CRACI för PSIRT-team och produktsäkerhetsansvariga

Problemet en PSIRT-chef har

En produktsäkerhetschef ansvarar för svar som PSIRT inte kan ta fram på egen hand. När en CVE dyker upp i ett allmänt använt bibliotek ställer kunder, ledning och allt oftare tillsynsmyndigheter samma frågor inom några timmar: påverkas vi, i vilka produkter och versioner, sedan när, och när blir det åtgärdat?

Svaren beror på inventeringen, och inventeringen kommer oftast från skannrar som läser lockfiler eller manifest i efterhand. De listar utvecklingsberoenden som aldrig levereras och missar paket som bygget laddade ner på något annat sätt. Därför ber PSIRT utvecklingsteamen kontrollera för hand, och svaret kommer efter flera dagar, med förbehåll.

FIRST PSIRT Services Framework kallar en inventering av produktkomponenter "essential to quickly identify affected products for inherited vulnerabilities". Det är i den inventeringen CRACI börjar. För hela bilden av rollen, se vad är ett PSIRT.

Vad CRACI ger ett PSIRT

En inventering registrerad från bygget

CRACI kör dina GitHub Actions-byggen på sina egna runners och registrerar paketen som varje jobb faktiskt hämtade, inklusive transitiva beroenden, paket som återställs från CI-cachar och beroenden som ingen lockfile listar. Det registrerar, det är ingen skanner. Varje SBOM har en fullständighetsstatus, så en ofullständig registrering markeras som ofullständig, och SBOM:er exporteras som CycloneDX eller SPDX.

Löpande bevakning av det som levererats

Bevakade SBOM:er omvärderas löpande när nya sårbarheter publiceras, och fynd samlas från olika byggen och repon. En CVE som publiceras nästa månad matchas mot releaserna du redan har levererat, inte bara nästa bygge. Kända skadliga releaser med en publicerad CVE flaggas som vilken annan sårbarhet som helst.

Berörda produkter, versioner och perioder

Bygghistoriken visar varje tidigare bygge med dess SBOM och vilka byggen som innehöll ett sårbart beroende, direkt eller transitivt, så att du vet under vilken period du var påverkad, inom din lagringstid. Inventeringsvyn visar exakt vilka programvaruversioner som är driftsatta i vilka produkter. Tillsammans gör de frågan "påverkas vi?" till en enkel sökning.

Inköpta komponenter

Produkter består sällan bara av din egen kod. Leverantörers SBOM:er kan läggas till, så att tredjepartskomponenter bevakas tillsammans med dina egna byggen.

Triage, routning och VEX

Säkerhetsteam triagerar upptäckta sårbarheter och skickar dem till teamen som äger åtgärden, vilket stämmer med den distribuerade PSIRT-modellen där produktteamen gör åtgärderna. CRACI har stöd för VEX. Se VEX för hur uttalanden om att en produkt inte påverkas sparar arbete för ett PSIRT och dess kunder.

Att hålla en åtgärdad CVE borta från senare byggen

Policykontroller kan blockera ett bygge på grund av fynd, inklusive byggen som innehåller en specifik CVE. När ett PSIRT-ärende har stängts hindrar en grind för den CVE:n att den sårbara versionen i det tysta kommer tillbaka i en senare release.

Underlag för revisioner och kunder

API:t returnerar SBOM:er, nätverksspårningar och proveniens för varje bygge, så registreringen bakom ett säkerhetsmeddelande eller ett revisionssvar finns tillgänglig utanför användargränssnittet. Där EU:s Cyber Resilience Act gäller skickar CRACI också in de obligatoriska anmälningarna till myndigheter för tillverkarens räkning; skyldigheten ligger kvar hos tillverkaren. Se vad är CRA.

Där CRACI passar in i PSIRT-processen

PSIRT-steg	Vad CRACI bidrar med
Förberedelse	En SBOM per bygge, registrerad medan det körs, med en fullständighetsstatus
Upptäckt	Löpande omvärdering av bevakade SBOM:er, inklusive leverantörers SBOM:er
Verifiering	Vilka byggen, versioner och produkter som innehåller komponenten, och sedan när
Åtgärd	Triage till det ansvariga teamet; policykontroller som håller CVE:n borta från senare byggen
Release och offentliggörande	Stöd för VEX; SBOM-export; API-åtkomst till byggregistreringen

Stegen följer livscykeln för sårbarhetshantering.

Vad CRACI inte gör

• Reachability-analys. CRACI visar att ett sårbart paket fanns i bygget, inte om din kod anropar den sårbara funktionen.
• Skanning av källkod. SAST och skanning av hemligheter ingår inte; det finns gott om bra verktyg som gör det vid sidan av CRACI.
• Andra CI-system än GitHub Actions. GitHub Actions i dag; andra CI-system finns på roadmapen.
• Efterlevnad åt dig. CRACI levererar underlaget; att uppfylla NIS2, CRA eller något annat ramverk förblir din organisations process.

CRACI för PSIRT-team: vanliga frågor

Är CRACI ett PSIRT-verktyg?

CRACI täcker den del av PSIRT-arbetet som bygger på att veta vad du levererar: SBOM:er från bygget, löpande bevakning av dem, vilka byggen och produkter som innehåller en sårbar komponent och triage till det ansvariga teamet. Din kanal för offentliggörande och din process för säkerhetsmeddelanden bygger på den registreringen.

Hur vet CRACI vad som finns i en produkt?

Byggen körs på CRACI:s GitHub Actions-runners, och CRACI registrerar paketen som varje jobb faktiskt hämtade, inklusive transitiva beroenden, paket som återställs från CI-cachar och beroenden som ingen lockfile listar. Det registrerar, det är ingen skanner. Varje SBOM har en fullständighetsstatus, så du vet när registreringen är ofullständig.

Kan CRACI tala om vilka tidigare releaser som påverkades av en CVE?

Ja, inom din lagringstid. Bygghistoriken visar varje tidigare bygge och dess SBOM, och vilka byggen som innehöll ett sårbart beroende, direkt eller transitivt, så att du vet under vilken period du var påverkad. Inventeringsvyn visar vilka programvaruversioner som är driftsatta i vilka produkter.

Täcker CRACI komponenter vi köper från leverantörer?

Du kan lägga till leverantörers SBOM:er, så att inköpta komponenter bevakas tillsammans med dina egna byggen.

Har CRACI stöd för VEX?

Ja. CRACI har stöd för VEX för att registrera hur en känd sårbarhet påverkar din produkt. Se VEX för statusar och format, och CSAF för hur säkerhetsmeddelanden förmedlar dem.

Vilka CI-system stöder CRACI?

GitHub Actions i dag. Andra CI-system finns på roadmapen.