Sparčiai augant kibernetinių grėsmių mastui, spragų paieška ir atsakingas jų atskleidimas tampa neatsiejama šiuolaikinės kibernetinio saugumo ekosistemos dalimi. Naujos tinklų ir informacinių sistemų (TIS) spragos aptinkamos beveik kasdien, o jas pirmieji gali pastebėti ne tik etiški įsilaužėliai ar IT profesionalai, bet ir priešiškų valstybių tarnybos ar pelno siekiantys piktavaliai. Todėl itin svarbu užtikrinti, kad spragos būtų nustatomos, vertinamos ir atskleidžiamos teisėtai, atsakingai ir koordinuotai.
Kas yra spraga?
Spraga šiame kontekste suprantama kaip TIS ar jos komponento trūkumas, klaida ar nesaugi konfigūracija, kuri gali būti išnaudota kenkėjiškais tikslais ir pažeisti duomenų konfidencialumą, vientisumą ar prieinamumą.
NKSC vaidmuo spragų atskleidimo procese
Nacionalinis kibernetinio saugumo centras (NKSC), kaip kibernetinio saugumo politikos įgyvendintojas Lietuvoje, atlieka svarbų koordinuojantį vaidmenį spragų atskleidimo procese. NKSC nuolat stebi ir analizuoja informaciją apie kibernetines grėsmes, TIS spragas ir incidentus, vertina nustatytų spragų paplitimą, identifikuoja paveiktus subjektus ir užtikrina saugų informacijos apsikeitimą tarp pranešėjo ir sistemos valdytojo.
Be to, NKSC teikia ankstyvuosius perspėjimus, keičiasi aktualia informacija su suinteresuotais subjektais ir, esant poreikiui, padeda įgyvendinti spragų šalinimo bei taikomų saugumo priemonių vertinimo veiksmus.
Atsakingos spragų paieškos principai
Spragų paieška privalo būti vykdoma atsakingai, laikantis Kibernetinio saugumo įstatymo 25 straipsnio, Nacionalinės tinklų ir informacinių sistemų spragų atskleidimo tvarkos aprašo (NTISSA) bei subjekto paskelbtos CVD politikos. Pagrindiniai principai apima:
- ● sistemų veikimo netrikdymą ir draudimą vykdyti DoS ar panašias atakas;
- ● galimo poveikio minimizavimą ir testavimo nutraukimą nustačius spragą;
- ● duomenų apsaugos užtikrinimą ir perteklinių duomenų neapdorojimą;
- ● nepiktnaudžiavimą gauta informacija ir neteisėtos prieigos vengimą;
- ● konfidencialumo išlaikymą ir informacijos neviešinimą;
- ● pareigą pranešti apie spragą ne vėliau kaip per 24 valandas;
- ● skaidrumą ir bendradarbiavimą su subjektais bei NKSC.
Šių reikalavimų nesilaikymas gali lemti teisinę atsakomybę.
Svarbios ir nesvarbios spragos
Pranešti reikia tik apie tas spragas, kurios turi realų ir pagrįstą poveikį TIS ar jose saugomų duomenų saugumui. Svarbiomis laikomos spragos, leidžiančios apeiti autentifikaciją ar autorizaciją, pasiekti ar keisti neviešus duomenis, vykdyti neautorizuotą kodą ar atsirandančios dėl reikšmingų konfigūracijos klaidų.
Tuo tarpu teorinės, realaus poveikio neturinčios spragos, DoS pažeidžiamumai, pasenusių naršyklių XSS ar „self-XSS“ atvejai nėra laikomi svarbiais ir jų pranešti nebūtina.
Spragų paieškos metodai
Rekomenduojama taikyti pasyvius arba rankinius testavimo metodus, vengti agresyvių automatizuotų įrankių ir masinio „fuzzing“. Visi veiksmai turi būti dokumentuojami, o spragos – pagrįstos aiškiais įrodymais, nepažeidžiant TIS veikimo.
Spragos pranešimo ir viešo atskleidimo tvarka
Spraga gali būti pranešta tiesiogiai subjektui pagal jo CVD politiką arba NKSC – el. paštu ar užpildant specialią formą. Galimas ir anoniminis pranešimas, tačiau tokiu atveju pranešėjas privalo saugoti visus susijusius duomenis.
Viešas spragos atskleidimas leidžiamas tik laikantis NTISSA ir koordinuojant veiksmus su NKSC. Nekoordinuotas viešinimas vertinamas kaip neatsakingas elgesys, galintis sukelti saugumo ir teisinių pasekmių.
Apibendrinimas
Atsakingas spragų atskleidimas yra esminė valstybės ir organizacijų kibernetinio saugumo stiprinimo dalis. Tik laikantis aiškių teisinių, techninių ir etinių principų galima užtikrinti, kad aptiktos spragos prisidės prie saugumo didinimo, o ne taps papildomu grėsmių šaltiniu.
Turite klausimų, ar norite sužinoti daugiau apie atsakingą spragų atskleidimą? Susisiekime.