搜索

[4187] 2017-08-18_美国发布“CERT漏洞协同披露指南”

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-08-18_美国发布“CERT漏洞协同披露指南” 美 国 发 布 “ C E R T 漏 洞 协 同 披 露 指 南 ” 原 创   E 安 全 编 辑 部   E 安 全   2 0 1 7 - 0 8 - 1 8 E 安 全 8 月 1 8 日 讯   美 国 卡 内 基 梅 隆 大 学 软 件 工 程 研 究 所 （   S o f t w a r e   E n g i n e e r i n g   I n s t i t u t e ， 简 称 S E I ） 是 美 国 国 防 部 资 助 的 研 发 中 心 ， 由 卡 内 基 梅 隆 大 学 运 营 。 S E I 提 供 技 术 推 进 软 件 工 程 实 践 ， 与 组 织 机 构 协 作 显 著 改 进 软 件 工 程 能 力 。 软 件 工 程 研 究 所 C E R T 网 络 安 全 部 是 全 球 领 先 信 任 机 构 ， 致 力 于 改 进 计 算 机 系 统 、 网 络 以 及 美 国 网 络 安 全 行 业 资 产 的 安 全 与 弹 性 。 当 地 时 间 8 月 1 5 日 ， 美 国 卡 内 基 梅 隆 大 学 软 件 工 程 研 究 所 C E R T 部 门 发 布   “ C E R T 漏 洞 协 同 披 露 指 南 ” （ T h e   C E R T   G u i d e   t o C o o r d i n a t e d   V u l n e r a b i l i t y   D i s c l o s u r e ） 。 “ 漏 洞 协 同 披 露 ” （ C o o r d i n a t e d   V u l n e r a b i l i t y   D i s c l o s u r e ， 简 称 C V D ） 是 缓 解 信 息 安 全 漏 洞 ， 削 弱 对 手 优 势 的 过 程 。 C V D 是 一 个 过 程 ， 而 非 事 件 。 发 布 补 丁 或 文 件 是 C V D 过 程 中 的 重 要 事 件 。 C V D 参 与 对 象 可 能 会 反 复 提 出 以 下 问 题 ： 得 知 产 品 存 在 漏 洞 ， 应 采 取 哪 些 行 动 予 以 响 应 ？ 其 它 哪 些 人 需 要 了 解 事 件 ？ 这 些 人 需 了 解 事 件 的 最 佳 时 机 ？ 只 有 当 这 些 问 题 迎 刃 而 解 ， 无 人 存 在 疑 问 时 ， C V D 过 程 才 算 结 束 。 C V D 与 漏 洞 管 理 （ V u l n e r a b i l i t y   M a n a g e m e n t ， 简 称 V M ） 不 同 ， 不 可 混 为 一 谈 。 V M 包 含 C V D 的 下 游 过 程 ， 一 旦 漏 洞 被 披 露 ，
部 署 人 员 必 须 采 取 行 动 予 以 响 应 。 C V D 原 则 如 下 ： 原 则 如 下 ： •   降 低 损 害 — — 发 布 漏 洞 信 息 降 低 潜 在 损 害 ； 使 用 漏 洞 缓 解 技 术 ； 减 少 陷 入 风 险 的 时 间 ； 发 布 优 质 补 丁 ； 自 动 识 别 易 受 攻 击 的 数 据 ， 自 动 部 署 补 丁 。 •   假 设 会 有 人 报 告 漏 洞 — — 假 设 有 人 已 花 费 时 间 和 精 力 联 系 厂 商 或 协 调 者 报 告 问 题 。 •   避 免 措 手 不 及 — — 措 手 不 及 会 增 加 漏 洞 披 露 带 来 的 消 极 后 果 ， 应 尽 量 避 免 。 •   激 励 — — 奖 励 通 常 比 惩 罚 更 有 效 。 由 于 激 励 会 加 强 安 全 研 究 人 员 与 组 织 机 构 之 间 的 未 来 合 作 关 系 ， 因 此 激 励 较 为 重 要 。 •   道 德 考 量 — — C V D 过 程 可 采 用 技 术 和 媒 体 专 业 团 体 的 大 量 道 德 准 则 。 •   改 进 过 程 — — C V D 过 程 参 与 者 应 吸 取 经 验 ， 并 响 应 改 进 过 程 。 C V D 还 能 为 组 织 机 构 的 软 件 开 发 生 命 周 期 （ S D L ） 提 供 重 要 反 馈 。 •   C V D 苛 刻 — — 漏 洞 披 露 是 多 面 问 题 ， 似 乎 没 有 “ 正 确 ” 答 案 ， 只 有 “ 更 好 ” 或 “ 更 糟 ” 的 解 决 方 案 。 C V D 过 程 包 含 的 角 色 过 程 包 含 的 角 色 C V D 以 发 现 漏 洞 开 始 ， 部 署 补 丁 或 缓 解 措 施 结 束 。 因 此 ， C V D 过 程 涉 及 不 同 的 角 色 和 利 益 相 关 者 •   发 现 者 ： 发 现 漏 洞 的 个 人 或 组 织 机 构 。 •   报 告 者 ： 向 厂 商 报 告 漏 洞 的 个 人 或 组 织 机 构 。 •   厂 商 ： 生 产 或 维 护 漏 洞 产 品 的 个 人 或 组 织 机 构 。 •   部 署 者 ： 必 须 部 署 补 丁 或 采 取 其 它 补 救 措 施 的 个 人 或 组 织 机 构 。 •   协 调 者 ： 促 进 协 同 响 应 过 程 的 个 人 或 组 织 机 构 。 C V D 阶 段 阶 段 C V D 过 程 可 广 泛 定 义 为 阶 段 。 虽 然 这 些 阶 段 有 时 可 能 会 出 现 次 序 颠 倒 的 情 况 ， 甚 至 会 在 处 理 单 个 漏 洞 案 例 中 重 复 出 现 （ 例 如 ， 接 收 者 可 能 需 要 独 立 验 证 报 告 ） ， 但 常 见 顺 序 如 下 ： •   发 现 ： 发 现 产 品 中 存 在 的 漏 洞 。 •   报 告 ： 产 品 厂 商 或 第 三 方 协 调 员 收 到 漏 洞 报 告 。 •   验 证 并 归 类 ： 报 告 接 收 人 验 证 报 告 ， 确 保 准 确 度 ， 以 采 取 进 一 步 行 动 之 前 确 定 是 否 优 先 处 理 。
•   修 复 ： 开 发 修 复 计 划 （ 软 件 补 丁 ， 也 可 能 是 其 它 机 制 ） 并 测 试 。 •   公 众 意 识 ： 将 漏 洞 和 修 复 计 划 披 露 给 公 众 。 •   部 署 ： 将 修 复 计 划 应 用 到 已 部 署 的 系 统 中 。 C V D 过 程 差 异 过 程 差 异 C V D 过 程 会 因 参 与 者 、 时 间 推 移 和 环 境 不 同 而 存 在 差 异 ： •   选 择 披 露 政 策 ： 由 于 业 务 需 求 各 异 ， 披 露 政 策 可 能 需 要 适 用 于 不 同 的 组 织 机 构 、 行 业 、 产 品 ， 例 如 补 丁 分 发 或 安 全 风 险 。 •   多 方 协 调 ： 一 个 发 现 者 与 一 个 厂 商 之 间 的 协 调 相 对 直 接 ， 但 有 些 案 例 涉 及 多 名 发 现 者 、 或 复 杂 的 供 应 链 通 常 需 要 更 多 关 注 。 •   协 同 与 同 步 ： 不 同 的 组 织 机 构 的 工 作 步 调 不 同 ， 这 会 给 同 步 漏 洞 信 息 和 补 丁 增 加 难 度 。 •   协 同 范 围 ： C V D 参 与 者 必 须 决 定 协 同 过 程 范 围 ， 例 如 最 好 将 关 键 基 础 设 施 漏 洞 从 头 到 尾 协 同 披 露 给 系 统 部 署 者 ， 然 而 ， 对 于 移 动 应 用 程 序 的 漏 洞 ， 也 许 通 知 了 开 发 人 员 自 动 更 新 过 程 就 足 够 了 。 C E R T 协 调 中 心 资 深 漏 洞 分 析 师 艾 伦 豪 斯 霍 尔 德 表 示 ， 移 动 设 备 的 数 量 已 经 超 出 传 统 计 算 机 的 数 量 ， 而 物 联 网 将 在 未 来 几 年 赶 超 移 动 设 备 数 量 。 随 着 漏 洞 发 现 漏 洞 和 技 术 为 了 满 足 现 实 不 断 发 展 ， 因 此 协 调 和 披 露 的 工 具 与 过 程 也 必 须 满 足 现 实 要 求 。 由 于 硬 件 系 统 可 能 会 主 宰 未 来 的 互 联 网 ， 因 此 必 须 重 新 评 估 许 多 有 关 披 露 时 间 、 协 调 渠 道 、 开 发 周 期 、 扫 描 、 打 补 丁 等 漏 洞 处 理 过 程 的 设 想 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 8 6 5 1 7 4 3 7 2 . s h t m l 相 关 阅 读 ： 美 国 防 部 的 “ V o l t r o n ” 计 划 ： 利 用 A I 挖 掘 军 事 软 件 漏 洞 P o s t g r e S Q L 发 布 三 大 漏 洞 补 丁 [ 附 链 接 ] 白 帽 黑 客 在 美 国 空 军 网 络 中 发 现 2 0 7 个 漏 洞 美 国 首 个 开 放 的 政 府 漏 洞 悬 赏 计 划 对 象 ： G S A   F e d e r a l i s t . N E T 编 码 库 存 在 严 重 的 反 序 列 化 漏 洞 西 门 子 医 疗 扫 描 仪 存 在 多 项 漏 洞 可 被 远 程 利 用
▼ 点 击 “ 阅 读 原 文 ”   下 载 E 安 全 A P P 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理