В новостях появляется новая атака на цепочку поставок. CVE с громким названием начинает тренды. В npm, PyPI и Hugging Face обнаруживается вредоносный пакет. Через несколько минут ваши каналы в Slack заполняются сообщениями, CISO запрашивает обновление, и кто-то задает вопрос, которого боится каждый специалист по DevSecOps:
«Как мы затронуты?»
Дать однозначный ответ должно быть просто. На практике на получение полной картины часто уходят часы, а иногда и дни.
Проблема: узнать легко, оценить зону поражения сложно
Команды безопасности не испытывают недостатка в информации. Рекомендации, исследовательские блоги, бюллетени вендоров, ветки в социальных сетях и списки рассылки сообщают о новых угрозах быстрее, чем кто-либо успевает их прочитать. Сложность заключается в том, чтобы использовать эту информацию для понимания того, как она влияет на вашу конкретную среду.
До сих пор этот процесс обычно выглядел примерно так:
- Отделение полезного сигнала от шума. Релевантные аналитические данные разбросаны по десяткам источников. Часть из них проверена, часть представляет собой спекуляции, а часть — перепост перепоста. Кому-то приходится читать это, оценивать достоверность и решать, заслуживает ли это внимания.
- Преобразование общих угроз в действенные меры. В блоге описывается атака. Однако вам не предоставляется готовый список затронутых пакетов и версий. Кому-то приходится извлекать названия пакетов, диапазоны версий и идентификаторы CVE, надеясь, что ничего не было упущено из виду.
- Выяснение того, где прячутся уязвимые компоненты. Сегодня программные приложения собираются из множества компонентов с открытым исходным кодом. К сожалению, только что обнаруженная уязвимость редко является прямой зависимостью. Обычно она скрывается на несколько уровней глубже в транзитивной зависимости, которая является частью Docker-образа, или находится в сборке за прошлый квартал. Ваши артефакты распределены по множеству репозиториев, проектов, команд и конвейеров, что затрудняет обнаружение всех затронутых компонентов во всей цепочке поставки ПО.
- Сведение разрозненных инструментов в единое целое. Один инструмент отслеживает уязвимости, другой — сборки, а в электронной таблице сопоставляются службы и их владельцы. Ручное сопоставление этих источников — медленный и подверженный ошибкам процесс, особенно в разгар громкого инцидента безопасности, когда ни у кого нет на это времени.
- Приоритизация устранения уязвимостей на основе неполных данных. Опубликованные оценки степени серьезности не всегда соответствуют реальной возможности эксплуатации. То, что на бумаге выглядит как «средний» уровень, может оказаться легко эксплуатируемым «в поле», в то время как «критическая» угроза может не иметь отношения к вашей среде. Без анализа контекста команды либо переусердствуют, либо недорабатывают из-за отсутствия надлежащей информации.
Все вышеперечисленное происходит на фоне тикающих часов. Окно между обнаружением и эксплуатацией неуклонно сужается, и каждый час, потраченный на поиски ответа, — это еще один час, который злоумышленники могут использовать для использования уязвимостей в вашем приложении. Реальная цена часто заключается не в самой уязвимости, а во времени, необходимом для определения наиболее эффективной стратегии защиты от нее.
Знакомство с JFrog Threat Hub: переход от вопроса «что произошло?» к вопросу «что затронуто?» в едином унифицированном интерфейсе
JFrog Threat Hub разработан для того, чтобы сократить этот разрыв. Он объединяет как публично опубликованные исследования безопасности, так и собственные данные о киберугрозах JFrog непосредственно на платформе JFrog Platform, помогая определить, как они влияют на вашу среду разработки.
Что такое JFrog Threat Hub?
JFrog Threat Hub представляет собой подробную панель мониторинга угроз, доступную из JFrog Xray. Она включает ежедневно обновляемую ленту проверенных публикаций о новых атаках, CVE и вредоносных пакетах. Большая часть аналитических данных о безопасности основана на отчетах команды JFrog Security Research, которая мониторит общедоступные реестры, такие как npm, PyPI и Hugging Face, запускает автоматические сканеры для каждого нового и обновленного пакета, а также анализирует CVE на предмет возможности их реальной эксплуатации. В ленту также включены соответствующие внешние рекомендации.
Каждая публикация содержит название источника, дату публикации, оценку CVSS и описательные теги, а также общедоступную метку, объединяющую затронутые пакеты и версии. Индикатор несоответствия степени серьезности отмечает случаи, когда исследование JFrog оценивает угрозу иначе, чем ее опубликованный балл, поэтому команды могут расставлять приоритеты на основе фактического, а не предполагаемого риска.
Одна из важнейших функций — кнопка Check Impact (Проверить влияние). Одним щелчком мыши она запускает поиск влияния в вашей организации и перечисляет каждый затронутый артефакт, а также его репозиторий, уязвимую версию компонента, дату сканирования и состояние выполнения. Команды могут экспортировать эти результаты, настраивать политики Xray или сразу переходить к сортировке и устранению уязвимостей в рамках одной унифицированной платформы.
Threat Hub включает обновленные рекомендации по CVE и поиск влияния по всей цепочке поставок
Вместо того чтобы читать об атаке в одном месте и искать признаки заражения в другом, Threat Hub объединяет оба шага в единый бесшовный рабочий процесс. Он не только обеспечивает раннее обнаружение, но и помогает составить карту истинной зоны поражения, перенося вас непосредственно от чтения об угрозе к пониманию вашей точной степени риска.
Курируемая аналитика прямо там, где вы уже работаете
Threat Hub консолидирует публикации по безопасности о новых атаках, CVE и вредоносных пакетах, ежедневно обновляет их, а затем сортирует в соответствии с предпочтениями клиента. Кроме того, интегрированы аналитические данные от команды JFrog Security Research, в том числе:
- Непрерывный мониторинг репозиториев с открытым исходным кодом, таких как npm, PyPI и Hugging Face, на предмет новейших проблем безопасности
- Запуск автоматических сканеров для новых и обновленных пакетов
- Глубокое расследование подозрительных находок
- Анализ новых и существующих CVE на предмет возможности их реальной эксплуатации
- Раскрытие информации о вновь обнаруженном вредоносном ПО мейнтейнерам репозиториев
Для наших клиентов это означает, что оригинальные, проверенные исследования соседствуют с важными внешними рекомендациями без лишнего шума обычной новостной ленты. Каждая публикация содержит информацию об источнике, дате публикации и тегах, таких как затронутые экосистемы. Когда публикация связана с известной атакой, к ней применяется метка, объединяющая группы затронутых пакетов и версий, и могут даваться ссылки на исправление или рекомендацию.
Всего один клик для оценки влияния CVE
Работая в интерфейсе JFrog Xray, вы можете получить доступ к панели мониторинга Threat Hub, выбрав Xray > Overview (Обзор). Одной из самых мощных функций консоли Threat Hub является кнопка «Check Impact». Нажмите ее, и Threat Hub откроет поиск влияния специально для вашей организации. Если вы затронуты, система покажет соответствующие артефакты и даты их сканирования, чтобы вы могли увидеть, где кроется проблема среди ваших просканированных артефактов, и решить, что исправить в первую очередь.
Для поддерживаемых публикаций о CVE и вредоносных пакетах не требуется ручное извлечение имен пакетов, пользовательские запросы или объединение результатов из разных инструментов. Исследования и результаты представлены бок о бок.
Степень серьезности CVE, на которую можно повлиять
Опубликованные оценки не всегда отражают полную картину, поэтому в некоторых публикациях также отображается индикатор несоответствия степени тяжести (Severity Mismatch Indicator), когда оценка JFrog Security Research отличается от степени тяжести общедоступного CVE или бюллетеня. Степень тяжести по версии JFrog отражает реальную возможность эксплуатации и влияние на практике, а не только опубликованную оценку, что дает вам необходимый контекст при расстановке приоритетов в стратегии исправления уязвимостей.
Что это меняет для вашей команды
Команды по операционной деятельности и безопасности получают следующие важные преимущества:
- Более быстрое определение масштаба инцидента. На вопрос «Как это на нас влияет?» можно получить ответ быстрее и с меньшим объемом поисковой работы в разных инструментах.
- Меньше переключений между контекстами. Чтение результатов исследований, понимание степени влияния и определение затронутых артефактов происходят в одном централизованном интерфейсе.
- Улучшенная расстановка приоритетов. Проверенные исследования и контекст степени тяжести от экспертов JFrog помогают сосредоточиться на тех угрозах, которые с большей вероятностью могут быть проэксплуатированы.
- Более точные коммуникации. Когда руководство запрашивает информацию о статусе, вы можете предоставить им конкретные затронутые артефакты и даты сканирования вместо фразы «мы все еще разбираемся».
Оцените работу JFrog Threat Hub на практике
Следующая крупная атака на цепочку поставок — это вопрос времени, а не возможности. Когда она произойдет, лучшего результата добьются не те команды, которые читают больше всего блогов, а те, которые смогут быстрее всего понять, как конкретная угроза влияет на их специфическую среду.
Узнайте больше о решении JFrog Security и о том, как сократить путь от вопроса «Что произошло?» до «Как это на нас влияет?», запланировав демонстрацию с одним из наших экспертов.
Этот блог предоставляется исключительно в общеинформационных целях. Он не является юридической консультацией, рекомендацией по соблюдению нормативных требований или информационной безопасности и не гарантирует какого-либо уровня безопасности. Он отражает информацию, доступную на дату публикации, указанную в начале этого поста, и может не обновляться. Результаты зависят от вашей среды, ситуации и конфигурации. Возможности продуктов различаются в зависимости от редакции и модели развертывания и регулируются вашим соглашением с JFrog. JFrog является зарегистрированным товарным знаком компании JFrog Ltd. в США. Все остальные упомянутые в этом документе товарные знаки являются собственностью соответствующих владельцев.
