PSIRT vs CSIRT: vulnerabilidades de produto e incidentes na sua própria TI

O que é um CSIRT?

Um CSIRT (Computer Security Incident Response Team) é a equipa que trata dos incidentes de segurança de um grupo definido de pessoas ou organizações, designado por comunidade servida. O CSIRT Services Framework da FIRST define-o como uma unidade organizacional, que pode ser virtual, ou uma capacidade que presta serviços a essa comunidade para prevenir, detetar, tratar e responder a incidentes de segurança informática.

A comunidade servida determina o tipo de CSIRT:

• CSIRT empresarial: as redes, os sistemas, as contas e os dados de uma única empresa.
• CSIRT setorial: um grupo de organizações de um setor, como o financeiro ou o da energia.
• CSIRT nacional: um país inteiro, muitas vezes com um papel na coordenação transfronteiriça.
• Equipa de fornecedor: os clientes de uma empresa, para problemas nos seus produtos. É a PSIRT.

O CSIRT Services Framework (versão 2.1) agrupa os serviços de um CSIRT em cinco áreas: gestão de eventos de segurança da informação, gestão de incidentes de segurança da informação, gestão de vulnerabilidades, consciência situacional e transferência de conhecimento.

O que é uma PSIRT?

Uma PSIRT (Product Security Incident Response Team) é, segundo a FIRST, a entidade dentro de uma organização centrada na identificação, avaliação e resolução dos riscos associados às vulnerabilidades de segurança nos produtos que a organização fabrica ou vende. Recebe relatórios de vulnerabilidades, apura que produtos e versões são afetados, garante que uma correção é desenvolvida e distribuída e informa os clientes através de avisos de segurança.

O seu referencial, o PSIRT Services Framework (versão 1.1), tem seis áreas de serviço: gestão do ecossistema de partes interessadas, descoberta de vulnerabilidades, triagem e análise de vulnerabilidades, remediação, divulgação de vulnerabilidades, e formação e educação.

A principal diferença

A diferença está em saber de quem são os sistemas em risco. Um CSIRT protege a organização: o incidente está no seu ambiente e é a sua equipa que o contém. Uma PSIRT protege os seus clientes: a vulnerabilidade está no seu produto, em execução nos ambientes deles, e não pode aplicar a correção por eles. Distribui uma correção e diz-lhes que a instalem.

A FIRST é clara: o foco nos produtos é o que distingue uma PSIRT das outras equipas de resposta a incidentes da mesma organização, e um CSIRT empresarial centra-se geralmente nos sistemas e redes que compõem a infraestrutura da própria organização.

PSIRT vs CSIRT em comparação

	CSIRT empresarial	PSIRT
Âmbito	Incidentes nas redes, sistemas e dados da própria organização	Vulnerabilidades nos produtos que a organização distribui
Comunidade servida	Colaboradores e sistemas internos	Clientes e utilizadores dos produtos
Entradas típicas	Alertas, registos, relatos de utilizadores, informações sobre ameaças	Relatórios de investigadores, avisos de segurança sobre componentes de terceiros, testes internos, coordenadores
Resultados típicos	Incidentes contidos, sistemas recuperados, revisões pós-incidente	Versões corrigidas, avisos de segurança, registos CVE, notificações aos clientes
O relógio começa a contar	Quando um incidente é detetado	Quando uma vulnerabilidade é reportada ou publicada
Responsável típico	O CISO ou a segurança de TI	A segurança de produto ou a engenharia
Referencial da FIRST	CSIRT Services Framework 2.1	PSIRT Services Framework 1.1
Normas	ISO/IEC 27035 (gestão de incidentes)	ISO/IEC 29147 (divulgação de vulnerabilidades), ISO/IEC 30111 (tratamento de vulnerabilidades)

Ambos os referenciais sublinham que as equipas não trabalham isoladamente. O referencial das PSIRT descreve os CSIRT, incluindo os nacionais, como partes interessadas com as quais uma PSIRT deve criar relações, porque é muitas vezes por eles que um fornecedor toma conhecimento antecipado de uma vulnerabilidade.

CERT vs CSIRT

A primeira equipa deste tipo foi o CERT Coordination Center que, segundo o SEI, nasceu da resposta ao worm Morris em 1988, com financiamento da DARPA, no Software Engineering Institute da Carnegie Mellon. CERT é uma marca registada nos Estados Unidos pela Carnegie Mellon University, e o SEI autoriza equipas norte-americanas a usá-la nos seus nomes. Já não licencia a marca fora dos Estados Unidos.

Assim, "CERT" e "CSIRT" descrevem o mesmo tipo de equipa. CSIRT é o termo neutro, usado pela FIRST e na legislação da UE; muitas equipas, sobretudo as nacionais, continuam a ter CERT no nome.

CSIRT nacionais e coordenadores

Algumas organizações são importantes para uma equipa de produto porque se situam entre quem descobre as vulnerabilidades, os fornecedores e os utilizadores:

• O CERT/CC coordena a divulgação de vulnerabilidades de software desde 1988 e publica um guia de divulgação coordenada de vulnerabilidades para organizações que estão a criar o seu próprio processo.
• A CISA coordena a divulgação entre quem reporta, fabricantes e utilizadores nos Estados Unidos, e pode publicar logo 45 dias após a primeira tentativa de contactar um fornecedor que não responde, exista ou não uma correção.
• CSIRT nacionais da UE. A NIS2 exige que cada Estado-Membro designe ou crie um ou mais CSIRT, que cooperam na CSIRTs Network juntamente com o CERT-EU. A ENISA, a agência de cibersegurança da UE, assegura o respetivo secretariado.

Os CSIRT nacionais têm também um papel formal na comunicação de vulnerabilidades. Ao abrigo do artigo 12.º da NIS2, cada Estado-Membro designa um CSIRT como coordenador para a divulgação coordenada de vulnerabilidades: um intermediário de confiança entre a pessoa que reporta uma vulnerabilidade e o fabricante, que pode identificar os fornecedores envolvidos, ajudar quem reporta e negociar os prazos de divulgação. O Cyber Resilience Act assenta no mesmo papel: os fabricantes notificam as vulnerabilidades ativamente exploradas nos seus produtos ao CSIRT designado como coordenador e, em simultâneo, à ENISA.

Como uma PSIRT e um CSIRT trabalham em conjunto

Considere um componente open source vulnerável que está a ser explorado e é usado tanto no seu produto como nos seus sistemas internos. Ambas as equipas recebem o mesmo aviso de segurança, e cada uma tem o seu trabalho:

1. CSIRT: encontra o componente em servidores internos e portáteis, procura sinais de exploração nos registos, aplica correções ou isola, e gere um incidente se algo tiver sido comprometido.
2. PSIRT: apura que produtos, versões e builds incluem o componente, avalia se o produto é afetado, distribui uma versão corrigida e publica um aviso de segurança, com uma declaração VEX para as versões não afetadas.
3. Ambas: partilham indicadores e cronologias. Se o CSIRT descobrir que o ataque chegou ao sistema de build, a PSIRT tem de verificar se alguma versão distribuída foi adulterada, o que transforma um incidente interno num incidente de produto. Um ataque à cadeia de abastecimento costuma atravessar esta fronteira.

O passo que atrasa a PSIRT é o segundo. Um CSIRT pode analisar a sua própria infraestrutura. Uma PSIRT tem de responder por software que já está nas mãos dos clientes, o que implica saber o que entrou em cada versão que distribuiu. As páginas sobre o ciclo de vida da gestão de vulnerabilidades e a divulgação coordenada de vulnerabilidades abordam o resto do caminho da PSIRT até uma correção.

CSIRT vs SOC

Um Security Operations Center (SOC) vigia: monitoriza alertas e registos a toda a hora, filtra o ruído e escala o que parece real. Um CSIRT responde: assume o incidente confirmado, contém-no, investiga, coordena com as áreas jurídica e de comunicação e lidera a recuperação. Em organizações mais pequenas, o SOC e o CSIRT são muitas vezes as mesmas pessoas, e o SEI salienta que o facto de uma equipa se chamar CSIRT, SOC ou outra coisa importa menos do que as funções que desempenha.

Nenhum substitui uma PSIRT. Um SOC monitoriza o seu ambiente; não consegue ver uma vulnerabilidade num dispositivo que um cliente utiliza.

Precisa de ambas?

Se fabrica software ou dispositivos e também gere a sua própria TI, precisa de ambas as funções. Não precisa de dois departamentos. Os pequenos fornecedores começam muitas vezes com um responsável de segurança que gere a resposta a incidentes da empresa e um processo de PSIRT escrito para os produtos, com a engenharia disponível para as correções. O que tem de estar separado é o processo: um incidente interno e uma vulnerabilidade de produto têm responsáveis diferentes, prazos diferentes e pessoas diferentes a informar.

Onde entra o CRACI

O CRACI apoia o lado da PSIRT: saber o que está no software que distribui. Executa os seus builds de GitHub Actions em runners próprios e regista os pacotes que cada job realmente obteve, incluindo dependências transitivas e pacotes restaurados de caches, e exporta SBOM em CycloneDX ou SPDX.

As SBOM monitorizadas são reavaliadas continuamente, e o histórico de builds mostra que builds anteriores continham uma dependência vulnerável. A vista de inventário mostra que versões estão implementadas em que produtos, e as equipas de segurança fazem a triagem das conclusões e encaminham-nas para as equipas responsáveis pela correção. Consulte o acompanhamento de vulnerabilidades e o CRACI para equipas PSIRT.

PSIRT vs CSIRT: perguntas frequentes

O que é um CSIRT?

Uma Computer Security Incident Response Team. A FIRST define-a como uma unidade organizacional, que pode ser virtual, ou uma capacidade que presta serviços e apoio a uma comunidade definida para prevenir, detetar, tratar e responder a incidentes de segurança informática. A comunidade servida pode ser uma empresa, um setor ou um país inteiro.

Qual é a diferença entre uma PSIRT e um CSIRT?

Uma PSIRT trata das vulnerabilidades nos produtos que uma empresa vende, às quais os seus clientes estão expostos. Um CSIRT empresarial trata dos incidentes de segurança nos sistemas e redes da própria empresa. A FIRST considera o foco nos produtos o principal fator de distinção entre ambos.

Um CERT é o mesmo que um CSIRT?

Em termos funcionais, sim. CERT é uma marca registada nos Estados Unidos pela Carnegie Mellon University, cujo CERT Coordination Center foi a primeira equipa deste tipo, criada em 1988 após o worm Morris. CSIRT é o termo genérico. Muitas equipas nacionais usam CERT no nome, e a UE usa CSIRT na sua legislação.

Qual é a diferença entre um SOC e um CSIRT?

Um SOC monitoriza e deteta a toda a hora: vigia alertas e registos e escala o que parece real. Um CSIRT é responsável pela resposta a incidentes confirmados: contenção, investigação, coordenação e recuperação. Em muitas organizações, os dois sobrepõem-se ou partilham pessoas, e o SEI nota que o que importa são as funções que uma equipa desempenha, não o nome que tem.

Precisamos de uma PSIRT e de um CSIRT?

Se vende software ou dispositivos e também gere a sua própria TI, precisa de ambas as funções, embora não necessariamente de dois departamentos. Numa pequena empresa, as mesmas poucas pessoas cobrem muitas vezes ambas, com processos separados: um para incidentes no seu ambiente, outro para vulnerabilidades no que distribui.

O que faz um CSIRT nacional?

Trata de incidentes para uma comunidade nacional, partilha alertas e coordena além-fronteiras. Ao abrigo da NIS2, cada Estado-Membro da UE designa pelo menos um CSIRT, e um deles atua como coordenador para a divulgação coordenada de vulnerabilidades: um intermediário de confiança entre a pessoa que reporta uma vulnerabilidade e o fabricante.