, vastaa asiakkaille ja vie juurisyyt takaisin kehitykseen.

Jokainen vaihe kirjattavine tietoineen ja vastuuhenkilöineen käsitellään sivulla haavoittuvuuksien hallinnan elinkaari. Löydösten järjestyksen päättämisestä kerrotaan sivulla haavoittuvuuksien priorisointi, ja hyödyntämissignaaleja saat EPSS:stä ja CISA KEV -luettelosta. Haavoittuvuus, jota hyödynnetään ennen kuin korjausta on olemassa, on nollapäivähaavoittuvuus, ja PSIRT hoitaa sen poikkeamana. Matka tietoturvatiedotteesta korjattuun, toimitettuun buildiin käsitellään sivulla CVE:iden korjaaminen.

Julkistaminen ja tietoturvatiedotteet

Julkistaminen on se osa PSIRT:n työtä, jonka asiakkaat näkevät. Tavallinen käytäntö on koordinoitu haavoittuvuuksien julkistaminen: löytäjä ilmoittaa luottamuksellisesti, toimittaja korjaa, ja molemmat julkaisevat sovittuna päivänä, ja löytäjä mainitaan. Se alkaa julkisesta haavoittuvuuksien julkistamiskäytännöstä, joka kertoo, miten ilmoitetaan, mitä löytäjät voivat odottaa ja kuinka pitkään tuotteita tuetaan. Katso koordinoitu haavoittuvuuksien julkistaminen.

Hyvä tietoturvatiedote kertoo asiakkaalle ilman puhelinsoittoa:

• mihin tuotteisiin ja versioihin haavoittuvuus vaikuttaa ja mihin ei;
• CVE-tunnisteen ja vakavuuspisteet;
• korjatun version tai lievennyksen, jos korjausta ei vielä ole;
• kuka sen löysi.

Suuret asiakkaat haluavat yhä useammin tietoturvatiedotteet koneluettavassa muodossa, jota ne voivat verrata omaan laiteinventaarioonsa automaattisesti. CSAF on OASIS-standardin mukainen tiedotemuoto, ja VEX on tapa ilmoittaa, ettei jonkin tuotteen komponentin haavoittuvuus vaikuta tuotteeseen, mikä säästää molemmilta osapuolilta tiketin.

PSIRT:n mittarit ja kypsyys

Viitekehys sijoittaa mittareita jokaiselle palvelualueelle. Yleisiä mittareita:

• aika ilmoituksen kuittaamiseen, triageen ja korjauksen julkaisuun vakavuuden mukaan;
• avoimet haavoittuvuudet tuotteen, vakavuuden ja iän mukaan;
• julkaisemiesi korjaustavoitteiden puitteissa toimitettujen korjausten osuus;
• sisäisesti löydetyt haavoittuvuudet verrattuna ulkopuolelta ilmoitettuihin;
• julkaistut tietoturvatiedotteet ja niihin tehdyt korjaukset.

FIRSTin oheisjulkaisu PSIRT Maturity Document jakaa palvelut kolmelle tasolle:

• Taso 1, perustaso: johdon tuki, sidosryhmät, budjetti ja käytännöt; tapa vastaanottaa ilmoituksia; triagen työnkulku; dokumentoidut korjaukset; tietoturvatiedotteet, jotka käyttävät CVE:tä ja CVSS:ää ja mainitsevat löytäjän.
• Taso 2, keskitaso: peruskirja ja organisaatiomalli, perusmittarit, tuoterekisteri riippuvuuksien kartoituksineen, muodollinen korjaussuunnitelma, järjestelmä sidosryhmien informointiin ja tiimin koulutus.
• Taso 3, edistynyt: suora yhteistyö löytäjäyhteisön kanssa, tuotekomponenttien haavoittuvuuksien seuranta, löytämisen ja julkaisun mittarit, edistynyt poikkeamien käsittely ja toimintaohjeet toimialan koordinointiin.

Tasolta toiselle siirrytään reaktiivisesta proaktiiviseen.

Näin rakennat PSIRT:n: aloita pienestä

1. Hanki kirjallinen valtuutus johdolta ja valtuudet pyytää tuotetiimejä korjaamaan asioita.
2. Julkaise, miten haavoittuvuudesta ilmoitetaan: tietoturvayhteyden sähköpostiosoite, verkkolomake tai security.txt-tiedosto sekä lyhyt julkistamiskäytäntö.
3. Määritä triage ja pisteytys: kuka päättää, onko ilmoitus pätevä, miten vakavuus pisteytetään ja mitkä ovat korjaustavoitteet kullekin vakavuustasolle.
4. Tiedä, mitä toimitat. Jokaisen tuoteversion komponentit ja niiden versiot. Ilman tätä jokainen uusi CVE suositussa kirjastossa muuttuu päivien kyselykierrokseksi kehitystiimeille.
5. Nimeä jokaiselle tuotteelle vastuuhenkilö, joka vastaanottaa löydökset ja aikatauluttaa korjaukset.
6. Kirjoita tietoturvatiedotteen pohja ja julkaise ensimmäinen, vaikka pienestä asiasta.
7. Mittaa muutamia aikoja alusta alkaen, jotta voit osoittaa parannuksen.

PSIRT-tiimin sivu tarkastelee roolia tuoteturvallisuuden vetäjän näkökulmasta, ja teollisuuden toimittajat voivat kohdistaa nämä vaiheet standardiin IEC 62443-4-1, jonka turvallisen kehityksen elinkaarivaatimuksiin kuuluvat vikojen hallinta ja korjauspäivitysten hallinta.

Sääntely, joka edellyttää PSIRT:ia

PSIRT oli ennen kypsän toimittajan tunnusmerkki. Nyt useat viitekehykset vaativat sen tuotoksia. NIS2-direktiivin 21 artiklan 2 kohdan e alakohta luettelee ”vulnerability handling and disclosure” -toiminnot niiden toimenpiteiden joukossa, jotka keskeisten ja tärkeiden toimijoiden on toteutettava. Yhdysvalloissa pykälä 524B vaatii lääkinnällisten laitteiden valmistajia toimittamaan suunnitelman markkinoille tulon jälkeisten haavoittuvuuksien seuraamiseksi, tunnistamiseksi ja käsittelemiseksi, mukaan lukien koordinoitu haavoittuvuuksien julkistaminen, sekä SBOM:n. EU:n kyberkestävyyssäädös (Cyber Resilience Act) puolestaan vaatii valmistajia ilmoittamaan aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista viranomaisille, alkaen ennakkovaroituksesta 24 tunnin kuluessa; katso mikä on CRA. Ilmoitukset tehdään ENISAn keskitetyn raportointialustan kautta.

Työkalut, joita PSIRT tarvitsee

Tarve	Miksi
Ilmoitusten vastaanotto ja tapausten seuranta	Jokainen ilmoitus saa vastuuhenkilön, tilan ja aikataulun
Inventaario siitä, mitä toimitetaan	Tarkka SBOM jokaisesta tuoteversiosta, transitiiviset riippuvuudet mukaan lukien
Jatkuva seuranta	Uusia CVE:itä verrataan jokaisen julkaistun version komponentteihin, ei vain seuraavan
Triage ja ohjaus	Löydökset menevät korjauksesta vastaavalle tiimille toimintaan tarvittavan kontekstin kanssa
Lausunnot vaikutuksesta ja vaikuttamattomuudesta	VEX kirjaa, mihin tuotteisiin haavoittuvuus vaikuttaa ja miksi muihin ei
Tietoturvatiedotteiden julkaisu	Ihmisluettavat tietoturvatiedotteet ja suurille asiakkaille koneluettava CSAF

Harva tuote kattaa jokaisen rivin; PSIRT-työkalut vertailussa näyttää, mikä työkalu tekee mitäkin. Inventaario on kohta, jossa useimmat PSIRT-tiimit kamppailevat. Skanneri, joka lukee lukitustiedostoja jälkikäteen, luettelee kehitysriippuvuuksia, joita ei koskaan toimiteta, eikä huomaa paketteja, jotka buildi latasi paketinhallinnan ohi, joten vastaus kysymykseen ”koskeeko tämä meitä?” alkaa epäilyksellä.

CRACI saa tämän inventaarion suoraan buildista. Se ajaa GitHub Actions -buildit omilla runnereillaan ja tallentaa paketit, jotka kukin jobi todella haki, mukaan lukien transitiiviset riippuvuudet, CI-välimuisteista palautetut paketit ja riippuvuudet, joita mikään lukitustiedosto ei luettele. Jokaisella SBOM:lla on kattavuustila, ja se viedään CycloneDX- tai SPDX-muodossa. Seuratut SBOM:t arvioidaan jatkuvasti uudelleen uusien haavoittuvuuksien julkaisun myötä, buildihistoria näyttää, missä aiemmissa buildeissa oli haavoittuva riippuvuus, ja inventaarionäkymä näyttää, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa. Tietoturvatiimit tekevät löydöksille triagen ja lähettävät ne korjauksesta vastaaville tiimeille, ja CRACI tukee VEX:iä. Katso haavoittuvuuksien seuranta ja CRACI PSIRT-tiimeille.

PSIRT: usein kysytyt kysymykset

Mistä lyhenne PSIRT tulee?

PSIRT tulee sanoista Product Security Incident Response Team. FIRST määrittelee sen organisaation sisäiseksi yksiköksi, joka keskittyy organisaation tuottamien tai myymien tuotteiden, tarjoomien, ratkaisujen, komponenttien ja palvelujen tietoturvahaavoittuvuuksiin liittyvien riskien tunnistamiseen, arviointiin ja käsittelyyn.

Mitä eroa on PSIRT:llä ja CSIRT:llä?

PSIRT käsittelee haavoittuvuuksia tuotteissa, joita yritys toimittaa asiakkailleen. Yrityksen CSIRT-yksikkö käsittelee tietoturvapoikkeamia yrityksen omissa järjestelmissä ja verkoissa. Ne tekevät yhteistyötä esimerkiksi silloin, kun build-infrastruktuuriin kohdistunut murto vaikuttaa tuotteeseen. Katso PSIRT vs. CSIRT.

Mikä on FIRST PSIRT Services Framework?

FIRSTin (Forum of Incident Response and Security Teams) maksuton opas, joka luettelee palvelut, joita PSIRT voi tarjota. Versio 1.1 jakaa ne kuuteen palvelualueeseen: sidosryhmäekosysteemin hallinta, haavoittuvuuksien löytäminen, haavoittuvuuksien triage ja analyysi, korjaaminen, haavoittuvuuksien julkistaminen sekä koulutus. Oheinen kypsyysdokumentti jakaa palvelut kolmelle tasolle.

Mitkä standardit kuvaavat PSIRT-prosessin?

ISO/IEC 30111:2019 kattaa sen, miten toimittaja käsittelee haavoittuvuusilmoitukset sisäisesti, valmistelusta ja vastaanotosta varmennukseen, korjauksen kehitykseen, julkaisuun ja julkaisun jälkeiseen vaiheeseen. ISO/IEC 29147:2018 kattaa rajapinnan ulkomaailmaan: ilmoitusten vastaanoton ja korjaustietojen julkaisun. 30111 on tarkoitettu käytettäväksi yhdessä 29147:n kanssa. IEC 62443-4-1 asettaa teollisuusautomaation tuotteille turvallisen kehityksen elinkaarivaatimukset, mukaan lukien vikojen ja korjauspäivitysten hallinnan.

Tarvitseeko pieni yritys PSIRT:n?

Se tarvitsee toiminnon, ei välttämättä osastoa. FIRSTin kypsyysdokumentti alkaa johdon tuesta, nimetyistä sidosryhmistä, budjetista, muutamasta käytännöstä, julkaistusta tavasta ilmoittaa haavoittuvuuksista, triagen työnkulusta, dokumentoiduista korjauksista ja tietoturvatiedotteista, jotka mainitsevat löytäjän. Yksi tai kaksi ihmistä kirjallisella valtuutuksella voi hoitaa sen.

Mitä työkaluja PSIRT tarvitsee?

Vähintään: tavan vastaanottaa ilmoituksia, tapausten seurantajärjestelmän, haavoittuvuuksien pisteytysmenetelmän, inventaarion siitä, mitkä komponentit toimitetaan missäkin tuoteversiossa, näiden komponenttien seurannan uusien haavoittuvuuksien varalta, tavan kirjata, koskeeko haavoittuvuus kutakin tuotetta (usein VEX-muodossa), sekä tavan julkaista tietoturvatiedotteita, yhä useammin CSAF-muodossa.