PSIRT 與 CSIRT：產品漏洞與自家 IT 的資安事件

什麼是 CSIRT？

CSIRT（Computer Security Incident Response Team，電腦資安事件應變小組）是為一群特定的人員或組織處理資安事件的團隊，這群對象稱為其服務對象（constituency）。FIRST 的 CSIRT Services Framework 將 CSIRT 定義為一個組織單位（可以是虛擬的）或一種能力，為其服務對象提供「預防、偵測、處理與回應電腦資安事件」的服務。

服務對象決定了 CSIRT 的類型：

• 企業 CSIRT：單一公司自家的網路、系統、帳號與資料。
• 產業 CSIRT：同一產業中的一群組織，例如金融或能源。
• 國家級 CSIRT：整個國家，通常也負責跨國協調。
• 廠商團隊：一家公司的客戶，處理其產品中的問題。這就是 PSIRT。

CSIRT Services Framework（2.1 版）將 CSIRT 的服務分為五個領域：資訊安全事件（event）管理、資訊安全事故（incident）管理、漏洞管理、態勢感知，以及知識轉移。

什麼是 PSIRT？

PSIRT（Product Security Incident Response Team，產品資安事件應變小組）用 FIRST 的話來說，是組織內專注於「識別、評估與處置」該組織所製造或銷售「產品中資安漏洞相關風險」的單位。它負責接收漏洞通報、找出受影響的產品與版本、促成修正的建置與交付，並透過資安公告通知客戶。

它的框架 PSIRT Services Framework（1.1 版）包含六個服務領域：利害關係人生態系管理、漏洞發現、漏洞分級研判與分析、修補、漏洞揭露，以及訓練與教育。

關鍵差異

差異在於誰的系統面臨風險。CSIRT 保護的是組織本身：資安事件發生在您的環境中，由您加以圍堵。PSIRT 保護的是您的客戶：漏洞存在於您的產品中，在客戶的環境裡執行，而您無法替他們修補。您只能交付修正，並告知他們安裝。

FIRST 說得很直白：在同一組織內，PSIRT 與其他事件應變團隊之間「關鍵的區別在於對產品的關注」，而企業 CSIRT 一般則專注於構成組織自身基礎架構的系統與網路。

PSIRT 與 CSIRT 比較

	企業 CSIRT	PSIRT
範圍	組織自身網路、系統與資料中的資安事件	組織所交付產品中的漏洞
服務對象	員工與內部系統	產品的客戶與使用者
典型輸入	警示、日誌、使用者回報、威脅情資	研究人員的通報、第三方元件的資安公告、內部測試、協調機構
典型產出	已圍堵的資安事件、已復原的系統、事後檢討	已修正的版本、資安公告、CVE 紀錄、客戶通知
計時起點	偵測到資安事件時	漏洞被通報或公開時
典型負責人	資安長或 IT 資安部門	產品資安或工程部門
FIRST 框架	CSIRT Services Framework 2.1	PSIRT Services Framework 1.1
標準	ISO/IEC 27035（事件管理）	ISO/IEC 29147（漏洞揭露）、ISO/IEC 30111（漏洞處理）

兩個框架都強調，這些團隊並非各自為政。PSIRT 框架將 CSIRT（包括國家級 CSIRT）描述為 PSIRT 應該建立關係的利害關係人，因為廠商往往是透過它們及早得知漏洞。

CERT 與 CSIRT

第一個這類團隊是 CERT Coordination Center。根據 SEI 的說法，它源自 1988 年對 Morris 蠕蟲的應變，由 DARPA 出資，設於卡內基美隆大學的 Software Engineering Institute。CERT 是卡內基美隆大學在美國註冊的標章，SEI 授權美國的團隊在名稱中使用它。在美國以外，它已不再授權此標章。

因此，「CERT」與「CSIRT」描述的是同一類團隊。CSIRT 是中性的用語，FIRST 與歐盟法規都使用它；許多團隊，尤其是國家級團隊，名稱中仍保留 CERT。

國家級 CSIRT 與協調機構

有幾個組織對產品團隊格外重要，因為它們位於漏洞發現者、廠商與使用者之間：

• CERT/CC 自 1988 年起就協調軟體漏洞的揭露，並為建立自有流程的組織發布協同漏洞揭露指南。
• CISA 在美國協調通報者、製造商與使用者之間的揭露，而對於毫無回應的廠商，最早可在首次嘗試聯絡後 45 天 公開揭露，無論是否已有修正。
• 歐盟國家級 CSIRT。NIS2 要求每個會員國指定或設立一個或多個 CSIRT，這些 CSIRT 與 CERT-EU 共同在 CSIRTs Network 中合作。歐盟資安機構 ENISA 擔任其秘書處。

國家級 CSIRT 在漏洞通報中也有正式的角色。根據 NIS2 第 12 條，每個會員國指定一個 CSIRT 作為協同漏洞揭露的協調者：它是漏洞通報者與製造商之間值得信賴的中介，能識別相關廠商、協助通報者，並協商揭露時程。Cyber Resilience Act（CRA）也建立在相同的角色上：製造商須將其產品中遭積極利用的漏洞，同時通報給被指定為協調者的 CSIRT 與 ENISA。

PSIRT 與 CSIRT 如何協同合作

假設有一個正遭到利用的開源元件，同時用於您的產品與內部系統。兩個團隊收到同一份資安公告，各有各的工作：

1. CSIRT：在內部伺服器與筆電上找出該元件，檢查日誌是否有遭利用的跡象，進行修補或隔離，若有任何系統遭入侵，則啟動事件處理。
2. PSIRT：找出哪些產品、版本與建置包含該元件，評估產品是否受到影響，交付已修正的版本並發布資安公告，同時針對未受影響的版本提供 VEX 聲明。
3. 雙方：共享入侵指標與時間軸。如果 CSIRT 發現攻擊已觸及建置系統，PSIRT 就必須檢查是否有任何已交付的版本遭到竄改，內部資安事件也就變成了產品資安事件。供應鏈攻擊通常會跨越這條界線。

拖慢 PSIRT 的是第二步。CSIRT 可以掃描自己的環境，PSIRT 卻必須為已在客戶手中的軟體負責，這意味著必須知道它交付的每個版本中包含了什麼。漏洞管理生命週期與協同漏洞揭露頁面說明了 PSIRT 走向修正的其餘路徑。

CSIRT 與 SOC

資安監控中心（SOC）負責監看：全天候監控警示與日誌、過濾雜訊，並將看似真實的事件向上通報。CSIRT 負責應變：接手已確認的資安事件，加以圍堵、調查，與法務及公關部門協調，並主導復原。在較小的組織中，SOC 與 CSIRT 往往是同一批人，而 SEI 指出，一個團隊叫做 CSIRT、SOC 或其他名稱，遠不如它執行哪些職能來得重要。

兩者都無法取代 PSIRT。SOC 監控的是您的環境，看不到客戶所使用裝置中的漏洞。

兩者都需要嗎？

如果您製造軟體或裝置，同時也營運自家的 IT，您就需要這兩種職能，但不需要兩個部門。小型廠商通常從一位資安負責人開始，由他負責公司的事件應變，並為產品制定書面的 PSIRT 流程，再由工程團隊待命處理修正。必須分開的是流程：內部資安事件與產品漏洞，有不同的負責人、不同的期限，也要通知不同的對象。

CRACI 的定位

CRACI 支援 PSIRT 這一側：掌握您所交付軟體中的內容。它在自己的執行器上執行您的 GitHub Actions 建置，記錄每個作業實際取得的套件，包括遞移相依套件與從快取還原的套件，並將 SBOM 匯出為 CycloneDX 或 SPDX。

受監控的 SBOM 會持續重新評估，建置歷程則會顯示哪些過去的建置包含有漏洞的相依套件。資產清冊檢視會顯示哪些版本部署到哪些產品，資安團隊則會分級研判檢測結果，並將其指派給負責修正的團隊。請參閱漏洞追蹤與為 PSIRT 打造的 CRACI。

PSIRT 與 CSIRT：常見問題

什麼是 CSIRT？

CSIRT 是電腦資安事件應變小組（Computer Security Incident Response Team）。FIRST 將其定義為一個組織單位（可以是虛擬的）或一種能力，為特定的服務對象提供預防、偵測、處理與回應電腦資安事件的服務與支援。服務對象可以是一家公司、一個產業或整個國家。

PSIRT 與 CSIRT 有什麼不同？

PSIRT 處理公司所銷售產品中、會讓客戶曝險的漏洞。企業 CSIRT 則處理公司自身系統與網路中的資安事件。FIRST 認為對產品的關注是兩者之間的關鍵區別。

CERT 和 CSIRT 一樣嗎？

就職能而言，是的。CERT 是卡內基美隆大學在美國註冊的標章，其 CERT Coordination Center 是第一個這類團隊，於 1988 年 Morris 蠕蟲事件後成立。CSIRT 則是通用名稱。許多國家級團隊的名稱中使用 CERT，而歐盟在其法規中使用 CSIRT。

SOC 與 CSIRT 有什麼不同？

SOC 全天候負責監控與偵測：監看警示與日誌，並將看似真實的事件向上通報。CSIRT 則負責已確認資安事件的應變：圍堵、調查、協調與復原。在許多組織中，兩者有所重疊或共用人員，而 SEI 指出，重要的是團隊執行哪些職能，而不是它叫什麼名字。

我們同時需要 PSIRT 與 CSIRT 嗎？

如果您銷售軟體或裝置，同時也營運自家的 IT，您就需要這兩種職能，但不一定需要兩個部門。在小公司中，往往由同樣幾個人兼顧兩者，但採用不同的流程：一個處理您環境中的資安事件，另一個處理您所交付產品中的漏洞。

國家級 CSIRT 做些什麼？

它為全國的服務對象處理資安事件、分享警訊，並進行跨國協調。根據 NIS2，每個歐盟會員國至少指定一個 CSIRT，其中一個擔任協同漏洞揭露的協調者：作為漏洞通報者與製造商之間值得信賴的中介。