Когда обнаруживается серьезная уязвимость, для всех начинает тикать таймер — на этой неделе мы убедились в этом на собственном опыте из-за утечки PHP2Shell.
Обычно задействуется устоявшийся процесс: вендоры, провайдеры и исследователи договариваются о скоординированной дате раскрытия информации, чтобы можно было подготовить патчи, предупредить клиентов и не предоставлять всему остальному интернету готовую «дорожную карту» для атак до того, как организации успеют выстроить защиту.
Это соглашение — единственное, что удерживает грань между ответственным раскрытием информации и хаосом. Когда вендор решает проигнорировать этот протокол, его быстрые действия могут казаться оперативностью, но на практике он принимает единоличное решение, подвергающее риску клиентов и весь остальной рынок.
Преждевременное исправление — это дорожная карта для хакера
Патчи и меры защиты не нейтральны; они обнажают изъяны и дают злоумышленникам возможность реверс-инжиниринга уязвимости. Сравнение (сопоставление двух версий текста, кода, файлов или данных на предмет изменений) пропатченного бинарного файла с исходным — это хорошо зарекомендовавший себя способ выяснить, что было сломано, и злоумышленники регулярно делают это в течение нескольких часов после релиза. Сетевое правило защиты работает точно так же, только быстрее и заметнее.
Когда правило защиты начинает действовать в крупной сети, любой может наблюдать за этим. Исследователи и злоумышленники могут зондировать периметр, видеть, какие запросы теперь блокируются, а какие все еще проходят, и делать выводы о том, что именно ищет правило. Правило, призванное защитить клиентов, может быстро превратиться в подробное «описание» уязвимости.
Такого рода обнажение информации гораздо опаснее до ее официального раскрытия. До официального раскрытия большинство вендоров еще не выпустили патчи, возможно, еще даже не получили уведомлений, а большинство специалистов по защите еще не знают о существовании проблемы. Любой, кто вычислит изъян по преждевременной мере защиты, получает фору перед всеми остальными, кто все еще ждет окончания эмбарго.
Кроме того, средство защиты никогда не начинает работать везде одновременно. Правила обходятся, граничные случаи упускаются из виду, к тому же не каждый источник находится за одинаковой защитой. Злоумышленники, узнавшие, на что нацелено правило, могут искать пути, которые оно не покрывает, и те клиенты, которым должен был помочь ранний запуск, оказываются под ударом.
Развертывание заметной меры защиты до этой даты подрывает безопасность, которую обеспечивает эмбарго. Это обмен безопасности всей экосистемы ради того, чтобы прослыть «первым».
Ответственный путь — более медленный и менее эффектный. Провайдеры тихо готовят свои исправления и тщательно их тестируют. Они предоставляют клиентам информацию, необходимую для принятия решения о том, как и когда действовать, а затем выпускают все одновременно по окончании эмбарго.
Эмбарго — это обещание
Эмбарго работает, когда все его соблюдают. Когда одна сторона действует преждевременно, это не просто попытка опередить события — это нарушение соглашения, на которое полагались другие провайдеры и их клиенты. Массовое развертывание защитных мер, отправленное другим вендором, добавило путаницы в и без того напряженную ситуацию: навязав защиту для производственного трафика до официального раскрытия, этот шаг по сути приравнивался к раскрытию самой уязвимости.
Это был не шаг из серии «мы хотим сделать все правильно», а тактика «мы добрались туда первыми».
Интернет — это общая ответственность
Ни один провайдер не работает изолированно. Наш трафик, защищаемые нами первоисточники и пользователи на другом конце провода — все они делят один и тот же интернет. Когда один игрок игнорирует эмбарго, последствия сказываются на всех, кто находится ниже по цепочке, включая клиентов, которые доверяли процессу, и провайдеров, которые сдержали свое слово.
Ответственные провайдеры работают сообща: мы уважаем согласованные сроки, предоставляем клиентам реальный выбор и ставим здоровье всего интернета превыше всего остального. Слишком многое поставлено на карту, чтобы действовать иначе.
Ваш источник, ваши сроки
В Fastly наш главный принцип прост: мы искренне заботимся о здоровье и целостности инфраструктуры наших клиентов и хотим предоставить им возможность вносить изменения по собственному графику.
В инциденте с PHP2Shell, как и в любой другой ситуации, не существует единственно верного способа применить временное «исправление» или принимать решения за наших клиентов. Правильный ответ зависит от конкретного клиента и его специфических условий. Подходы могут включать в себя:
- Сначала примените исправления в тестовой среде и отследите результаты, прежде чем принимать масштабные решения
Сначала примените исправления в тестовой среде и отследите результаты, прежде чем принимать масштабные решения
- Развертывание исправлений в рабочей среде сразу после цикла регрессионного тестирования
Развертывание исправлений в рабочей среде сразу после цикла регрессионного тестирования
- Воздержание от масштабных изменений в периоды высокой нагрузки и интенсивного трафика для клиентов (праздники, крупные мероприятия)
Воздержание от масштабных изменений в периоды высокой нагрузки и интенсивного трафика для клиентов (праздники, крупные мероприятия)
Ни один из вышеперечисленных вариантов не является правильным или неправильным сами по себе — мы хотим, чтобы наши клиенты сами контролировали свою судьбу. Клиенты знают свой бизнес, свой трафик и свою склонность к риску лучше, чем мы. Наша задача — предоставить им информацию и средства управления на выбор, а также оказывать всевозможную поддержку. Мы не принимаем решения об исправлениях в вакууме.
Ваш партнер, а не просто провайдер
В Fastly мы не считаем себя вендором — мы видим в себе партнера. Ваш источник, ваш трафик и ваш бизнес принадлежат вам, и наша задача — помочь вам защитить их и развивать на ваших условиях.
Это означает предоставление вам полного контроля: когда возникает критическая уязвимость, мы не принимаем решение за вас. Мы предоставляем вам контекст и все доступные варианты, чтобы вы могли решить, что лучше для вашего бизнеса. Это также означает быть рядом, когда это действительно важно.
Мы узнаем, что для вас важнее всего, и помогаем вам достичь целей. Именно это для нас означает поступать правильно по отношению к клиенту.
Вы можете следить за самыми свежими обновлениями по PHP2Shell по мере развития ситуации, перейдя по этой ссылке, или, как всегда, связаться с нами, если вам нужна помощь.
