PSIRT vs CSIRT: produktsårbarheter och incidenter i din egen IT

Vad är ett CSIRT?

Ett CSIRT (Computer Security Incident Response Team) är teamet som hanterar säkerhetsincidenter för en bestämd grupp människor eller organisationer, dess målgrupp. FIRST:s CSIRT Services Framework definierar det som en organisatorisk enhet, som kan vara virtuell, eller en förmåga som ger den målgruppen tjänster ”for preventing, detecting, handling, and responding to computer security incidents”.

Målgruppen avgör vilken sorts CSIRT det är:

• Företags-CSIRT: ett företags egna nätverk, system, konton och data.
• Sektors-CSIRT: en grupp organisationer i en bransch, till exempel finans eller energi.
• Nationellt CSIRT: ett helt land, ofta med en roll i gränsöverskridande samordning.
• Leverantörsteam: ett företags kunder, för problem i dess produkter. Det är PSIRT.

CSIRT Services Framework (version 2.1) delar in CSIRT-tjänster i fem områden: hantering av informationssäkerhetshändelser, hantering av informationssäkerhetsincidenter, sårbarhetshantering, lägesbild samt kunskapsöverföring.

Vad är ett PSIRT?

Ett PSIRT (Product Security Incident Response Team) är, med FIRST:s ord, den enhet inom en organisation som fokuserar på ”the identification, assessment and disposition of the risks associated with security vulnerabilities within the products” som organisationen tillverkar eller säljer. Det tar emot sårbarhetsrapporter, tar reda på vilka produkter och versioner som berörs, ser till att en rättning byggs och levereras och informerar kunderna genom säkerhetsmeddelanden.

Ramverket för det, PSIRT Services Framework (version 1.1), har sex tjänsteområden: hantering av intressenter, upptäckt av sårbarheter, triage och analys av sårbarheter, åtgärd, offentliggörande av sårbarheter samt utbildning.

Den viktigaste skillnaden

Skillnaden ligger i vems system som är i fara. Ett CSIRT skyddar organisationen: incidenten finns i din miljö, och du begränsar den. Ett PSIRT skyddar dina kunder: sårbarheten finns i din produkt, som körs i deras miljöer, och du kan inte patcha den åt dem. Du levererar en rättning och talar om för dem att installera den.

FIRST säger det rakt ut: ”the focus on products is the key differentiator” mellan ett PSIRT och andra incidenthanteringsteam i samma organisation, och ett företags-CSIRT är i allmänhet inriktat på de system och nätverk som utgör organisationens egen infrastruktur.

PSIRT och CSIRT i jämförelse

	Företags-CSIRT	PSIRT
Omfattning	Incidenter i organisationens egna nätverk, system och data	Sårbarheter i de produkter som organisationen levererar
Målgrupp	Anställda och interna system	Produkternas kunder och användare
Typisk indata	Larm, loggar, rapporter från användare, hotinformation	Rapporter från forskare, säkerhetsmeddelanden om tredjepartskomponenter, interna tester, samordnare
Typiskt resultat	Begränsade incidenter, återställda system, utvärderingar efter incidenter	Åtgärdade releaser, säkerhetsmeddelanden, CVE-poster, meddelanden till kunder
Klockan startar	När en incident upptäcks	När en sårbarhet rapporteras eller publiceras
Typisk ägare	CISO eller IT-säkerhet	Produktsäkerhet eller utveckling
Ramverk från FIRST	CSIRT Services Framework 2.1	PSIRT Services Framework 1.1
Standarder	ISO/IEC 27035 (incidenthantering)	ISO/IEC 29147 (offentliggörande av sårbarheter), ISO/IEC 30111 (hantering av sårbarheter)

Båda ramverken betonar att teamen inte arbetar isolerat. PSIRT-ramverket beskriver CSIRT, även nationella, som intressenter som ett PSIRT bör bygga relationer med, eftersom det ofta är genom dem en leverantör tidigt får höra om en sårbarhet.

CERT vs CSIRT

Det första teamet av det här slaget var CERT Coordination Center, som enligt SEI växte fram ur hanteringen av Morris-masken 1988, med finansiering från DARPA, vid Carnegie Mellons Software Engineering Institute. CERT är ett varumärke som Carnegie Mellon University har registrerat i USA, och SEI ger amerikanska team tillstånd att använda det i sina namn. Det licensierar inte längre varumärket utanför USA.

”CERT” och ”CSIRT” beskriver alltså samma sorts team. CSIRT är den neutrala termen, som används av FIRST och i EU-rätten; många team, särskilt nationella, har fortfarande CERT i sitt namn.

Nationella CSIRT och samordnare

Några organisationer är viktiga för ett produktteam eftersom de står mellan rapportörer, leverantörer och användare:

• CERT/CC har samordnat offentliggörandet av sårbarheter i programvara sedan 1988 och publicerar en guide till samordnat offentliggörande av sårbarheter för organisationer som bygger en egen process.
• CISA samordnar offentliggörande mellan rapportörer, tillverkare och användare i USA och kan publicera så tidigt som 45 dagar efter det första försöket att nå en leverantör som inte svarar, oavsett om det finns en rättning eller inte.
• Nationella CSIRT i EU. NIS2 kräver att varje medlemsstat utser eller inrättar ett eller flera CSIRT, och de samarbetar i CSIRTs Network tillsammans med CERT-EU. ENISA, EU:s cybersäkerhetsbyrå, står för sekretariatet.

Nationella CSIRT har också en formell roll i sårbarhetsrapportering. Enligt artikel 12 i NIS2 utser varje medlemsstat ett CSIRT till samordnare för samordnat offentliggörande av sårbarheter: en betrodd mellanhand mellan den som rapporterar en sårbarhet och tillverkaren, som kan identifiera berörda leverantörer, hjälpa rapportören och förhandla om tidsplaner för offentliggörande. Cyber Resilience Act bygger på samma roll: tillverkare anmäler aktivt utnyttjade sårbarheter i sina produkter till det CSIRT som utsetts till samordnare och samtidigt till ENISA.

Så samarbetar ett PSIRT och ett CSIRT

Ta en sårbar komponent med öppen källkod som utnyttjas och som används både i din produkt och i dina interna system. Båda teamen får samma säkerhetsmeddelande, och vart och ett har sitt eget jobb:

1. CSIRT: hittar komponenten på interna servrar och bärbara datorer, söker i loggar efter tecken på utnyttjande, patchar eller isolerar och startar incidenthantering om något har komprometterats.
2. PSIRT: tar reda på vilka produkter, versioner och byggen som innehåller komponenten, bedömer om produkten berörs, levererar en åtgärdad release och publicerar ett säkerhetsmeddelande, med ett VEX-uttalande för de versioner som inte berörs.
3. Båda: delar indikatorer och tidslinjer. Om CSIRT upptäcker att attacken nådde byggsystemet måste PSIRT kontrollera om någon levererad release har manipulerats, vilket gör en intern incident till en produktincident. En attack mot leveranskedjan korsar oftast den här gränsen.

Det är det andra steget som bromsar PSIRT. Ett CSIRT kan skanna sin egen miljö. Ett PSIRT måste svara för programvara som redan finns hos kunderna, vilket innebär att veta vad som ingick i varje release det har levererat. Sidorna om livscykeln för sårbarhetshantering och samordnat offentliggörande av sårbarheter täcker resten av PSIRT:s väg till en rättning.

CSIRT vs SOC

Ett Security Operations Center (SOC) bevakar: det övervakar larm och loggar dygnet runt, filtrerar bort brus och eskalerar det som ser verkligt ut. Ett CSIRT agerar: det tar över den bekräftade incidenten, begränsar den, utreder, samordnar med juridik och kommunikation och leder återställningen. I mindre organisationer är SOC och CSIRT ofta samma personer, och SEI påpekar att det spelar mindre roll om ett team kallas CSIRT, SOC eller något annat än vilka funktioner det utför.

Inget av dem ersätter ett PSIRT. Ett SOC övervakar din miljö; det kan inte se en sårbarhet i en enhet som en kund driver.

Behöver du båda?

Om du tillverkar programvara eller enheter och dessutom driver din egen IT behöver du båda funktionerna. Du behöver inte två avdelningar. Små leverantörer börjar ofta med en säkerhetsansvarig som sköter incidenthanteringen för företaget och en skriftlig PSIRT-process för produkterna, med utvecklingen i beredskap för rättningar. Det som måste hållas isär är processen: en intern incident och en produktsårbarhet har olika ägare, olika tidsfrister och olika personer att informera.

Var CRACI passar in

CRACI stöder PSIRT-sidan: att veta vad som finns i programvaran du levererar. CRACI kör dina GitHub Actions-byggen på egna runners, registrerar paketen som varje jobb faktiskt hämtade, inklusive transitiva beroenden och paket som återställs från cachar, och exporterar SBOM:er som CycloneDX eller SPDX.

Bevakade SBOM:er omvärderas löpande, och bygghistoriken visar vilka tidigare byggen som innehöll ett sårbart beroende. Inventarievyn visar vilka versioner som är driftsatta i vilka produkter, och säkerhetsteam triagerar fynd och skickar dem vidare till teamen som äger åtgärden. Se sårbarhetsuppföljning och CRACI för PSIRT-team.

PSIRT vs CSIRT: vanliga frågor

Vad är ett CSIRT?

Ett Computer Security Incident Response Team. FIRST definierar det som en organisatorisk enhet, som kan vara virtuell, eller en förmåga som ger en bestämd målgrupp tjänster och stöd för att förebygga, upptäcka, hantera och agera på datasäkerhetsincidenter. Målgruppen kan vara ett företag, en sektor eller ett helt land.

Vad är skillnaden mellan ett PSIRT och ett CSIRT?

Ett PSIRT hanterar sårbarheter i de produkter ett företag säljer, som dess kunder är utsatta för. Ett företags-CSIRT hanterar säkerhetsincidenter i företagets egna system och nätverk. FIRST kallar fokuset på produkter för den viktigaste skillnaden mellan de två.

Är ett CERT samma sak som ett CSIRT?

Funktionellt sett, ja. CERT är ett varumärke som Carnegie Mellon University har registrerat i USA, och universitetets CERT Coordination Center var det första teamet av det slaget, inrättat 1988 efter Morris-masken. CSIRT är den allmänna termen. Många nationella team har CERT i sitt namn, och EU använder CSIRT i sin lagstiftning.

Vad är skillnaden mellan ett SOC och ett CSIRT?

Ett SOC övervakar och upptäcker dygnet runt: det bevakar larm och loggar och eskalerar det som ser verkligt ut. Ett CSIRT äger hanteringen av bekräftade incidenter: begränsning, utredning, samordning och återställning. I många organisationer överlappar de två eller delar personal, och SEI konstaterar att det viktiga är vilka funktioner ett team utför, inte vad det kallas.

Behöver vi både ett PSIRT och ett CSIRT?

Om du säljer programvara eller enheter och dessutom driver din egen IT behöver du båda funktionerna, men inte nödvändigtvis två avdelningar. I ett litet företag täcker samma fåtal personer ofta båda, med separata processer: en för incidenter i din miljö och en för sårbarheter i det du levererar.

Vad gör ett nationellt CSIRT?

Det hanterar incidenter för en nationell målgrupp, delar varningar och samordnar över gränserna. Enligt NIS2 utser varje EU-medlemsstat minst ett CSIRT, och ett av dem fungerar som samordnare för samordnat offentliggörande av sårbarheter: en betrodd mellanhand mellan den som rapporterar en sårbarhet och tillverkaren.