PSIRT vs CSIRT: productkwetsbaarheden en incidenten in uw eigen IT

Wat is een CSIRT?

Een CSIRT (Computer Security Incident Response Team) is het team dat beveiligingsincidenten afhandelt voor een afgebakende groep mensen of organisaties, de zogeheten constituency. Het CSIRT Services Framework van FIRST definieert het als een organisatie-eenheid, die ook virtueel kan zijn, of een capaciteit die diensten levert aan die constituency om computerbeveiligingsincidenten te voorkomen, op te sporen, af te handelen en erop te reageren.

De constituency bepaalt wat voor soort CSIRT het is:

• Enterprise-CSIRT: de eigen netwerken, systemen, accounts en gegevens van één bedrijf.
• Sector-CSIRT: een groep organisaties in één bedrijfstak, zoals financiën of energie.
• Nationaal CSIRT: een heel land, vaak met een rol in grensoverschrijdende coördinatie.
• Leveranciersteam: de klanten van een bedrijf, voor problemen in zijn producten. Dit is het PSIRT.

Het CSIRT Services Framework (versie 2.1) deelt CSIRT-diensten in vijf gebieden in: beheer van informatiebeveiligingsgebeurtenissen, beheer van informatiebeveiligingsincidenten, kwetsbaarheidsbeheer, situationeel bewustzijn en kennisoverdracht.

Wat is een PSIRT?

Een PSIRT (Product Security Incident Response Team) is, volgens FIRST, de entiteit binnen een organisatie die zich richt op het identificeren, beoordelen en afhandelen van de risico's van beveiligingskwetsbaarheden in de producten die de organisatie maakt of verkoopt. Het neemt meldingen van kwetsbaarheden in ontvangst, zoekt uit welke producten en versies zijn getroffen, zorgt dat er een fix wordt gebouwd en geleverd, en informeert klanten via advisories.

Het bijbehorende kader, het PSIRT Services Framework (versie 1.1), kent zes dienstengebieden: beheer van het ecosysteem van stakeholders, ontdekking van kwetsbaarheden, triage en analyse van kwetsbaarheden, herstel, openbaarmaking van kwetsbaarheden, en training en opleiding.

Het belangrijkste verschil

Het verschil zit in wiens systemen risico lopen. Een CSIRT beschermt de organisatie: het incident speelt zich af in uw omgeving en u damt het in. Een PSIRT beschermt uw klanten: de kwetsbaarheid zit in uw product, dat in hun omgevingen draait, en u kunt het niet voor hen patchen. U levert een fix en vertelt hun dat ze die moeten installeren.

FIRST zegt het duidelijk: de focus op producten is het belangrijkste onderscheid tussen een PSIRT en andere incidentresponseteams in dezelfde organisatie, en een enterprise-CSIRT richt zich over het algemeen op de systemen en netwerken die de eigen infrastructuur van de organisatie vormen.

PSIRT en CSIRT vergeleken

	Enterprise-CSIRT	PSIRT
Scope	Incidenten in de eigen netwerken, systemen en gegevens van de organisatie	Kwetsbaarheden in de producten die de organisatie levert
Constituency	Medewerkers en interne systemen	Klanten en gebruikers van de producten
Typische input	Alerts, logs, meldingen van gebruikers, threat intelligence	Meldingen van onderzoekers, advisories voor componenten van derden, interne tests, coördinatoren
Typische output	Ingedamde incidenten, herstelde systemen, evaluaties na incidenten	Gerepareerde releases, security advisories, CVE-records, berichten aan klanten
De klok start	Wanneer een incident wordt gedetecteerd	Wanneer een kwetsbaarheid wordt gemeld of gepubliceerd
Gebruikelijke eigenaar	De CISO of IT-beveiliging	Productbeveiliging of engineering
FIRST-kader	CSIRT Services Framework 2.1	PSIRT Services Framework 1.1
Normen	ISO/IEC 27035 (incidentbeheer)	ISO/IEC 29147 (openbaarmaking van kwetsbaarheden), ISO/IEC 30111 (afhandeling van kwetsbaarheden)

Beide kaders benadrukken dat de teams niet geïsoleerd werken. Het PSIRT-kader beschrijft CSIRT's, ook nationale, als stakeholders met wie een PSIRT relaties moet opbouwen, omdat een leverancier via hen vaak vroeg over een kwetsbaarheid hoort.

CERT vs CSIRT

Het eerste team van dit soort was het CERT Coordination Center, dat volgens het SEI voortkwam uit de reactie op de Morris-worm in 1988, met financiering van DARPA, aan het Software Engineering Institute van Carnegie Mellon. CERT is een merk dat in de Verenigde Staten is geregistreerd door Carnegie Mellon University, en het SEI machtigt Amerikaanse teams om het in hun naam te gebruiken. Buiten de Verenigde Staten geeft het SEI het merk niet meer in licentie.

"CERT" en "CSIRT" beschrijven dus hetzelfde soort team. CSIRT is de neutrale term, die FIRST en de EU-wetgeving gebruiken; veel teams, vooral nationale, dragen nog steeds CERT in hun naam.

Nationale CSIRT's en coördinatoren

Enkele organisaties zijn belangrijk voor een productteam omdat ze tussen melders, leveranciers en gebruikers in staan:

• CERT/CC coördineert sinds 1988 de openbaarmaking van softwarekwetsbaarheden en publiceert een gids over gecoördineerde openbaarmaking van kwetsbaarheden voor organisaties die hun eigen proces opzetten.
• CISA coördineert de openbaarmaking tussen melders, fabrikanten en gebruikers in de Verenigde Staten, en kan publiceren zodra 45 dagen zijn verstreken na de eerste poging om contact op te nemen met een leverancier die niet reageert, ongeacht of er een fix bestaat.
• Nationale CSIRT's in de EU. NIS2 verplicht elke lidstaat om een of meer CSIRT's aan te wijzen of op te richten, en die werken samen met CERT-EU in het CSIRTs Network. ENISA, het EU-agentschap voor cyberbeveiliging, verzorgt het secretariaat.

Nationale CSIRT's hebben ook een formele rol bij het melden van kwetsbaarheden. Op grond van artikel 12 van NIS2 wijst elke lidstaat één CSIRT aan als coördinator voor gecoördineerde openbaarmaking van kwetsbaarheden: een vertrouwde tussenpersoon tussen degene die een kwetsbaarheid meldt en de fabrikant. Die tussenpersoon kan de betrokken leveranciers identificeren, de melder helpen en over tijdlijnen voor openbaarmaking onderhandelen. De Cyber Resilience Act bouwt voort op diezelfde rol: fabrikanten melden actief misbruikte kwetsbaarheden in hun producten tegelijk aan het CSIRT dat als coördinator is aangewezen en aan ENISA.

Hoe een PSIRT en een CSIRT samenwerken

Neem een kwetsbaar open-sourcecomponent dat actief wordt misbruikt en dat zowel in uw product als in uw interne systemen wordt gebruikt. Beide teams krijgen dezelfde advisory, en elk heeft een eigen taak:

1. CSIRT: vindt het component op interne servers en laptops, doorzoekt logs op misbruik, patcht of isoleert, en start een incidentproces als er iets is gecompromitteerd.
2. PSIRT: zoekt uit welke producten, versies en builds het component bevatten, beoordeelt of het product is getroffen, levert een gerepareerde release en publiceert een advisory, met een VEX-verklaring voor de versies die niet zijn getroffen.
3. Beide: delen indicatoren en tijdlijnen. Als het CSIRT ontdekt dat de aanval het buildsysteem heeft bereikt, moet het PSIRT controleren of er met een geleverde release is geknoeid, en dan wordt een intern incident een productincident. Een aanval op de softwareketen gaat meestal over deze grens heen.

De stap die het PSIRT vertraagt, is de tweede. Een CSIRT kan zijn eigen omgeving scannen. Een PSIRT moet instaan voor software die al bij klanten staat, en dat betekent weten wat er in elke geleverde release is terechtgekomen. De pagina's over de levenscyclus van kwetsbaarheidsbeheer en gecoördineerde openbaarmaking van kwetsbaarheden behandelen de rest van de weg van het PSIRT naar een fix.

CSIRT vs SOC

Een Security Operations Center (SOC) kijkt mee: het bewaakt dag en nacht alerts en logs, filtert ruis eruit en escaleert wat echt lijkt. Een CSIRT reageert: het neemt het bevestigde incident over, damt het in, onderzoekt het, stemt af met juridische zaken en communicatie, en leidt het herstel. In kleinere organisaties zijn het SOC en het CSIRT vaak dezelfde mensen, en het SEI wijst erop dat het minder uitmaakt of een team CSIRT, SOC of iets anders heet dan welke functies het vervult.

Geen van beide vervangt een PSIRT. Een SOC bewaakt uw omgeving; het kan geen kwetsbaarheid zien in een apparaat dat bij een klant draait.

Hebt u beide nodig?

Als u software of apparaten maakt en ook uw eigen IT beheert, hebt u beide functies nodig. U hebt geen twee afdelingen nodig. Kleine leveranciers beginnen vaak met één securitylead die de incidentrespons voor het bedrijf leidt en een schriftelijk PSIRT-proces voor de producten, met engineering oproepbaar voor fixes. Wat gescheiden moet zijn, is het proces: een intern incident en een productkwetsbaarheid hebben verschillende eigenaren, verschillende deadlines en verschillende mensen die u moet informeren.

De rol van CRACI

CRACI ondersteunt de PSIRT-kant: weten wat er in de software zit die u levert. Het draait uw GitHub Actions-builds op zijn eigen runners, legt de pakketten vast die elke job daadwerkelijk heeft opgehaald, inclusief transitieve afhankelijkheden en pakketten die uit caches zijn teruggezet, en exporteert SBOM's als CycloneDX of SPDX.

Gemonitorde SBOM's worden doorlopend opnieuw beoordeeld, en de buildgeschiedenis toont welke eerdere builds een kwetsbare afhankelijkheid bevatten. De inventarisweergave toont welke versies op welke producten zijn uitgerold, en securityteams triëren bevindingen en sturen ze naar de teams die verantwoordelijk zijn voor de fix. Zie het volgen van kwetsbaarheden en CRACI voor PSIRT-teams.

PSIRT vs CSIRT: veelgestelde vragen

Wat is een CSIRT?

Een Computer Security Incident Response Team. FIRST definieert het als een organisatie-eenheid, die ook virtueel kan zijn, of een capaciteit die diensten en ondersteuning levert aan een afgebakende constituency om computerbeveiligingsincidenten te voorkomen, op te sporen, af te handelen en erop te reageren. De constituency kan één bedrijf zijn, een sector of een heel land.

Wat is het verschil tussen een PSIRT en een CSIRT?

Een PSIRT handelt kwetsbaarheden af in de producten die een bedrijf verkoopt, waaraan zijn klanten zijn blootgesteld. Een enterprise-CSIRT handelt beveiligingsincidenten af in de eigen systemen en netwerken van het bedrijf. FIRST noemt de focus op producten het belangrijkste onderscheid tussen de twee.

Is een CERT hetzelfde als een CSIRT?

Functioneel wel. CERT is een merk dat in de Verenigde Staten is geregistreerd door Carnegie Mellon University, waarvan het CERT Coordination Center het eerste team van dit soort was, opgericht in 1988 na de Morris-worm. CSIRT is de algemene term. Veel nationale teams gebruiken CERT in hun naam, en de EU gebruikt CSIRT in haar wetgeving.

Wat is het verschil tussen een SOC en een CSIRT?

Een SOC monitort en detecteert dag en nacht: het bewaakt alerts en logs en escaleert wat echt lijkt. Een CSIRT is verantwoordelijk voor de respons op bevestigde incidenten: indammen, onderzoeken, coördineren en herstellen. In veel organisaties overlappen de twee of delen ze mensen, en het SEI merkt op dat het erom gaat welke functies een team vervult, niet hoe het heet.

Hebben we zowel een PSIRT als een CSIRT nodig?

Als u software of apparaten verkoopt en ook uw eigen IT beheert, hebt u beide functies nodig, al zijn dat niet per se twee afdelingen. In een klein bedrijf dekken dezelfde paar mensen vaak beide, met gescheiden processen: één voor incidenten in uw omgeving en één voor kwetsbaarheden in wat u levert.

Wat doet een nationaal CSIRT?

Het handelt incidenten af voor een nationale constituency, deelt waarschuwingen en coördineert over de grenzen heen. Op grond van NIS2 wijst elke EU-lidstaat ten minste één CSIRT aan, en een daarvan treedt op als coördinator voor gecoördineerde openbaarmaking van kwetsbaarheden: een vertrouwde tussenpersoon tussen degene die een kwetsbaarheid meldt en de fabrikant.