PSIRT a CSIRT: podatności produktów i incydenty we własnym IT

Czym jest CSIRT?

CSIRT (Computer Security Incident Response Team) to zespół, który obsługuje incydenty bezpieczeństwa dla określonej grupy osób lub organizacji, zwanej jego grupą docelową. CSIRT Services Framework organizacji FIRST definiuje go jako jednostkę organizacyjną, która może być wirtualna, lub jako zdolność świadczenia tej grupie usług w zakresie zapobiegania incydentom bezpieczeństwa komputerowego, ich wykrywania, obsługi i reagowania na nie.

O rodzaju CSIRT decyduje jego grupa docelowa:

• CSIRT korporacyjny: własne sieci, systemy, konta i dane jednej firmy.
• CSIRT sektorowy: grupa organizacji z jednej branży, takiej jak finanse lub energetyka.
• CSIRT krajowy: cały kraj, często z rolą w koordynacji transgranicznej.
• Zespół dostawcy: klienci firmy, w sprawie problemów w jej produktach. To właśnie PSIRT.

CSIRT Services Framework (wersja 2.1) dzieli usługi CSIRT na pięć obszarów: zarządzanie zdarzeniami bezpieczeństwa informacji, zarządzanie incydentami bezpieczeństwa informacji, zarządzanie podatnościami, świadomość sytuacyjną oraz transfer wiedzy.

Czym jest PSIRT?

PSIRT (Product Security Incident Response Team) to, jak ujmuje to FIRST, jednostka w organizacji skupiona na identyfikacji, ocenie i rozstrzyganiu ryzyk związanych z podatnościami bezpieczeństwa w produktach, które organizacja wytwarza lub sprzedaje. Przyjmuje zgłoszenia podatności, ustala, których produktów i wersji dotyczą, doprowadza do przygotowania i dostarczenia poprawki oraz informuje klientów w biuletynach.

Jego framework, PSIRT Services Framework (wersja 1.1), ma sześć obszarów usług: zarządzanie ekosystemem interesariuszy, wykrywanie podatności, triaż i analizę podatności, naprawę, ujawnianie podatności oraz szkolenia i edukację.

Kluczowa różnica

Różnica polega na tym, czyje systemy są zagrożone. CSIRT chroni organizację: incydent ma miejsce w Państwa środowisku i to Państwo go opanowują. PSIRT chroni Państwa klientów: podatność znajduje się w Państwa produkcie, działającym w ich środowiskach, i nie mogą Państwo załatać go za nich. Dostarczają Państwo poprawkę i informują klientów, że mają ją zainstalować.

FIRST mówi o tym wprost: to skupienie na produktach jest kluczowym wyróżnikiem PSIRT na tle innych zespołów reagowania na incydenty w tej samej organizacji, a korporacyjny CSIRT zajmuje się na ogół systemami i sieciami tworzącymi własną infrastrukturę organizacji.

PSIRT i CSIRT w porównaniu

	CSIRT korporacyjny	PSIRT
Zakres	Incydenty we własnych sieciach, systemach i danych organizacji	Podatności w produktach dostarczanych przez organizację
Grupa docelowa	Pracownicy i systemy wewnętrzne	Klienci i użytkownicy produktów
Typowe dane wejściowe	Alerty, logi, zgłoszenia użytkowników, threat intelligence	Zgłoszenia badaczy, biuletyny dotyczące komponentów zewnętrznych, testy wewnętrzne, koordynatorzy
Typowe rezultaty	Opanowane incydenty, odtworzone systemy, przeglądy po incydencie	Wydania z poprawkami, biuletyny bezpieczeństwa, rekordy CVE, powiadomienia klientów
Czas zaczyna biec	Gdy wykryto incydent	Gdy podatność zgłoszono lub opublikowano
Typowy właściciel	CISO lub bezpieczeństwo IT	Bezpieczeństwo produktu lub inżynieria
Framework FIRST	CSIRT Services Framework 2.1	PSIRT Services Framework 1.1
Standardy	ISO/IEC 27035 (zarządzanie incydentami)	ISO/IEC 29147 (ujawnianie podatności), ISO/IEC 30111 (obsługa podatności)

Oba frameworki podkreślają, że zespoły nie działają w izolacji. Framework PSIRT opisuje CSIRT-y, w tym krajowe, jako interesariuszy, z którymi PSIRT powinien budować relacje, ponieważ to często dzięki nim dostawca wcześnie dowiaduje się o podatności.

CERT a CSIRT

Pierwszym zespołem tego rodzaju było CERT Coordination Center, które, według SEI, wyrosło z reakcji na robaka Morrisa w 1988 roku, przy finansowaniu DARPA, w Software Engineering Institute na Carnegie Mellon. CERT to znak zarejestrowany w Stanach Zjednoczonych przez Carnegie Mellon University, a SEI upoważnia zespoły z USA do używania go w nazwach. Nie licencjonuje już tego znaku poza Stanami Zjednoczonymi.

„CERT” i „CSIRT” opisują więc ten sam rodzaj zespołu. CSIRT to termin neutralny, używany przez FIRST i w prawie UE; wiele zespołów, zwłaszcza krajowych, nadal ma CERT w nazwie.

Krajowe CSIRT-y i koordynatorzy

Kilka organizacji ma znaczenie dla zespołu produktowego, ponieważ stoją między zgłaszającymi, dostawcami i użytkownikami:

• CERT/CC od 1988 roku koordynuje ujawnianie podatności oprogramowania i publikuje przewodnik po skoordynowanym ujawnianiu podatności dla organizacji budujących własny proces.
• CISA koordynuje ujawnianie między zgłaszającymi, producentami i użytkownikami w Stanach Zjednoczonych i może opublikować informację już po 45 dniach od pierwszej próby kontaktu z niereagującym dostawcą, niezależnie od tego, czy istnieje poprawka.
• Krajowe CSIRT-y w UE. NIS2 wymaga, aby każde państwo członkowskie wyznaczyło lub ustanowiło co najmniej jeden CSIRT, a zespoły te współpracują w CSIRTs Network wraz z CERT-EU. Sekretariat tej sieci prowadzi ENISA, unijna agencja ds. cyberbezpieczeństwa.

Krajowe CSIRT-y mają też formalną rolę w zgłaszaniu podatności. Zgodnie z art. 12 NIS2 każde państwo członkowskie wyznacza jeden CSIRT jako koordynatora skoordynowanego ujawniania podatności: zaufanego pośrednika między osobą zgłaszającą podatność a producentem, który może zidentyfikować dostawców, których sprawa dotyczy, pomóc zgłaszającemu i negocjować terminy ujawnienia. Cyber Resilience Act opiera się na tej samej roli: producenci zgłaszają aktywnie wykorzystywane podatności w swoich produktach jednocześnie do CSIRT wyznaczonego jako koordynator i do ENISA.

Jak współpracują PSIRT i CSIRT

Weźmy podatny komponent open source, który jest wykorzystywany przez napastników i używany zarówno w Państwa produkcie, jak i w systemach wewnętrznych. Oba zespoły dostają ten sam biuletyn i każdy ma własne zadanie:

1. CSIRT: znajduje komponent na wewnętrznych serwerach i laptopach, sprawdza w logach ślady wykorzystania, łata lub izoluje systemy i obsługuje incydent, jeśli cokolwiek zostało przejęte.
2. PSIRT: ustala, które produkty, wersje i buildy zawierają komponent, ocenia, czy produkt jest podatny, dostarcza wydanie z poprawką i publikuje biuletyn wraz z oświadczeniem VEX dla wersji, których problem nie dotyczy.
3. Oba: dzielą się wskaźnikami i osią czasu. Jeśli CSIRT ustali, że atak dotarł do systemu buildu, PSIRT musi sprawdzić, czy zmanipulowano któreś z dostarczonych wydań, co zamienia incydent wewnętrzny w incydent produktowy. Atak na łańcuch dostaw zwykle przekracza tę granicę.

Tym, co spowalnia PSIRT, jest drugi krok. CSIRT może przeskanować własne zasoby. PSIRT musi odpowiadać za oprogramowanie, które jest już w rękach klientów, a to oznacza znajomość zawartości każdego dostarczonego wydania. Dalszą drogę PSIRT do poprawki opisują strony cykl życia zarządzania podatnościami i skoordynowane ujawnianie podatności.

CSIRT a SOC

Security Operations Center (SOC) obserwuje: przez całą dobę monitoruje alerty i logi, odfiltrowuje szum i eskaluje to, co wygląda na prawdziwy problem. CSIRT reaguje: przejmuje potwierdzony incydent, opanowuje go, bada, koordynuje działania z działem prawnym i komunikacją oraz prowadzi odtwarzanie. W mniejszych organizacjach SOC i CSIRT to często te same osoby, a SEI zwraca uwagę, że to, czy zespół nazywa się CSIRT, SOC, czy jeszcze inaczej, ma mniejsze znaczenie niż funkcje, które pełni.

Żaden z nich nie zastępuje PSIRT. SOC monitoruje Państwa środowisko; nie zobaczy podatności w urządzeniu, którego używa klient.

Czy potrzebują Państwo obu?

Jeśli wytwarzają Państwo oprogramowanie lub urządzenia, a także prowadzą własne IT, potrzebują Państwo obu funkcji. Nie potrzebują Państwo dwóch działów. Mali dostawcy często zaczynają od jednej osoby odpowiedzialnej za bezpieczeństwo, która prowadzi reagowanie na incydenty w firmie, oraz spisanego procesu PSIRT dla produktów, z inżynierami pod telefonem na potrzeby poprawek. Rozdzielony musi być proces: incydent wewnętrzny i podatność produktu mają innych właścicieli, inne terminy i innych adresatów informacji.

Gdzie wpisuje się CRACI

CRACI wspiera stronę PSIRT: wiedzę o tym, co znajduje się w dostarczanym przez Państwa oprogramowaniu. Uruchamia Państwa buildy GitHub Actions na własnych runnerach, rejestruje pakiety faktycznie pobrane przez każde zadanie, łącznie z zależnościami przechodnimi i pakietami przywróconymi z cache, oraz eksportuje SBOM-y w formacie CycloneDX lub SPDX.

Monitorowane SBOM-y są stale ponownie oceniane, a historia buildów pokazuje, które wcześniejsze buildy zawierały podatną zależność. Widok inwentarza pokazuje, które wersje są wdrożone w których produktach, a zespoły bezpieczeństwa wykonują triaż znalezisk i przekazują je zespołom odpowiedzialnym za poprawkę. Zob. śledzenie podatności i CRACI dla zespołów PSIRT.

PSIRT a CSIRT: najczęściej zadawane pytania

Czym jest CSIRT?

To Computer Security Incident Response Team, czyli zespół reagowania na incydenty bezpieczeństwa komputerowego. FIRST definiuje go jako jednostkę organizacyjną, która może być wirtualna, lub zdolność świadczenia usług i wsparcia określonej grupie docelowej w zakresie zapobiegania incydentom bezpieczeństwa komputerowego, ich wykrywania, obsługi i reagowania na nie. Grupę docelową może stanowić jedna firma, sektor lub cały kraj.

Jaka jest różnica między PSIRT a CSIRT?

PSIRT zajmuje się podatnościami w produktach sprzedawanych przez firmę, na które narażeni są jej klienci. Korporacyjny CSIRT zajmuje się incydentami bezpieczeństwa we własnych systemach i sieciach firmy. FIRST nazywa skupienie na produktach kluczowym wyróżnikiem między nimi.

Czy CERT to to samo co CSIRT?

Funkcjonalnie tak. CERT to znak zarejestrowany w Stanach Zjednoczonych przez Carnegie Mellon University, której CERT Coordination Center było pierwszym takim zespołem, utworzonym w 1988 roku po robaku Morrisa. CSIRT to termin ogólny. Wiele zespołów krajowych używa CERT w nazwie, a UE używa w swoich przepisach określenia CSIRT.

Jaka jest różnica między SOC a CSIRT?

SOC monitoruje i wykrywa przez całą dobę: obserwuje alerty i logi oraz eskaluje to, co wygląda na prawdziwy problem. CSIRT odpowiada za reakcję na potwierdzone incydenty: opanowanie, dochodzenie, koordynację i odtwarzanie. W wielu organizacjach te funkcje się pokrywają lub realizują je ci sami ludzie, a SEI zauważa, że liczy się to, jakie funkcje pełni zespół, a nie to, jak się nazywa.

Czy potrzebujemy i PSIRT, i CSIRT?

Jeśli sprzedają Państwo oprogramowanie lub urządzenia, a także prowadzą własne IT, potrzebują Państwo obu funkcji, choć niekoniecznie dwóch działów. W małej firmie obie często realizuje tych samych kilka osób, w oddzielnych procesach: jednym dla incydentów w Państwa środowisku, drugim dla podatności w tym, co Państwo dostarczają.

Czym zajmuje się krajowy CSIRT?

Obsługuje incydenty dla krajowej grupy docelowej, przekazuje ostrzeżenia i prowadzi koordynację transgraniczną. Zgodnie z NIS2 każde państwo członkowskie UE wyznacza co najmniej jeden CSIRT, a jeden z nich pełni funkcję koordynatora skoordynowanego ujawniania podatności: zaufanego pośrednika między osobą zgłaszającą podatność a producentem.