PSIRT vs. CSIRT: tuotteiden haavoittuvuudet ja oman IT:n poikkeamat

Mikä on CSIRT?

CSIRT (Computer Security Incident Response Team) on tiimi, joka käsittelee tietoturvapoikkeamat määritellylle ihmisten tai organisaatioiden joukolle, jota kutsutaan sen asiakaskunnaksi (constituency). FIRSTin CSIRT Services Framework määrittelee sen organisaatioyksiköksi, joka voi olla virtuaalinen, tai kyvykkyydeksi, joka tarjoaa tälle asiakaskunnalle palveluja "for preventing, detecting, handling, and responding to computer security incidents".

Asiakaskunta määrää, millainen CSIRT on kyseessä:

• Yrityksen CSIRT: yhden yrityksen omat verkot, järjestelmät, tilit ja tiedot.
• Toimialan CSIRT: joukko saman toimialan organisaatioita, kuten rahoitus tai energia.
• Kansallinen CSIRT: koko maa, usein roolina myös rajat ylittävä koordinointi.
• Toimittajan tiimi: yrityksen asiakkaat, kun ongelma on sen tuotteissa. Tämä on PSIRT.

CSIRT Services Framework (versio 2.1) jakaa CSIRTin palvelut viiteen alueeseen: tietoturvatapahtumien hallinta, tietoturvapoikkeamien hallinta, haavoittuvuuksien hallinta, tilannekuva ja osaamisen siirto.

Mikä on PSIRT?

PSIRT (Product Security Incident Response Team) on FIRSTin sanoin organisaation sisäinen toimija, joka keskittyy "the identification, assessment and disposition of the risks associated with security vulnerabilities within the products", joita organisaatio valmistaa tai myy. Se vastaanottaa haavoittuvuusilmoitukset, selvittää, mitkä tuotteet ja versiot ovat haavoittuvia, huolehtii korjauksen buildaamisesta ja toimittamisesta ja tiedottaa asiakkaille tietoturvatiedotteilla.

Sen viitekehyksessä, PSIRT Services Frameworkissa (versio 1.1), on kuusi palvelualuetta: sidosryhmäekosysteemin hallinta, haavoittuvuuksien löytäminen, haavoittuvuuksien triage ja analyysi, korjaaminen, haavoittuvuuksien julkistaminen sekä koulutus.

Keskeinen ero

Ero on siinä, kenen järjestelmät ovat vaarassa. CSIRT suojaa organisaatiota: poikkeama on sinun ympäristössäsi, ja sinä rajaat sen. PSIRT suojaa asiakkaitasi: haavoittuvuus on tuotteessasi, joka on käytössä heidän ympäristöissään, etkä voi paikata sitä heidän puolestaan. Toimitat korjauksen ja kehotat heitä asentamaan sen.

FIRST sanoo sen suoraan: "the focus on products is the key differentiator" PSIRTin ja saman organisaation muiden poikkeamien käsittelytiimien välillä, ja yrityksen CSIRT keskittyy yleensä järjestelmiin ja verkkoihin, jotka muodostavat organisaation oman infrastruktuurin.

PSIRT ja CSIRT vertailussa

	Yrityksen CSIRT	PSIRT
Laajuus	Poikkeamat organisaation omissa verkoissa, järjestelmissä ja tiedoissa	Haavoittuvuudet tuotteissa, joita organisaatio toimittaa
Asiakaskunta	Työntekijät ja sisäiset järjestelmät	Tuotteiden asiakkaat ja käyttäjät
Tyypilliset syötteet	Hälytykset, lokit, käyttäjien ilmoitukset, uhkatiedustelu	Tutkijoiden ilmoitukset, kolmansien osapuolten komponenttien tiedotteet, sisäinen testaus, koordinaattorit
Tyypilliset tuotokset	Rajatut poikkeamat, palautetut järjestelmät, jälkikatselmukset	Korjatut julkaisut, tietoturvatiedotteet, CVE-tietueet, ilmoitukset asiakkaille
Kello käynnistyy	Kun poikkeama havaitaan	Kun haavoittuvuus ilmoitetaan tai julkaistaan
Tyypillinen omistaja	CISO tai IT-tietoturva	Tuoteturvallisuus tai tuotekehitys
FIRSTin viitekehys	CSIRT Services Framework 2.1	PSIRT Services Framework 1.1
Standardit	ISO/IEC 27035 (poikkeamien hallinta)	ISO/IEC 29147 (haavoittuvuuksien julkistaminen), ISO/IEC 30111 (haavoittuvuuksien käsittely)

Molemmat viitekehykset korostavat, etteivät tiimit toimi erillään. PSIRT-viitekehys kuvaa CSIRTit, myös kansalliset, sidosryhminä, joihin PSIRTin kannattaa rakentaa suhteet, koska niiden kautta toimittaja usein kuulee haavoittuvuudesta ajoissa.

CERT vs. CSIRT

Ensimmäinen tällainen tiimi oli CERT Coordination Center, joka SEI:n mukaan syntyi Morris-madon torjunnasta vuonna 1988 DARPAn rahoituksella Carnegie Mellonin Software Engineering Institutessa. CERT on Carnegie Mellon Universityn Yhdysvalloissa rekisteröimä merkki, ja SEI myöntää yhdysvaltalaisille tiimeille luvan käyttää sitä nimessään. Se ei enää lisensoi merkkiä Yhdysvaltojen ulkopuolelle.

"CERT" ja "CSIRT" tarkoittavat siis samanlaista tiimiä. CSIRT on neutraali termi, jota FIRST ja EU:n lainsäädäntö käyttävät; monella tiimillä, etenkin kansallisilla, on yhä CERT nimessään.

Kansalliset CSIRTit ja koordinaattorit

Muutamalla organisaatiolla on merkitystä tuotetiimille, koska ne ovat löytäjien, toimittajien ja käyttäjien välissä:

• CERT/CC on koordinoinut ohjelmistohaavoittuvuuksien julkistamista vuodesta 1988, ja se julkaisee oppaan koordinoidusta haavoittuvuuksien julkistamisesta organisaatioille, jotka rakentavat omaa prosessiaan.
• CISA koordinoi Yhdysvalloissa julkistamista ilmoittajien, valmistajien ja käyttäjien välillä, ja se voi julkaista jo 45 päivän kuluttua ensimmäisestä yhteydenottoyrityksestä toimittajaan, joka ei vastaa, oli korjausta olemassa tai ei.
• EU:n kansalliset CSIRTit. NIS2 velvoittaa jokaisen jäsenvaltion nimeämään tai perustamaan yhden tai useamman CSIRTin, ja ne tekevät yhteistyötä CSIRT-verkostossa yhdessä CERT-EU:n kanssa. EU:n kyberturvallisuusvirasto ENISA hoitaa sen sihteeristön.

Kansallisilla CSIRTeillä on myös virallinen rooli haavoittuvuuksien ilmoittamisessa. NIS2-direktiivin 12 artiklan mukaan kukin jäsenvaltio nimeää yhden CSIRTin koordinoidun haavoittuvuuksien julkistamisen koordinaattoriksi: luotetuksi välittäjäksi haavoittuvuuden ilmoittajan ja valmistajan välille, joka voi tunnistaa asianomaiset toimittajat, auttaa ilmoittajaa ja neuvotella julkistamisen aikatauluista. EU:n kyberkestävyyssäädös (Cyber Resilience Act) rakentuu samalle roolille: valmistajat ilmoittavat tuotteidensa aktiivisesti hyödynnetyistä haavoittuvuuksista koordinaattoriksi nimetylle CSIRTille ja samanaikaisesti ENISAlle.

Miten PSIRT ja CSIRT toimivat yhdessä

Otetaan esimerkiksi haavoittuva avoimen lähdekoodin komponentti, jota hyödynnetään aktiivisesti ja joka on käytössä sekä tuotteessasi että sisäisissä järjestelmissäsi. Molemmat tiimit saavat saman tietoturvatiedotteen, ja kummallakin on oma tehtävänsä:

1. CSIRT: löytää komponentin sisäisiltä palvelimilta ja kannettavilta, tarkistaa lokeista merkit hyödyntämisestä, paikkaa tai eristää ja käynnistää poikkeamankäsittelyn, jos jotain vaarantui.
2. PSIRT: selvittää, mitkä tuotteet, versiot ja buildit sisältävät komponentin, arvioi, onko tuote haavoittuva, toimittaa korjatun julkaisun ja julkaisee tietoturvatiedotteen sekä VEX-lausunnon niille versioille, joihin haavoittuvuus ei vaikuta.
3. Molemmat: jakavat tunnisteet ja aikajanat. Jos CSIRT havaitsee, että hyökkäys ulottui build-järjestelmään, PSIRTin on tarkistettava, onko jotain toimitettua julkaisua peukaloitu, jolloin sisäisestä poikkeamasta tulee tuotetta koskeva. Toimitusketjuhyökkäys ylittää yleensä tämän rajan.

PSIRTiä hidastaa toinen vaihe. CSIRT voi skannata oman ympäristönsä. PSIRTin on vastattava ohjelmistosta, joka on jo asiakkaiden käsissä, mikä tarkoittaa, että sen on tiedettävä, mitä jokaiseen toimitettuun julkaisuun sisältyi. Sivut haavoittuvuuksien hallinnan elinkaari ja koordinoitu haavoittuvuuksien julkistaminen kertovat PSIRTin loppupolusta korjaukseen.

CSIRT vs. SOC

Tietoturvavalvomo (Security Operations Center, SOC) valvoo: se seuraa hälytyksiä ja lokeja ympäri vuorokauden, suodattaa kohinan ja eskaloi sen, mikä näyttää todelliselta. CSIRT reagoi: se ottaa vahvistetun poikkeaman, rajaa sen, tutkii, koordinoi lakiasioiden ja viestinnän kanssa ja johtaa palautumista. Pienemmissä organisaatioissa SOC ja CSIRT ovat usein samat ihmiset, ja SEI huomauttaa, että se, kutsutaanko tiimiä CSIRTiksi, SOC:ksi vai joksikin muuksi, on vähemmän tärkeää kuin se, mitä toimintoja tiimi hoitaa.

Kumpikaan ei korvaa PSIRTiä. SOC valvoo sinun ympäristöäsi; se ei näe haavoittuvuutta laitteessa, jota asiakas käyttää.

Tarvitsetko molemmat?

Jos teet ohjelmistoja tai laitteita ja ylläpidät myös omaa IT:täsi, tarvitset molemmat toiminnot. Et tarvitse kahta osastoa. Pienet toimittajat aloittavat usein yhdellä tietoturvavastaavalla, joka hoitaa yrityksen poikkeamien käsittelyn, ja kirjallisella PSIRT-prosessilla tuotteille, ja tuotekehitys on päivystysvalmiudessa korjauksia varten. Erillään on pidettävä prosessi: sisäisellä poikkeamalla ja tuotteen haavoittuvuudella on eri omistajat, eri määräajat ja eri tahot, joille on kerrottava.

Missä CRACI on mukana

CRACI tukee PSIRTin puolta: sen tietämistä, mitä toimittamasi ohjelmisto sisältää. Se ajaa GitHub Actions -buildisi omilla runnereillaan ja tallentaa paketit, jotka kukin jobi todella haki, transitiiviset riippuvuudet ja välimuistista palautetut paketit mukaan lukien, ja vie SBOM:t CycloneDX- tai SPDX-muodossa.

Seuratut SBOM:t arvioidaan jatkuvasti uudelleen, ja buildihistoria näyttää, mitkä aiemmat buildit sisälsivät haavoittuvan riippuvuuden. Inventaarionäkymä näyttää, mitkä versiot ovat käytössä missäkin tuotteessa, ja tietoturvatiimit luokittelevat löydökset ja ohjaavat ne korjauksesta vastaaville tiimeille. Katso haavoittuvuuksien seuranta ja CRACI PSIRT-tiimeille.

PSIRT vs. CSIRT: usein kysytyt kysymykset

Mikä on CSIRT?

Computer Security Incident Response Team eli tietoturvapoikkeamien käsittelytiimi. FIRST määrittelee sen organisaatioyksiköksi, joka voi olla virtuaalinen, tai kyvykkyydeksi, joka tarjoaa määritellylle asiakaskunnalle palveluja ja tukea tietoturvapoikkeamien ehkäisemiseen, havaitsemiseen, käsittelyyn ja niihin reagoimiseen. Asiakaskunta voi olla yksi yritys, toimiala tai koko maa.

Mitä eroa on PSIRTillä ja CSIRTillä?

PSIRT käsittelee haavoittuvuuksia yrityksen myymissä tuotteissa, joille sen asiakkaat altistuvat. Yrityksen CSIRT käsittelee tietoturvapoikkeamia yrityksen omissa järjestelmissä ja verkoissa. FIRST kutsuu tuotteisiin keskittymistä näiden kahden keskeiseksi eroksi.

Onko CERT sama asia kuin CSIRT?

Toiminnallisesti kyllä. CERT on Carnegie Mellon Universityn Yhdysvalloissa rekisteröimä merkki; yliopiston CERT Coordination Center oli ensimmäinen tällainen tiimi, ja se perustettiin vuonna 1988 Morris-madon jälkeen. CSIRT on yleisnimitys. Monet kansalliset tiimit käyttävät nimessään CERTiä, ja EU käyttää lainsäädännössään termiä CSIRT.

Mitä eroa on SOC:lla ja CSIRTillä?

SOC valvoo ja havaitsee ympäri vuorokauden: se seuraa hälytyksiä ja lokeja ja eskaloi sen, mikä näyttää todelliselta. CSIRT vastaa vahvistettuihin poikkeamiin reagoimisesta: rajaamisesta, tutkinnasta, koordinoinnista ja palautumisesta. Monessa organisaatiossa nämä menevät päällekkäin tai jakavat ihmisiä, ja SEI huomauttaa, että ratkaisevaa on, mitä toimintoja tiimi hoitaa, ei mikä sen nimi on.

Tarvitsemmeko sekä PSIRTin että CSIRTin?

Jos myyt ohjelmistoja tai laitteita ja ylläpidät myös omaa IT:täsi, tarvitset molemmat toiminnot, mutta et välttämättä kahta osastoa. Pienessä yrityksessä samat muutamat ihmiset hoitavat usein molemmat erillisin prosessein: yksi ympäristösi poikkeamille, toinen toimittamiesi tuotteiden haavoittuvuuksille.

Mitä kansallinen CSIRT tekee?

Se käsittelee poikkeamia kansalliselle asiakaskunnalle, jakaa varoituksia ja koordinoi rajojen yli. NIS2-direktiivin mukaan jokainen EU:n jäsenvaltio nimeää vähintään yhden CSIRTin, ja yksi niistä toimii koordinoidun haavoittuvuuksien julkistamisen koordinaattorina: luotettuna välittäjänä haavoittuvuuden ilmoittajan ja valmistajan välillä.