CRACI PSIRT-tiimeille ja tuoteturvallisuuden vetäjille

PSIRT-päällikön ongelma

Tuoteturvallisuuden johtaja vastaa vastauksista, joita PSIRT ei tuota yksin. Kun laajasti käytetystä kirjastosta julkaistaan CVE, asiakkaat, johto ja yhä useammin myös viranomaiset kysyvät tuntien sisällä samat kysymykset: koskeeko tämä meitä, missä tuotteissa ja versioissa, mistä lähtien, ja milloin se korjataan?

Vastaukset riippuvat inventaariosta, ja inventaario tulee yleensä skannereista, jotka lukevat lukitustiedostoja tai manifesteja jälkikäteen. Ne listaavat kehitysriippuvuuksia, joita ei koskaan toimiteta, ja ohittavat paketit, jotka buildi latasi jollain muulla tavalla. Niinpä PSIRT pyytää kehitystiimejä tarkistamaan asian käsin, ja vastaus saapuu päivien päästä varaumineen.

FIRST PSIRT Services Framework kutsuu tuotteiden komponenttien inventaariota "essential to quickly identify affected products for inherited vulnerabilities". Siitä inventaariosta CRACI aloittaa. Roolin kokonaiskuvan löydät sivulta mikä on PSIRT.

Mitä CRACI antaa PSIRT:lle

Buildista tallennettu inventaario

CRACI ajaa GitHub Actions -buildisi omilla runnereillaan ja tallentaa paketit, jotka kukin jobi todella haki, mukaan lukien transitiiviset riippuvuudet, CI-välimuisteista palautetut paketit ja riippuvuudet, joita mikään lukitustiedosto ei listaa. Se on tallennin, ei skanneri. Jokaisella SBOM:lla on kattavuustila, joten osittainen tallenne merkitään osittaiseksi, ja SBOM:t voi viedä CycloneDX- tai SPDX-muodossa.

Toimitetun jatkuva valvonta

Valvotut SBOM:t arvioidaan jatkuvasti uudelleen, kun uusia haavoittuvuuksia julkaistaan, ja löydökset kootaan yhteen buildien ja repositorioiden yli. Ensi kuussa julkaistua CVE:tä verrataan jo toimittamiisi julkaisuihin, ei vain seuraavaan buildiin. Tunnetut haitalliset julkaisut, joille on julkaistu CVE, merkitään kuten mikä tahansa muu haavoittuvuus.

Kohteena olevat tuotteet, versiot ja ajanjaksot

Buildihistoria näyttää jokaisen aiemman buildin SBOM:ineen ja sen, mitkä buildit sisälsivät haavoittuvan riippuvuuden, suoran tai transitiivisen, joten tiedät ajanjakson, jolloin haavoittuvuus koski sinua, säilytysaikasi rajoissa. Inventaarionäkymä näyttää tarkalleen, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa. Yhdessä ne muuttavat kysymyksen ”koskeeko tämä meitä?” haun tulokseksi.

Ostetut komponentit

Tuotteet koostuvat harvoin pelkästään omasta koodistasi. Toimittajien SBOM:ja voi lisätä, joten kolmansien osapuolten komponentteja valvotaan omien buildiesi rinnalla.

Triage, ohjaus ja VEX

Tietoturvatiimit tekevät löydetyille haavoittuvuuksille triagen (luokittelun ja priorisoinnin) ja ohjaavat ne korjauksesta vastaaville tiimeille, mikä vastaa hajautettua PSIRT-mallia, jossa tuotetiimit tekevät korjaukset. CRACI tukee VEX:iä. Sivulta VEX näet, miten not affected -lausunnot säästävät PSIRT:n ja sen asiakkaiden työtä.

Korjattu CVE pysyy poissa myöhemmistä buildeista

Käytäntöportit voivat estää buildin löydösten perusteella, myös buildit, jotka sisältävät tietyn CVE:n. Kun PSIRT-tapaus on suljettu, kyseiseen CVE:hen asetettu portti estää haavoittuvaa versiota palaamasta huomaamatta myöhempään julkaisuun.

Näyttö auditointeihin ja asiakkaille

API palauttaa kunkin buildin SBOM:t, verkkoliikenteen jäljet ja alkuperätiedot, joten tietoturvatiedotteen tai auditointivastauksen taustalla oleva tallenne on saatavilla myös käyttöliittymän ulkopuolella. Kun EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) on sovellettavissa, CRACI valmistelee myös vaadittujen ilmoitusten sisällön, jonka valmistajan henkilö toimittaa keskitetyn raportointialustan kautta; velvoite pysyy valmistajalla. Katso mikä on CRA.

Mihin CRACI sijoittuu PSIRT-prosessissa

PSIRT-vaihe	Mitä CRACI tuo
Valmistautuminen	SBOM jokaisesta buildista, tallennettuna ajon aikana, kattavuustilan kanssa
Havaitseminen	Valvottujen SBOM:ien jatkuva uudelleenarviointi, myös toimittajien SBOM:ien
Varmistaminen	Mitkä buildit, versiot ja tuotteet sisältävät komponentin, ja mistä lähtien
Korjaaminen	Triage omistavalle tiimille; käytäntöportit, jotka pitävät CVE:n poissa myöhemmistä buildeista
Julkaisu ja julkistaminen	VEX-tuki; SBOM-vienti; API-pääsy buildin tallenteeseen

Vaiheet noudattavat haavoittuvuuksien hallinnan elinkaarta.

Mitä CRACI ei tee

• Reachability-analyysi (reachability analysis). CRACI näyttää, että haavoittuva paketti oli buildissa, mutta ei sitä, kutsuuko koodisi haavoittuvaa funktiota.
• Lähdekoodin skannaus. SAST ja salaisuuksien skannaus eivät kuulu laajuuteen; monet hyvät työkalut hoitavat ne CRACI:n rinnalla.
• Muut CI-järjestelmät kuin GitHub Actions. Tänään GitHub Actions; muut CI-järjestelmät ovat tiekartalla.
• Vaatimustenmukaisuus puolestasi. CRACI toimittaa näytön; NIS2:n, CRA:n tai minkä tahansa muun viitekehyksen vaatimusten täyttäminen on edelleen organisaatiosi prosessi.

CRACI PSIRT-tiimeille: usein kysytyt kysymykset

Onko CRACI PSIRT-työkalu?

CRACI kattaa sen osan PSIRT-työstä, joka edellyttää tietoa siitä, mitä toimitat: buildin aikana tallennetut SBOM:t, niiden jatkuvan valvonnan, tiedon siitä, mitkä buildit ja tuotteet sisältävät haavoittuvan komponentin, sekä triagen omistavalle tiimille. Julkistamiskanavasi ja tietoturvatiedoteprosessisi rakentuvat tämän tallenteen varaan.

Miten CRACI tietää, mitä tuotteessa on?

Buildit ajetaan CRACI:n GitHub Actions -runnereilla, ja CRACI tallentaa paketit, jotka kukin jobi todella haki, mukaan lukien transitiiviset riippuvuudet, CI-välimuisteista palautetut paketit ja riippuvuudet, joita mikään lukitustiedosto ei listaa. Se on tallennin, ei skanneri. Jokaisella SBOM:lla on kattavuustila, joten tiedät, milloin tallenne on osittainen.

Voiko CRACI kertoa, mitä aiempia julkaisuja CVE koski?

Kyllä, säilytysaikasi rajoissa. Buildihistoria näyttää jokaisen aiemman buildin ja sen SBOM:n sekä sen, mitkä buildit sisälsivät haavoittuvan riippuvuuden, suoran tai transitiivisen, joten tiedät ajanjakson, jolloin haavoittuvuus koski sinua. Inventaarionäkymä näyttää, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa.

Kattaako CRACI toimittajilta ostamamme komponentit?

Voit lisätä toimittajien SBOM:ja, joten ostettuja komponentteja valvotaan omien buildiesi rinnalla.

Tukeeko CRACI VEX:iä?

Kyllä. CRACI tukee VEX:iä sen kirjaamiseen, miten tunnettu haavoittuvuus vaikuttaa tuotteeseesi. Tilat ja formaatit löydät sivulta VEX, ja sivulta CSAF näet, miten tietoturvatiedotteet välittävät ne.

Mitä CI-järjestelmiä CRACI tukee?

Nyt GitHub Actionsia. Muut CI-järjestelmät ovat tiekartalla.