Offenlegung von Sicherheitslücken: Gewährleistung von Transparenz und Sicherheit

Programme und Richtlinien zur Offenlegung von Sicherheitslücken werden oft mit Nachbarschaftsüberwachung oder einem Hinweisgebersystem verglichen, bei dem Website-Besucher, Kunden, Forscher und Sicherheitsexperten Sicherheitslücken melden, sobald sie diese entdecken.

White-Hat-Hacker, Forscher und ethische Hacker können eine wertvolle Unterstützung bei der Suche nach Sicherheitslücken sein. Eine formale, gut strukturierte Richtlinie zur Offenlegung von Sicherheitslücken (VDP) und ein entsprechendes Programm sind dabei hilfreich. Ohne ein solches Programm könnten diese Akteure die Sicherheitslücken auf intransparente und inlegale Weise öffentlich machen, was weder im Interesse des Unternehmens noch des Forschers liegt.

Dieser Blog dient Ihnen als Leitfaden zur Richtlinie und zum Prozess der Offenlegung von Sicherheitslücken und enthält Beispiele aus der Praxis, um Ihnen ein besseres Verständnis zu ermöglichen. Was ist die Offenlegung von Sicherheitslücken?

Die Offenlegung von Sicherheitslücken ist der Prozess, bei dem Sicherheitslücken in der Software, den Netzwerken, Geräten und Systemen eines Unternehmens direkt an die Organisation gemeldet werden. Dadurch können Sicherheitsforscher, ethische Hacker, IT-Teams usw. Schwachstellen melden, bevor sie sich auswirken, und zwar auf eine Weise, die legal, transparent und im besten Interesse aller Beteiligten ist.

Sicherheitsbewusste Organisationen veröffentlichen Richtlinien zur Offenlegung von Sicherheitslücken, die klare Schritte und Maßnahmen zur Meldung von Sicherheitslücken enthalten. Dazu gehören die anzugebenden Informationen, die Ansprechpartner usw. Viele Unternehmen unterhalten außerdem Bug-Bounty-Programme, obwohl es zwischen den beiden Programmen einen kleinen Unterschied gibt.

Wie funktioniert die Offenlegung von Sicherheitslücken?

Ein Prozess zur Offenlegung von Sicherheitslücken beginnt mit der Untersuchung der Schwachstellen durch einen Forscher, gefolgt von der Kontaktaufnahme mit dem betroffenen Unternehmen. Sobald das Unternehmen die Schwachstelle behoben hat, erfolgt eine öffentliche Bekanntmachung.

Im Folgenden sind die Schritte des Prozesses zur Offenlegung von Sicherheitslücken aufgeführt:

• Entdeckung von Mängeln
• Kommunikation mit der Organisation
• Interne Untersuchung und Schadensbegrenzung
• Öffentliche Offenlegung

1. Entdeckung von Mängeln

Forscher oder ethische Hacker decken Sicherheitslücken durch manuelle Tests oder automatisierte Scan-Tools auf. Sie versuchen, die Ausnutzbarkeit und die Auswirkungen der Schwachstelle zu verstehen, indem sie diese in einer kontrollierten Umgebung verifizieren. Basierend auf ihrer Untersuchung erstellen die Forscher einen Bericht und informieren das betroffene Unternehmen über die Schwachstelle.

2. Kommunikation mit der Organisation

Um eine Sicherheitslücke aufzudecken, prüft ein Forscher, ob ein VDP (Vehicle Disclosure Program) oder ein Bug-Bounty-Programm existiert, um rechtliche Konsequenzen zu vermeiden. In anderen Fällen kann die Kommunikation über Vermittler erfolgen.

3. Interne Untersuchung und Schadensbegrenzung

Das Unternehmen führt daraufhin eine interne Untersuchung durch, um die Schwachstelle zu bestätigen und ihre Auswirkungen auf das Geschäft zu verstehen. Ein Patch oder Fix wird priorisiert und entwickelt, um die Schwachstelle zu beheben. Der Forscher wird kontaktiert, um den Zeitplan für die Entwicklung abzustimmen. Risikominderung.

4. Offenlegung

Sobald der Patch oder die Fehlerbehebung bereitgestellt ist, kann die Organisation die Details in Abstimmung mit dem Forscher veröffentlichen. Der Entdecker kann außerdem öffentlich gewürdigt und gemäß den vereinbarten Bedingungen vergütet werden.

Wie erstelle ich mein eigenes Programm/meine eigene Richtlinie zur Offenlegung von Sicherheitslücken? 

Um eine Richtlinie zur Offenlegung von Sicherheitslücken (VDP) zu erstellen, folgen Sie einem standardisierten, strukturierten Format mit bestimmten Schlüsselkomponenten. Die VDP selbst wird öffentlich zugänglich gemacht, häufig auf der Hauptwebsite des Unternehmens, um das Vertrauen der Stakeholder zu stärken und Sicherheitsforschern den Zugang zu ermöglichen. Eine VDP eignet sich am besten als nach außen gerichtete Erweiterung einer internen Richtlinie. Richtlinie zum Schwachstellenmanagement, wodurch die SLAs für Triage, Schweregradbewertung und Abhilfe festgelegt werden, die das VDP dann externen Forschern zusichert.

„Man braucht unbedingt einen Mechanismus, der, falls jemand einen Fehler auf der Website bemerkt, einen Schwachstellenbericht von außen empfängt.“Katie Moussouris (CEO Luta Security)

Im Folgenden werden die 6 wichtigsten Bestandteile einer Richtlinie zur Offenlegung von Sicherheitslücken aufgeführt:

Verpflichtung oder Versprechen

Ein Sicherheitsrisikoplan (VDP) beginnt mit einer Verpflichtung oder einem Versprechen gegenüber den Kunden, Investoren, Partnern und anderen wichtigen Interessengruppen des Unternehmens. Die Verpflichtungserklärung erläutert den Zweck der Richtlinie, die Begründung ihrer Erstellung in gutem Glauben und die Zusicherungen gegenüber den von den Sicherheitslücken Betroffenen. Sie appelliert außerdem an die Forscher, den Zweck der Richtlinie zu respektieren und die Verpflichtung zu erwidern.

Lesen Sie beispielsweise diesen Ausschnitt aus HHS VDP:

„Das US-Gesundheitsministerium (HHS) setzt sich für die Sicherheit der amerikanischen Bevölkerung ein, indem es deren Daten vor unberechtigter Offenlegung schützt. Diese Richtlinie soll Sicherheitsforschern klare Vorgaben für die Durchführung von Aktivitäten zur Ermittlung von Sicherheitslücken geben und unsere Präferenzen hinsichtlich der Art und Weise der Meldung entdeckter Sicherheitslücken darlegen.“

Sicherer Hafen

Dieser Abschnitt versichert Forschern und ethischen Hackern, dass die Organisation keine Klage gegen sie erheben wird, wenn sie Sicherheitslücken in gutem Glauben entdecken und melden. Ziel ist es, ein sicheres Umfeld für die Meldung von Sicherheitslücken zu schaffen und das Risiko rechtlicher Schritte für beide Seiten zu minimieren.

Hier ist ein Beispielausschnitt aus dem US-Finanzministerium VDP:

„Wenn Sie sich im Rahmen Ihrer Sicherheitsforschung nach bestem Wissen und Gewissen bemühen, diese Richtlinie einzuhalten, wird das Finanzministerium Ihre Forschung als autorisiert betrachten, mit Ihnen zusammenarbeiten, um das Problem schnell zu verstehen und zu lösen, und keine rechtlichen Schritte im Zusammenhang mit Ihrer Forschung empfehlen oder einleiten.“

Geltungsbereich

Der Geltungsbereich legt fest, welche Assets unter die Richtlinie fallen, darunter Produkte, Systeme, Anwendungen und Netzwerke, sowie die Arten der relevanten Schwachstellen. Er definiert außerdem, welche Arten von Schwachstellen je nach Schweregrad gemeldet oder ignoriert werden müssen.

Nehmen wir dieses Beispiel: US-Innenministerium VDP:

„Diese Richtlinie gilt für die folgenden Systeme und Dienste:

Alle oben nicht ausdrücklich aufgeführten Dienste, wie z. B. verbundene Dienste, sind vom Geltungsbereich ausgeschlossen und dürfen nicht getestet werden. Darüber hinaus fallen Schwachstellen in Systemen unserer Zulieferer nicht unter diese Richtlinie und sind gemäß deren Offenlegungsrichtlinie (sofern vorhanden) direkt dem jeweiligen Zulieferer zu melden.

Meldeprozess

Der Meldeprozess beschreibt detailliert die Schritte, die ein Forscher nach der Entdeckung einer Sicherheitslücke unternehmen sollte. Er legt genau fest, welche Sicherheitslücken meldepflichtig sind und wie man sie meldet, beispielsweise per E-Mail oder Formular. Forscher müssen außerdem wissen, was überhaupt als meldepflichtiger Befund gilt. Unsere Erläuterung dazu finden Sie hier. Penetrationstests vs. Schwachstellenscans Der Text verdeutlicht den Unterschied zwischen einer ausnutzbaren Schwachstelle, die es wert ist, offengelegt zu werden, und einem Scan-Treffer mit geringer Priorität, der wahrscheinlich in den Standard-Backlog gehört. Darüber hinaus werden die Details erläutert, die zusammen mit den zur Erkennung der Schwachstellen verwendeten Werkzeugen und Techniken angegeben werden müssen.

Lesen Sie wie Zoom möchte, dass Sicherheitslücken gemeldet werden:

Wir nehmen Meldungen über potenzielle Sicherheitslücken über unser öffentliches Formular zur Offenlegung von Sicherheitslücken entgegen. HierWir werden Ihnen den Eingang Ihres Berichts innerhalb eines Werktages bestätigen.

Was wir von Ihnen sehen möchten?

Um uns bei der Priorisierung und Behebung potenzieller Schwachstellen zu unterstützen, sollte ein guter Schwachstellenbericht Folgendes enthalten:

• Beschreiben Sie die Sicherheitslücke, wo genau sie entdeckt wurde und welche Auswirkungen sie in der realen Welt hat.
• Geben Sie eine detaillierte Beschreibung der Schritte an, die zur Reproduktion der Sicherheitslücke erforderlich sind (POCs, Screenshots und Videos sind hilfreich).
• Bitte geben Sie pro Bericht nur eine Schwachstelle an (es sei denn, es handelt sich um eine Angriffskette).
• Melden Sie keine Ergebnisse automatisierter Scanner ohne Nachweis der Ausnutzbarkeit.

Einstellungen

Dieser Abschnitt beschreibt, wie ein Unternehmen mit der Sicherheitslücke umgeht und wie es eingehende Meldungen priorisiert. Er gibt außerdem an, ob und wann Sicherheitslücken öffentlich bekannt gegeben werden. Einige Richtlinien enthalten zudem Bestimmungen, die es Forschern ermöglichen, festzulegen, wie sie für ihre Arbeit genannt werden möchten. 

Wirf einen Blick auf VDP des Consumer Financial Protection Bureau Ausschnitt:

Das CFPB ist bestrebt, gemeldete Sicherheitslücken zeitnah zu beheben. Je nach Art Ihrer Entdeckung kann die Validierung und Umsetzung von Korrekturmaßnahmen jedoch einige Zeit in Anspruch nehmen. Daher bitten wir Sie, Informationen über entdeckte Sicherheitslücken 180 Kalendertage nach Ihrer Meldung nicht weiterzugeben. Sollten Sie der Ansicht sein, dass andere vor der Umsetzung unserer Korrekturmaßnahmen über die Sicherheitslücke informiert werden sollten, bitten wir Sie, sich vorab mit uns unter security@cfpb.gov in Verbindung zu setzen.. 

Wichtige Richtlinien

Manche Richtlinien zur Offenlegung von Sicherheitslücken enthalten detaillierte Vorgaben zu den Verhaltensregeln, um Grenzen für die Zusammenarbeit mit Forschern festzulegen. Dazu gehören beispielsweise Benachrichtigungsregeln nach der Entdeckung einer Sicherheitslücke und eine Klausel, die besagt, dass Exploits nicht zur Kompromittierung von Daten jeglicher Art verwendet werden dürfen.

Bonus: Möchten Sie Ihre Netzwerkverteidigung stärken? Laden Sie unseren externen VAPT-Bericht herunter und gewinnen Sie wichtige Erkenntnisse.

Worin unterscheiden sich VDPs von Bug-Bounty-Programmen?

Der Hauptunterschied zwischen VDPs und Bug-Bounty-Programmen besteht darin, dass ein VDP Forscher nicht für das Melden einer Schwachstelle belohnt, während Bug-Bounty-Programme für das Entdecken und Melden jedes Fehlers oder jeder Schwachstelle bezahlen. 

Bug-Bounty-Programme ermöglichen es Unternehmen, das Fachwissen ethischer Hacker weltweit zu nutzen. VDP hingegen ist eher ein Beweis für das Engagement von Forschern und Anbietern für den Datenschutz.
Für Journalisten ist ein Bug-Bounty-Programm zwar lukrativer, VDP (Vehicle Deployment Program) hilft ihnen jedoch dabei, mit der Entdeckung so umzugehen, dass sie keine Probleme bekommen. Und für Unternehmen bieten sowohl Bug-Bounty-Programme als auch VDP die Möglichkeit, externe Experten für die Wartung und Instandhaltung der IT-Sicherheit einzusetzen.

Hier einige Beispiele für Richtlinien zur Offenlegung von Sicherheitslücken und Bug-Bounty-Programme:

HHS: https://www.hhs.gov/vulnerability-disclosure-policy/index.html

Coca Cola: https://www.coca-colacompany.com/policies-and-practices/vulnerability-disclosure

Netflix Bug-Bounty-Programm: https://bugcrowd.com/netflix

Welche Arten von Sicherheitslückenoffenlegungen gibt es?

Je nachdem, wie und von wem die Schwachstellen offengelegt werden, lassen sich zwei Klassifizierungsgrundlagen finden. Betrachten wir die verschiedenen Arten der Offenlegung von Schwachstellen anhand dieser beiden Klassifizierungen:

Basierend darauf, wie Sicherheitslücken veröffentlicht werden:

Private oder verantwortungsvolle Offenlegungen

Die private oder verantwortungsvolle Offenlegung von Sicherheitslücken ist der Prozess, bei dem identifizierte Sicherheitslücken vertraulich an die Organisation oder den Anbieter gemeldet werden, um diesen ausreichend Zeit für die Behebung des Problems zu geben. Die Sicherheitslücke wird erst öffentlich bekannt gegeben, nachdem sie behoben oder der entsprechende Patch entwickelt bzw. veröffentlicht wurde. Diese Methode zählt zu den bevorzugten Arten der Offenlegung von Sicherheitslücken, da sie es ermöglicht, das Risiko einer Ausnutzung durch Angreifer zu minimieren, bevor die Behebung verfügbar ist.

Der Forscher und die Organisation bzw. der Anbieter legen gemeinsam den Zeitraum für die Behebung der Sicherheitslücke fest.

Koordinierte Offenlegung von Schwachstellen

Die koordinierte Offenlegung von Sicherheitslücken beinhaltet die abgestimmte Reaktion mehrerer Parteien, um Sicherheitslücken zu identifizieren, zu beheben und zu veröffentlichen. Sobald die Sicherheitslücke dem Unternehmen oder dem Anbieter gemeldet wurde, arbeiten verschiedene Parteien, darunter Forscher, Hardware- und Softwareentwickler, Drittanbieter usw., zusammen, um sie innerhalb einer festgelegten Frist zu beheben. Nach der Behebung wird die Sicherheitslücke öffentlich bekannt gegeben.

In bestimmten Fällen erfolgt die Kommunikation mit der Organisation oder dem Anbieter möglicherweise nicht direkt. In solchen Fällen meldet der Forscher die Schwachstellen dem US Computer Emergency Readiness Team (CERT) oder privaten Drittanbietern, die sich dann mit den Anbietern bezüglich der Offenlegung der Schwachstellen abstimmen.

Full Disclosure

Die vollständige Offenlegung einer Sicherheitslücke bedeutet, dass alle Details, einschließlich technischer Details und Ausnutzungscode bzw. Proof-of-Concept-Code, öffentlich zugänglich gemacht werden. Durch die öffentliche Bekanntgabe der Sicherheitslücke entsteht Druck auf das Unternehmen oder den Anbieter, diese schnellstmöglich zu beheben, bevor sie ausgenutzt werden kann.

Die vollständige Offenlegung birgt Risiken, wie beispielsweise einen schlechten Ruf des Anbieters oder Unternehmens und die Verfügbarkeit von Ausnutzungscode für Angreifer. Daher ist sie nicht die bevorzugte Methode zur Offenlegung von Sicherheitslücken und wird nur dann angewendet, wenn der Forscher die relevanten Anteilseigner nicht erreichen kann oder eine schnelle Lösung benötigt und sich über die Offenlegungsmethode unsicher ist.

Abhängig davon, wer die Schwachstellen offenlegt:

Selbstauskunft

Die Selbstoffenlegung von Sicherheitslücken ist ein Szenario, in dem Produkthersteller oder Softwareentwickler eine Sicherheitslücke in ihrem Produkt entdecken und die Details der Sicherheitslücke zusammen mit dem Patch öffentlich zugänglich machen. Dies demonstriert Verantwortungsbewusstsein. Die Selbstoffenlegung funktioniert am besten, wenn das Team über eine klare Taxonomie der Sicherheitslücken verfügt. Sicherheitslücken in Bezug auf Cybersicherheit Das ist ihnen wichtig, damit die öffentliche Mitteilung die Klasse genau benennen kann und die Patchnotes die Korrektur in einer für die Kunden verständlichen Sprache beschreiben können.

Third-Party-Offenlegung

Offenlegungen durch Dritte bezeichnen die Offenlegung von Sicherheitslücken durch externe Parteien, die weder die Produktinhaber noch die Softwareentwickler sind. In diesen Fällen fungiert die externe Partei als Vermittler, und die Sicherheitsforscher, die Berichte Dritter veröffentlichen, informieren das Unternehmen oder den Hersteller über die Sicherheitslücke.

Offenlegungspflichten des Anbieters

Offenlegungen durch Hersteller erfolgen, wenn eine direkte Kommunikation zwischen dem Sicherheitsforscher und dem Hersteller stattfindet. Die Schwachstellen werden direkt an den Hersteller gemeldet, der sie anschließend behebt. CERT oder Dritte sind nicht beteiligt.

Wie kann Sprinto Ihre Bemühungen im Bereich Schwachstellenmanagement ergänzen?

Eine Richtlinie zur Offenlegung von Sicherheitslücken ist ein wesentlicher Indikator für das Sicherheitsbewusstsein eines Unternehmens. Sie ist jedoch nur der Anfang, und ein besseres Schwachstellenmanagement ist erforderlich, um höchste Sicherheit und Compliance zu gewährleisten. Genau hier setzt das Problem an. Sprint kommt in.

GRC-Automatisierungstools wie Sprinto können Kontrollen überwachen, die mit Ihrer Schwachstellenmanagement-Software oder sogar JIRA verknüpft sind. Sprinto stellt sicher, dass die Schwachstellenbehandlung gemäß den Best Practices der IT-Sicherheit erfolgt und weder die Compliance noch die Risikoposition negativ beeinflusst.

Schwachstellen sind Punkte, die Prüfer während Ihres Audits feststellen und überprüfen. Sprinto unterstützt Sie dabei, den Umgang mit Schwachstellen nachzuweisen und liefert einen transparenten Nachweis bzw. eine Prüfdokumentation des implementierten Prozesses. So ergänzt es das Schwachstellenmanagement und hebt es auf die nächste Stufe.

Sprinto hilft Ihnen dabei, den Umgang mit Schwachstellen transparent darzustellen und liefert einen klaren Nachweis bzw. ein Audit-Trail des implementierten Prozesses. Dadurch ergänzt es das Schwachstellenmanagement und hebt es auf die nächste Stufe.

Sprinto stellt sicher, dass Sie Sicherheitsrichtlinien und SLAs einhalten und sendet zeitgebundene Warnmeldungen, sobald Abweichungen auftreten. Überwachte Workflows, Automatisierung und Zentralisierung erleichtern die Nachverfolgung und Verwaltung. Der Priorisierungsmechanismus unterstützt Sie bei der zeitnahen Behebung kritischer Sicherheitslücken gemäß den festgelegten Regeln.

Wir haben bereits Tausende von Unternehmen weltweit betreut und ihnen geholfen, die Anforderungen von über 20 Rahmenwerken zu erfüllen. Erfahren Sie mehr und sehen Sie Sprinto in Aktion. um Ihren Weg zur Einhaltung der Vorschriften zu beginnen.

Häufig gestellte Fragen