產品資安
PSIRT：產品資安事件應變小組的工作內容
每家出貨軟體的公司，都同時出貨了漏洞。PSIRT 是負責得知這些漏洞、釐清它們影響哪些產品與版本、推動修正，並告訴客戶該怎麼做的團隊。本指南涵蓋這份工作、多數團隊所依循的 FIRST 框架，以及背後的流程與工具。
更新日期
什麼是 PSIRT？
產品資安事件應變小組（Product Security Incident Response Team，PSIRT）是處理公司所製造與銷售產品中資安漏洞的職能。FIRST 將它定義為專注於「識別、評估與處置產品中資安漏洞相關風險」的實體，範圍涵蓋產品、解決方案、元件與服務。
實務上，PSIRT 會：
- 經營讓研究人員、客戶與合作夥伴通報漏洞的管道；
- 留意產品內第三方與開源元件中的漏洞；
- 研判每一份通報：它是否屬實、影響哪些產品與版本、嚴重程度如何；
- 依風險排定時程，讓負責的工程團隊進行修正；
- 發布資安公告，並與發現者及下游廠商協調揭露；
- 向管理階層報告指標，並培訓打造產品的人員。
大部分工作發生在產品發布之後。FIRST 指出，多數產品漏洞是在產品上市後才以品質疏漏的形式被通報，不過 PSIRT 在更早的階段也能發揮價值，例如設計審查與威脅建模。
PSIRT 在組織中的定位
它與其他資安團隊的差異，在於以產品為焦點。企業的 CSIRT 保護公司自己的系統與網路；PSIRT 則保護使用公司產品的客戶。兩者共享技能，通常也屬於同一條匯報線，而當公司自身基礎架構中的資安事件（例如遭入侵的建置系統）波及產品時，兩者就會交會。完整的比較請參閱 PSIRT 與 CSIRT 比較。
FIRST 描述了三種運作模式：
- 分散式：由小型的核心 PSIRT 制定政策並負責協調，各產品團隊中的資安代表則負責研判與修正。這種模式能擴展到龐大且多樣的產品組合，但實際執行工作的人並不向 PSIRT 匯報。
- 集中式：規模較大的 PSIRT，擁有自己的專案管理、研判與修補人員，並向負責產品資安的高階主管匯報。它適合較小的公司或同質性高的產品組合，但隨著產品組合成長，成本也會增加。
- 混合式：兩者的綜合，依公司規模、產品組合與開發策略而定。
無論採用哪種模式，FIRST 都強調獨立性：PSIRT 應向能確認其權限的高階主管匯報，才能對公司自家產品中的漏洞採取客觀立場。
FIRST PSIRT Services Framework
由 FIRST 免費發布、目前為 1.1 版的 PSIRT Services Framework，是多數 PSIRT 建立其服務目錄時所依據的參考文件。它先列出營運基礎（授權、利害關係人、預算、政策），接著是六個服務領域：
| 服務領域 | 涵蓋內容 |
|---|---|
| 1. 利害關係人生態系管理 | 內部利害關係人、發現者社群、下游廠商與客戶、事件溝通、表揚發現者、利害關係人指標 |
| 2. 漏洞發掘 | 受理漏洞通報、找出未經通報的漏洞、監控產品元件中的漏洞、識別新漏洞、發掘指標 |
| 3. 漏洞分級研判與分析 | 確認通報的有效性、與固定合作的發現者協作、重現漏洞 |
| 4. 修補 | 修正版本發布管理計畫、修補、事件處理、發布指標 |
| 5. 漏洞揭露 | 通知、協調、透過資安公告揭露、揭露指標 |
| 6. 培訓與教育 | 培訓 PSIRT、開發與驗證團隊及其他利害關係人；回饋機制 |
其中有一項服務值得特別提出，因為它已占據很大一部分工作量：監控產品元件中的漏洞。它的首要功能是產品元件的資產清冊，也就是每個產品所包含的廠商、產品與版本清單，FIRST 稱之為「快速識別受繼承漏洞影響之產品所不可或缺」。在現代軟體中，這份資產清冊就是軟體物料清單（SBOM）。
PSIRT 流程一覽
有兩項 ISO/IEC 標準描述了這個流程。ISO/IEC 30111:2019 涵蓋廠商如何在內部處理漏洞。ISO/IEC 29147:2018 涵蓋廠商如何接收外部通報並發布修補資訊。30111 應與 29147 搭配使用，而它所描述的各個階段提供了實用的架構：
- 準備。政策、角色、公開的漏洞通報方式、評分方法，以及出貨內容的資產清冊。
- 接收。受理來自研究人員、客戶、合作夥伴與自家測試的通報，以及您所使用元件的資安公告。向發現者確認已收到。
- 驗證。確認漏洞、加以重現、進行評分，並判定所有受影響的產品與版本。同時也記錄未受影響的產品及其原因。
- 修補開發。負責的團隊開發並測試修正或緩解措施。PSIRT 依議定的時程追蹤進度。
- 發布。出貨修正並發布資安公告，並與發現者以及內嵌您產品的下游廠商協調。
- 發布後。留意修正是否出現問題、回覆客戶，並將根本原因回饋到開發流程中。
每個階段該記錄什麼、由誰負責，請參閱漏洞管理生命週期。至於如何決定哪些發現結果優先處理，請參閱漏洞優先順序排定，並參考來自 EPSS 與 CISA KEV 目錄的遭利用訊號。在修正出現之前就遭到利用的漏洞稱為零時差漏洞，PSIRT 會將它當作資安事件處理。從資安公告到修正並出貨的建置，請參閱 CVE 修補。
揭露與資安公告
揭露是客戶看得到的 PSIRT 工作。常見的做法是協同漏洞揭露（CVD）：發現者私下通報、廠商進行修正，雙方在議定的日期公開，並註明發現者的貢獻。這始於一份公開的漏洞揭露政策，說明如何通報、發現者可以期待什麼，以及產品的支援期限。請參閱協同漏洞揭露。
一份好的資安公告，無需客戶打電話詢問就能告訴他們：
- 哪些產品與版本受到影響，哪些沒有；
- CVE ID 與嚴重性評分；
- 已修正的版本，或在尚無修正時的緩解措施；
- 由誰發現。
大型客戶越來越希望取得機器可讀格式的資安公告，以便自動比對自己的資產清冊。CSAF 是 OASIS 的資安公告標準格式，而 VEX 則用於聲明某個產品不受其元件中某個漏洞的影響，為雙方省下一張工單。
PSIRT 指標與成熟度
這個框架在每個服務領域都設有指標。常見的指標包括：
- 依嚴重性區分的通報確認時間、研判時間與修正發布時間；
- 依產品、嚴重性與存在時間區分的未處理漏洞；
- 在您公開的修補目標內完成的修正比例；
- 內部發現與外部通報的漏洞數量比較；
- 已發布的資安公告，以及對資安公告的更正。
FIRST 的配套文件 PSIRT Maturity Document 將各項服務分為三個等級：
- 等級 1，基礎：高階主管支持、利害關係人、預算與政策；接收通報的管道；研判工作流程；有文件記錄的修正；使用 CVE 與 CVSS 並註明發現者的資安公告。
- 等級 2，中階：章程與組織模式、基準指標、具備相依關係對應的產品登錄、正式的修正計畫、通知利害關係人的系統，以及團隊培訓。
- 等級 3，進階：直接與發現者社群互動、監控產品元件中的漏洞、發掘與發布指標、進階事件處理，以及產業協調的應變手冊。
從一個等級到下一個等級，是從被動因應走向主動預防。
如何建立 PSIRT：從小規模開始
- 取得高階主管的書面授權，並具備要求產品團隊進行修正的權限。
-
公開漏洞通報方式：資安聯絡信箱、網頁表單或
security.txt檔案，以及一份簡短的揭露政策。 - 定義研判與評分方式：由誰判定通報是否有效、如何評定嚴重性，以及各嚴重性等級的修補目標。
- 了解您出貨的內容。每個產品版本內含的元件與版本。少了這份資訊，熱門函式庫每出現一個新的 CVE，就會變成好幾天四處詢問工程團隊。
- 為每個產品指定負責人，負責接收發現結果並排定修正時程。
- 撰寫資安公告範本並發布第一份，即使只是小問題。
- 從一開始就衡量幾項時程指標，以便展現改善成果。
PSIRT 團隊頁面從產品資安負責人的角度探討這個角色，而工業領域的廠商可以將這些步驟對應到 IEC 62443-4-1，其安全開發生命週期要求包含缺陷管理與修補程式管理。
期望設有 PSIRT 的法規
設置 PSIRT 過去是成熟廠商的象徵。如今有好幾個框架要求它的產出。NIS2 第 21(2)(e) 條將「漏洞處理與揭露」列為重要實體與關鍵實體必須採取的措施之一。在美國，第 524B 條要求醫療器材製造商提交一份監控、識別與處理上市後漏洞的計畫（包括協同漏洞揭露），並附上 SBOM。而歐盟 Cyber Resilience Act（CRA）則要求製造商向主管機關通報遭積極利用的漏洞與重大資安事件，首先須在 24 小時內提出早期預警；請參閱什麼是 CRA。通報需透過 ENISA 的單一通報平台（Single Reporting Platform）提交。
PSIRT 需要的工具
| 需求 | 原因 |
|---|---|
| 通報受理與案件追蹤 | 每份通報都有負責人、狀態與時程 |
| 出貨內容的資產清冊 | 每個產品版本都有一份準確的 SBOM，包括遞移相依套件 |
| 持續監控 | 新的 CVE 會與每個已發布版本中的元件比對，而不只是下一個版本 |
| 分級研判與分派 | 發現結果會連同採取行動所需的脈絡，送到負責修正的團隊 |
| 受影響與未受影響聲明 | VEX 記錄漏洞影響哪些產品，以及其他產品為何未受影響 |
| 資安公告發布 | 人類可讀的資安公告，以及提供給大型客戶的機器可讀 CSAF |
很少有產品能涵蓋每一列；PSIRT 工具比較說明哪個工具負責哪些部分。資產清冊是多數 PSIRT 最頭痛的地方。事後讀取鎖定檔的掃描工具，會列出從未出貨的開發用相依套件，卻遺漏建置在套件管理工具之外下載的套件，因此「我們是否受到影響？」的答案一開始就充滿疑問。
CRACI 直接從建置本身取得這份資產清冊。它在自己的執行器上執行 GitHub Actions 建置，並記錄每個作業實際擷取的套件，包括遞移相依套件、從 CI 快取還原的套件，以及任何鎖定檔都沒有列出的相依套件。每份 SBOM 都附有完整性狀態，並可匯出為 CycloneDX 或 SPDX。受監控的 SBOM 會在新漏洞發布時持續重新評估，建置歷史會顯示哪些過去的建置含有具漏洞的相依套件，而資產清冊檢視則顯示哪些軟體版本部署到了哪些產品。資安團隊會研判發現結果，並將其送交負責修正的團隊，而 CRACI 也支援 VEX。請參閱漏洞追蹤與適用於 PSIRT 團隊的 CRACI。
PSIRT：常見問題
PSIRT 是什麼的縮寫？
PSIRT 是 Product Security Incident Response Team（產品資安事件應變小組）的縮寫。FIRST 將它定義為組織內專注於識別、評估與處置該組織所生產或銷售之產品、方案、解決方案、元件與服務中資安漏洞相關風險的實體。
PSIRT 與 CSIRT 有何不同？
PSIRT 處理公司出貨給客戶之產品中的漏洞。企業的 CSIRT 則處理公司自身系統與網路中的資安事件。兩者會相互合作，例如當建置基礎架構遭入侵而影響到產品時。請參閱 PSIRT 與 CSIRT 比較。
什麼是 FIRST PSIRT Services Framework？
由 FIRST（Forum of Incident Response and Security Teams，事件應變與資安團隊論壇）提供的免費指南，列出 PSIRT 可能提供的服務。1.1 版將這些服務分為六個服務領域：利害關係人生態系管理、漏洞發掘、漏洞分級研判與分析、修補、漏洞揭露，以及培訓與教育。另有一份配套的成熟度文件，將這些服務分為三個等級。
哪些標準描述了 PSIRT 流程？
ISO/IEC 30111:2019 涵蓋廠商如何在內部處理漏洞通報，從準備、接收，到驗證、修補開發、發布與發布後。ISO/IEC 29147:2018 涵蓋與外部的介面：接收通報與發布修補資訊。30111 應與 29147 搭配使用。IEC 62443-4-1 則為工業自動化產品訂定安全開發生命週期要求，包括缺陷管理與修補程式管理。
小公司需要 PSIRT 嗎？
它需要的是這項職能，而不一定是一個部門。FIRST 的成熟度文件從高階主管支持、明確的利害關係人、預算、幾項政策、公開的漏洞通報方式、研判工作流程、有文件記錄的修正，以及註明發現者的資安公告開始。一兩位具備書面授權的人員就能運作。