Was sind Programme zur Offenlegung von Schwachstellen?

Vulnerability Disclosure Programs (VDPs) sind strukturierte Frameworks oder Prozesse, mit denen Organisationen Sicherheitslücken dokumentieren, einreichen und an alle anderen relevanten Organisationen melden können. Bereit und in der Lage zu sein, Schwachstellen zu beheben, bevor sie zu Problemen werden, ist ein wesentlicher Bestandteil jeder Cybersicherheitsstrategie.

Obwohl VDPs derzeit nicht gesetzlich vorgeschrieben sind, fördert die US-Regierung Programme zur Offenlegung von Schwachstellen als proaktiven Ansatz für die Cybersicherheit. Ein erfolgreiches VDP verwaltet mögliche Risiken über eine Angriffsfläche hinweg und schützt Ihr Unternehmen und Ihre Daten vor Vorfällen, bevor sie auftreten.

Erfahren Sie, wie UpGuard Unternehmen dabei hilft, Schwachstellen und Risiken zu erkennen >

Was ist ein Programm zur Offenlegung von Schwachstellen?

Eine Website oder Softwareanwendung kann Tausende von Codezeilen enthalten, die Fehler enthalten können, die nicht intern erkannt wurden, selbst wenn sie während des Softwareentwicklungsprozesses routinemäßig getestet wurden. Dadurch entstehen potenzielle Exploits, die Hacker oder Cyberkriminelle ausnutzen können.

Ein Programm zur Offenlegung von Schwachstellen ist ein einheitlicher Prozess, bei dem Sicherheitsforscher, Endbenutzer und die gesamte Cybersicherheits-Community Sicherheitslücken/Schwachstellen in den öffentlich zugänglichen, webseitigen Assets eines Unternehmens melden. Diese Methodik umfasst freiwillig eingereichte Schwachstellenberichte, die Einstufung von Schwachstellen und die Überwachung von Abhilfemaßnahmen.

Wenn Sicherheitslücken von Sicherheitsforschern identifiziert werden, kann Ihr Unternehmen diese Bereiche bewerten und korrigieren, bevor sie zu Gefährdungen werden. VDPs fungieren als "Sicherheitsnetz" oder "Nachbarschaftsüberwachungsprogramm", das Ihrem Unternehmen die Möglichkeit bietet, Schwachstellen zu beheben, bevor ein Bedrohungsakteur sie ausnutzt. Jedes VDP ist etwas anders und wird oft an die individuellen Ressourcen eines Unternehmens, spezifische Vorschriften oder Anforderungen und das Bedrohungsprofil angepasst.

Programme zur Offenlegung von Schwachstellen vs. Bug-Bounty-Programme

Der Hauptunterschied zwischen VDPs und Bug-Bounty-Programmen besteht darin, dass VDPs keine klaren monetären Anreize bieten, d.h. "Bounties" für gemeldete Schwachstellen. Stattdessen bietet ein VDP lediglich einen sicheren Kanal, um diese Schwachstellen zu melden, und alle Berichte werden nach Ermessen von externen Parteien wie Sicherheitsforschern, Partnern usw. eingereicht.

Es ist das Äquivalent zu "etwas sehen, etwas sagen" für Außenstehende. Wenn ein VDP jedoch erfolgreich ist und Vorteile bietet, kann ein Unternehmen ein formelles Bug-Bounty-Programm starten, um seine Sicherheitspräsenz weiter zu stärken. Selbst wenn ein Unternehmen nur ein VDP verwendet, bietet es dennoch einen enormen Sicherheitszuwachs.

Warum brauchen Unternehmen ein Programm zur freiwilligen Offenlegung?

Im Jahr 2021 hat die Cybersecurity and Infrastructure Security Agency (CISA) eine verbindliche operative Richtlinie (BOD 20-01) erlassen, die Bundesbehörden verpflichtet, Richtlinien festzulegen, die es der Öffentlichkeit ermöglichen, Beiträge zu leisten und Offenlegungen von Schwachstellen zu melden. Schwachstellen in der Cybersicherheit sind unvermeidlich, daher ist es wichtig, aggressiv proaktiv zu sein, um Frameworks zu schützen und Datenschutzverletzungen zu verhindern. Programme zur Offenlegung von Schwachstellen bieten einen Prozess für die aktive Suche, Identifizierung und Behebung von Schwachstellen, der Stakeholdern und Kunden Sicherheit gibt.

Nachweis der Sicherheitsreife

Wenn ein Unternehmen über ein einheitliches VDP verfügt, zeigt dies, dass es sich nicht nur für den Schutz seiner eigenen digitalen Assets und Informationssysteme einsetzt, sondern auch für den Schutz aller Daten, die es seinen Kunden zur Verfügung stellt. Sie wissen, dass Cyberbedrohungen weit verbreitet sind und sich ständig ändern, und dass die Kontaktaufnahme mit der globalen Gemeinschaft ethischer Hacker, um Feedback zu geben, nur ihren persönlichen Sicherheitsrahmen verbessert. VDPs tragen auch dazu bei, Vertrauen aus der Perspektive des Endnutzers und externer Stakeholder aufzubauen.

Erfahren Sie mehr über Vulnerability Management >

Formalisierung von Sicherheitsfeedback und Zusammenarbeit

Ein Programm zur Offenlegung von Schwachstellen bietet einen Prozess für eine positive und produktive Zusammenarbeit mit der gesamten Cybersicherheits-Community. Es gibt einen Schritt-für-Schritt-Prozess, um Sicherheitsforscher und Organisationen gemeinsam zu teilen und Schwachstellen zu identifizieren, um die Zusammenarbeit zwischen beiden Parteien zu etablieren. In gutem Glauben können Sicherheitsforscher und Hacker Unternehmen dabei unterstützen, die besten und sichersten öffentlich zugänglichen, auf das Internet zugreifenden Assets zu erstellen.

Erfüllen Sie Compliance-Anforderungen

Obwohl es nicht formell reguliert ist, fördert die Regierung der Vereinigten Staaten VDPs als eine der Best Practices für Cybersicherheitsstrategie und -management. Diesem Beispiel folgend empfehlen das NIST und das DOJ auch VDPs als zusätzliche Maßnahmen zur konsequenten Überwachung von Risiken und Schwachstellen in allen Organisationen.

Wer profitiert von einem Programm zur Offenlegung von Schwachstellen?

VPDs bieten eine zusätzliche Ebene der Cybersicherheit, indem sie bestehende Schwachstellen identifizieren und Risiken angehen, bevor diese zu Problemen werden. Die Vorteile eines umfassenden VDP gehen jedoch über die Primärprävention für verschiedene Unternehmen, die gesamte Cybersicherheits-Community, Endbenutzer und darüber hinaus hinaus.

Organisationen

Cybersicherheit hat für Unternehmen natürlich Priorität, aber VDPs ermöglichen es ihnen, noch einen Schritt weiter zu gehen. Interne Sicherheitsteams reduzieren regelmäßig das Risiko durch ihre etablierten Protokolle und Tests, aber sie haben eine Grenze. Um Zeitpläne, Kosten und Verfügbarkeit in Einklang zu bringen, können interne Sicherheitsteams nur eine begrenzte Anzahl von Aufgaben erledigen. Ein VDP überwacht dieses Sicherheitsrisiko über den typischen Entwicklungszyklus von Standardsoftware hinaus und beleuchtet Schwachstellen, die durch die Maschen schlüpfen können.

Landesregierungen

Viele Regierungsbehörden in den Vereinigten Staaten haben VDPs implementiert, um Schwachstellen zu identifizieren und rechtzeitig zu beheben. Im Jahr 2016 führte das Verteidigungsministerium (DOD) ein Pilotprogramm mit dem Namen "Hack the Pentagon" durch, das es qualifizierten Teilnehmern ermöglichte, Schwachstellen auf ihren öffentlichen Webseiten zu identifizieren. Diesem Beispiel folgten andere Bundesbehörden und Regierungsbehörden. Cybersicherheit ist für diese öffentlich zugänglichen Oberflächen von entscheidender Bedeutung, da sie Probleme erkennt, bevor sie auftreten, und Datenschutzverletzungen oder potenzielle Ausfallzeiten eliminiert.

Endanwender und Kunden

Endbenutzer und Kunden möchten immer sicherstellen, dass die Unternehmen, mit denen sie zusammenarbeiten, über solide Cybersicherheitsstrategien verfügen. Aber oft kann es schwierig sein, diese Strategien einer Person mit einem begrenzten Verständnis von Cybersicherheitspraktiken zu erklären. Ein Programm zur Offenlegung von Schwachstellen ermöglicht es Unternehmen, ihre Priorität auf Sicherheit öffentlich zu präsentieren, und zwar auf eine Weise, die einfach zu erkennen, zu verstehen und zu verifizieren ist - und das alles bei gleichzeitiger Beseitigung von Schwachstellen und Risikoreduzierung.

Sicherheitsforscher

Einer der vielleicht einzigartigsten Nutznießer von VDPs sind Sicherheitsforscher. Während jeder innerhalb eines VDP Berichte einreichen kann, werden diese Programme in der Regel von geschulten Sicherheitsforschern, ethischen Hackern oder anderen Personen genutzt, die nach Möglichkeiten suchen, ihre Fähigkeiten zu üben.

Diese Personen arbeiten in gutem Glauben, was bedeutet, dass sie keine Berichte einreichen, um zu zeigen, wie viele Sicherheitslücken ein Unternehmen hat, sondern zusammenarbeiten, um sicherzustellen, dass das Unternehmen sicher bleibt, während sie gleichzeitig ihre eigenen Fähigkeiten erweitern. Die Beteiligung von Sicherheitsforschern dreht sich um Bildung, persönliches Ansehen und Altruismus.

Arten von Richtlinien zur Offenlegung von Schwachstellen

Anfang dieses Jahres forderte die Biden-Administration eine koordinierte Offenlegung von Schwachstellen über alle Technologietypen und Sektoren hinweg, wobei der Schwerpunkt auf der Sammlung und dem Austausch von Informationen über Fehler in Software, Hardware und Systemen im ganzen Land liegt. Diese Offenlegungen unterscheiden sich je nach Grad der Transparenz und berücksichtigen oft auch, wie ein Unternehmen mit dem Schwachstellenmanagement umgeht. Schwachstellenmanagement bezieht sich auf einen risikobasierten Ansatz, der Schwachstellen und Fehlkonfigurationen identifiziert, priorisiert und behebt. Die folgenden Arten von Offenlegungen von Schwachstellen sind unter den vorhandenen VDPs am häufigsten und können für bestimmte Organisationen basierend auf deren Anforderungen konfiguriert werden.

Nichtoffenlegungen

Geheimhaltungen sind ziemlich einfach. Sie verbieten es einem Reporter oder Sicherheitsforscher, einen Teil der identifizierten Schwachstelle öffentlich offenzulegen, selbst nach der Behebung. Unabhängig von der Schwere des Befundes kann keine Schwachstelle geteilt werden, wenn eine Geheimhaltungsvereinbarung in Kraft ist. Diese Programme akzeptieren zwar Einreichungen, ermutigen sie aber oft nicht.

Koordinierte oder diskretionäre Angaben

Koordinierte oder diskretionäre Offenlegungen ermöglichen die Offenlegung einer Schwachstelle. Abhängig von den spezifischen Sicherheitsanforderungen eines Unternehmens kann es sich dabei um eine vollständige Offenlegung, eine teilweise Offenlegung oder eine spezifische Einzelfallbestimmung handeln. Wenn sich die festgestellte Schwachstelle jedoch auf die menschliche Gesundheit und das menschliche Wohlbefinden auswirkt, darf sie nicht öffentlich bekannt gegeben werden. Dies ist in der Regel der Fall, wenn die Offenlegung einer Schwachstelle ein erhebliches Risiko für Kunden darstellt, z. B. beim Umgang mit Fahrzeugen, Herzschrittmachern oder anderen IoT-Geräten, die aus der Ferne schwer abzurufen oder zu aktualisieren sind.

Time-Boxed-Angaben

Eine der gebräuchlichsten Arten von Offenlegungen, die in VDPs verwendet werden, wird als Time-Boxed-Offenlegung bezeichnet. Der Name leitet sich von dem "Timer" ab, der für jede identifizierte Schwachstelle eingestellt wird. In der Regel wird ein Zeitrahmen zwischen der Benachrichtigung eines Unternehmens über eine Schwachstelle und dem Zeitpunkt, an dem Sicherheitsforscher die Schwachstelle öffentlich offenlegen können, festgelegt. Diese Art von VDP bietet dem Unternehmen einen Zeitraum, um die Schwachstelle zu sichern, bevor sie öffentlich wird, und zeigt im Wesentlichen sein Engagement für die schnelle Behebung und Behebung kritischer Schwachstellen.

Vollständige Offenlegung

Im Gegensatz zu anderen Ansätzen ist die vollständige Offenlegung in der Regel keine Programmrichtlinie. Dabei handelt es sich um eine öffentliche Kommunikation, bei der eine von einer Person identifizierte Schwachstelle öffentlich bekannt gegeben wird, bevor sie behoben wurde. Vollständige Offenlegungen können erforderlich sein, um nicht reagierende Besitzer zu zwingen, Schwachstellen zu beheben.

Offenlegungen sollten jedoch immer sowohl den Eigentümer schützen als auch den Finder belohnen, um die zukünftige Zusammenarbeit zu überzeugen und die Beziehung zwischen Unternehmen und der Cybersicherheitsgemeinschaft zu verbessern. Vor diesem Hintergrund sind sowohl vollständige als auch Nichtoffenlegungen unüblich, da sie nur einer Partei zugute kommen.

Was macht ein erfolgreiches Programm zur Offenlegung von Schwachstellen aus?

Programme zur Offenlegung von Schwachstellen sind im Kern nicht sehr kompliziert. Einfach ausgedrückt richtet ein VDP einen Rahmen für externe Parteien, wie z. B. Sicherheitsforscher, ein, um Schwachstellen zu melden - und einen Prozess für betroffene Organisationen, um diese Berichte zu erhalten und diese Schwachstellen zu beheben. Es gibt jedoch einige Schlüsselkomponenten, die erfolgreiche VDPs ausmachen, die sich sowohl auf Organisationen als auch auf Finder konzentrieren.

Definierter Geltungsbereich

VDPs sollten den Forschern den Geltungsbereich der Richtlinie klar darlegen, einschließlich der Produkte, Systeme, Lieferketten und Arten von Schwachstellen, die abgedeckt sind. Enthalten sein sollten Hinweise zu eingeschränkten Techniken, die sich negativ auf den Betrieb eines Unternehmens auswirken können, wie z. B. ein DDoS-Angriff (Distributed Denial-of-Service). Dieser Umfang ist flexibel und wird sich im Laufe der Zeit natürlich ändern, wenn sich die Ressourcen und Forschungstechniken weiterentwickeln. Wenn ein Unternehmen zum ersten Mal ein VDP einrichtet, kann sein Umfang minimal sein, aber im Laufe der Zeit sollten alle VDPs darauf abzielen, die gesamte digitale Umgebung eines Unternehmens abzudecken.

Prozess & Erwartungen

Ähnlich wie beim Umfang sollte ein Programm zur Offenlegung von Schwachstellen einen detaillierten Schritt-für-Schritt-Prozess enthalten, dem Sicherheitsforscher folgen müssen. Es ist auch wichtig, Erwartungen daran zu setzen, wie lange Ihr Unternehmen benötigt, um gemeldete Schwachstellen zu bestätigen, zu bewerten, zu selektieren, zu kommunizieren und zu beheben. Ein umfassendes VDP sollte Prozesse und Erwartungen im Vorfeld klar definieren, um Missverständnisse und Missverständnisse zu vermeiden.

Regelmäßige Kommunikation

Organisationen mit VDPs sollten bestrebt sein, während des gesamten Prozesses der Meldung von Schwachstellen in regelmäßiger Kommunikation mit den teilnehmenden Forschern zu bleiben. Beispiele hierfür sind die Festlegung angemessener Zeitrahmen für die Beantwortung von Sicherheitsforschern oder bestimmten Ansprechpartnern in einer Organisation. Darüber hinaus sollten Sie die Anerkennung von Mitgliedern der Sicherheitsforschungsgemeinschaft in Betracht ziehen, die Schwachstellen aufzeigen, und den Personen Anerkennung zollen, die eine Rolle bei der Sicherheit der digitalen Präsenz eines Unternehmens spielen.

Sicherer Hafen

Eine der interessantesten Komponenten einiger Programme zur Offenlegung von Schwachstellen ist ein "sicherer Hafen", der rechtlich bindend sicherstellt, dass Sicherheitsforscher nicht mit rechtlichen Schritten oder Strafen rechnen müssen, wenn sie in gutem Glauben nach Schwachstellen suchen und identifizieren. Dies ist ein wichtiger Anreiz für die Sicherheitsforschungsgemeinschaft, da es eine Schutzschicht für Finder schafft. Einige Organisationen ziehen es jedoch vor, keine umfassenden Safe Harbors aufzunehmen und sich stattdessen für Vereinbarungen zu entscheiden, die Sicherheitsforscher schützen, es sei denn, sie halten sich nicht an die Bedingungen und den Umfang eines VDP.

Best Practices für die Verwaltung eines VDP

Neben der einfachen Einrichtung eines VDP und der Identifizierung von Schlüsselkomponenten sollten Unternehmen auch Best Practices anwenden, die es ihnen ermöglichen, dass ihr Schwachstellenprogramm nahtlos für sie selbst, ihre Partner und die globale Sicherheitsforschungsgemeinschaft funktioniert.

Erwartungen ausrichten

Kommunikation ist der Schlüssel zum Einsatz und bei der Nutzung eines Programms zur Offenlegung von Schwachstellen. Sicherheitsforscher, die sich dafür entscheiden, Schwachstellen zu melden, sollten in der Lage sein, den Prozess eines Unternehmens vollständig zu verstehen und zu verstehen, was auf diesem Weg zu erwarten ist.

Bieten Sie klare rechtliche Hinweise

Geben Sie während des VDP-Prozesses eine klare rechtliche Anleitung mit standardisierten Begriffen und Beispielen. Zum Beispiel verbietet der Computer Fraud and Abuse Act (CFAA) den unbefugten Zugriff auf einen Computer oder die Überschreitung des autorisierten Zugriffs, so dass viele Sicherheitsforscher zögern, Assets zu testen, bei denen keine robusten VDPs vorhanden sind. Kommunizieren Sie klare rechtliche Grenzen, um Sicherheitsforschern zu helfen, ihre Rolle und Schutzmaßnahmen während des VDP-Prozesses zu verstehen.

Bodeninteraktionen in gutem Glauben

Teamarbeit ist während des VDP-Prozesses von entscheidender Bedeutung. Auch wenn es beunruhigend erscheinen mag, Sicherheitsforschern und ethischen Hackern zu erlauben, die Schwachstellen eines Unternehmens zu lokalisieren, ist die Motivation dahinter im Altruismus und der Sicherung der Vermögenswerte eines Unternehmens verwurzelt. Interagieren Sie in diesem Sinne in gutem Glauben und denken Sie daran, dass ein erfolgreiches VDP sowohl für das Unternehmen als auch für Sicherheitsforscher von Vorteil ist.

Fokus auf Sanierung

Denken Sie daran, dass der gesamte Zweck eines Schwachstellenprogramms darin besteht, Ihre Sicherheitslage zu verbessern und Ihre Endbenutzer durch die Beseitigung von Schwachstellen besser zu schützen. Priorisieren Sie diesen Schutz, indem Sie alle gemeldeten Schwachstellen rechtzeitig beheben und beheben. Dies schützt nicht nur Ihre Endbenutzer, sondern zeigt auch, wie Ihr VDP wie geplant funktioniert.

Fehlerbehebung für den Prozess

Unabhängig davon, wie organisiert und durchdacht ein Programm zur Offenlegung von Schwachstellen ist, werden im Laufe der Zeit Schwachstellen auftreten, die Bereiche beleuchten, an denen gearbeitet werden muss. Führen Sie im Laufe der Zeit eine Fehlerbehebung für diesen Prozess durch und beheben Sie alle Probleme. Achten Sie darauf, Sicherheitsforscher in diesen Prozess einzubeziehen, die auch von ihrer Seite aus Verbesserungsmöglichkeiten anbieten können.

Integration in bestehende Sicherheitslandschaft

Denken Sie daran, dass selbst das robusteste Programm zur Offenlegung von Schwachstellen nur ein Teil einer größeren Cybersicherheitslandschaft ist, die mehrere Tools und Prozesse umfasst, um die Sicherheit eines Unternehmens zu gewährleisten. Routinemäßige Überprüfung der bestehenden Sicherheitslandschaft durch Implementierung neuer Best Practices

Kennen Sie Ihre Grenzen

Nicht alle Unternehmen fühlen sich bereit, ein Programm zur Offenlegung von Schwachstellen aufzubauen und zu implementieren. Sie sind zwar hilfreich, können aber für ein Unternehmen, das gerade erst mit dem Aufbau seines Cybersicherheits-Ökosystems beginnt, überwältigend sein. Kommunizieren Sie intern, um Best Practices und Tools zu identifizieren, die für die spezifischen Anforderungen Ihres Unternehmens geeignet sind, oder erwägen Sie die Zusammenarbeit mit einem VDP-Anbieterteam für die grundlegende Implementierung.

Verwendung von Programmen zur Offenlegung von Schwachstellen als Instrument der Cybersicherheit

Programme zur Offenlegung von Sicherheitslücken, die auch als koordinierte oder verantwortungsvolle Offenlegungen bezeichnet werden, bieten Sicherheitsforschern einen Rahmen, um Sicherheitsprobleme, Schwachstellen oder Fehler an ein Unternehmen zu melden. Diese Schwachstellen können dann von einem Unternehmen angesprochen und behoben werden, wodurch eine sicherere digitale Präsenz geschaffen wird.

VDPs sind nur ein Aufbauwerkzeug von vielen im Cybersecurity-Werkzeugkasten eines Unternehmens. Die beste Art von Toolbox ist eine mit vielen verschiedenen Tools, die eine Vielzahl von Problemen lösen können. Der Ansatz Ihres Unternehmens für das Cyber-Risikomanagement sollte ähnlich sein, mit einer Vielzahl von Tools, die zukünftige Schwachstellen, Verstöße oder Infiltrationen identifizieren, beheben und verhindern können. Erwägen Sie, der grundlegenden Cybersicherheits-Toolbox Ihres Unternehmens ein Programm zur Schwachstellendiskussion hinzuzufügen, um Ihre Datensicherheit zu erhöhen und Ihre Endbenutzer zu schützen.