Die Entwicklung von Dattos Programm zur Offenlegung von Schwachstellen

Es ist nun etwas mehr als ein Jahr her, seit Datto im November 2020 sein Programm zur Offenlegung von Sicherheitslücken (Vulnerability Disclosure Program, VDP) ins Leben gerufen hat. Sechs Monate später veröffentlichten wir einen Blogbeitrag mit dem Titel „Sicherheit für MSPs: VDPs, Bug-Bounties und verantwortungsvolle Offenlegung“, in dem wir Anleitungen und Ratschläge dazu gaben, wie man sinnvoll an einem VDP teilnimmt. Wir brauchten mehrere Monate interner Diskussionen, um zu entscheiden, ob wir ein eigenes Programm zur Offenlegung von Sicherheitslücken oder ein Bug-Bounty-Programm (BBP) starten wollten. Außerdem mussten wir entscheiden, ob wir das Programm selbst verwalten oder den traditionellen Weg gehen wollten, diese Aufgabe an einen Drittanbieter auszulagern.

Nachdem wir unsere Optionen geprüft und uns gründlich mit den Angeboten von Drittanbietern vertraut gemacht hatten, machten wir uns daran, unser eigenes, von Datto verwaltetes Programm zur Offenlegung von Sicherheitslücken umzusetzen. Die Verwaltung unseres eigenen Programms war aufgrund der damit verbundenen Flexibilität von Vorteil. Auch wenn wir dabei viele wertvolle Erkenntnisse gewonnen haben – auf die wir noch eingehen werden –, war es damals die richtige Entscheidung, da wir so unser kürzlich aktualisiertes und verbessertes Programm zur Behebung von Sicherheitslücken testen konnten, das von unserer jetzigen Leiterin für Anwendungssicherheit, Emilyann Fogarty, verwaltet wird.

Da es schwierig war, die Resonanz auf das Programm abzuschätzen, haben wir uns letztendlich dafür entschieden, bei vielen Elementen unseres VDP bewusst vorsichtig vorzugehen. Zu diesen Elementen gehören Abschnitte der Richtlinie wie beispielsweise Geltungsbereich, Erwartungen, Anerkennung und so weiter. Das Ziel dieser ersten Version unseres VDP bestand lediglich darin, zu verstehen, wie gut unsere internen Prozesse funktionierten – von der Entgegennahme von Meldungen bis hin zur Behebung von Produktmängeln.

Im ersten Monat des Programms erhielten wir eine einzige Meldung. Im folgenden Monat waren es zwei. Ich erinnere mich, dass ich dachte: „Okay, das ist gar nicht so schlecht.“ Dann, im Januar 2021, erhielten wir sechs Meldungen. Glücklicherweise handelte es sich bei keiner davon um bestätigte Schwachstellen oder schwerwiegende Sicherheitsrisiken; die Meldungen wurden entweder abgeschlossen oder als Verbesserungsvorschlag für die zukünftige Produktentwicklung gekennzeichnet.

Im Februar 2021 gingen erneut sechs Meldungen bei uns ein, doch dieses Mal erhielt eine der gemeldeten Schwachstellen eine kritische interne CVSS-Bewertung. Ich bin stolz darauf, berichten zu können, dass die Produktverantwortlichen und Entwickler trotz der relativ komplexen Natur der Schwachstelle innerhalb von 27 Tagen mit dem Qualitätssicherungsprozess beginnen und die gemeldete Schwachstelle innerhalb von 35 Tagen vollständig beheben konnten. Dieser Trend bei den Behebungszeiten setzte sich über das gesamte Jahr 2021 fort. Die durchschnittliche Behebungszeit für alle Produkte zusammen betrug beeindruckende 35,8 Tage und lag damit weit unter dem branchenüblichen Standard von 90 Tagen. Dies umfasst den gesamten Lebenszyklus einer gemeldeten Schwachstelle, von der ersten Meldung über die Einstufung bis hin zur vollständigen Behebung, bei der der Fix in der Produktion bereitgestellt wird.

Der Trend zu immer häufigeren Offenlegungen setzte sich fort. Im zweiten Quartal verdoppelte sich die Zahl der Offenlegungen im Vergleich zum ersten Quartal, und bis zum Jahresende gingen alle 1,8 Werktage eine Offenlegung bei uns ein, die unseren Triage-Prozess durchlief. Wir haben viel darüber gelernt, wie wir unsere Produkte durch unsere neuen VDP-Prozesse und unsere internen Prozesse zur Behebung von Schwachstellen unterstützen können, und welche Herausforderungen mit der Organisation und dem Betrieb eines Programms zur Offenlegung von Schwachstellen verbunden sind.

In den ersten Monaten des VDP schickten die Teilnehmer E-Mails an einen Posteingang, der unser Incident-Response-Team direkt alarmierte. Schon früh haben wir erkannt, dass dies langfristig wahrscheinlich nicht der beste Ansatz war. Zwar müssen alle Meldungen unseren internen Triage-Prozess durchlaufen, doch bei einigen ist möglicherweise kein Eingreifen des Incident-Response-Teams erforderlich. Daher haben wir im April 2021 damit begonnen, Schwachstellenmeldungen über [email protected] entgegenzunehmen. Zu diesem Zeitpunkt wurde das VDP noch vom Offensive Security-Team von Datto betreut, das die volle Verantwortung für die Triage, die Erstellung von Tickets, die Nachverfolgung der Behebung sowie die Kommunikation mit den Teilnehmern trug.

Ich möchte an dieser Stelle kurz vom Thema „Vulnerability Disclosure Program“ (VDP) abschweifen, da bei Datto etwas anderes sehr Wichtiges und für den Erfolg des VDP Entscheidendes geschah. Im Jahr 2019 begannen mehrere unserer Sicherheitsingenieure mit der Umsetzung unseres „Building Security In Maturity Model“ (BSIMM). 

VDP v2.0 von Datto

Ich freue mich, heute bekannt geben zu dürfen, dass Datto offiziell die Version 2.0 unseres Programms zur Offenlegung von Sicherheitslücken eingeführt hat.

Angesichts des kontinuierlichen Ausbaus unseres Schwachstellenmanagement-Programms, der erweiterten Fähigkeiten und Kapazitäten unserer „Security Champions“, der Daten aus einem ganzen Jahr aus unserem VDP sowie eines engagierten Teams für Anwendungssicherheit, das uns bei der Pflege und Verwaltung des Programms unterstützt, fühlten wir uns bereit, den nächsten Schritt zu gehen.

Wir haben aus unserem ersten Jahr viel gelernt, aber ich werde mich auf einige der Herausforderungen konzentrieren, die wir identifiziert haben und die wir im Rahmen der nächsten Schritte für das VDP angehen wollen. Diese Auswahl erfolgte auf der Grundlage des Feedbacks der Teilnehmer, mit denen wir direkt zusammengearbeitet haben, des fortlaufenden Feedbacks verschiedener MSP-Communities sowie der Erkenntnisse anderer Sicherheitsexperten. Anhand dieses Feedbacks und unserer Erkenntnis, wie wichtig es ist, das VDP als Dienstleistung zu verbessern, haben wir drei Hauptziele festgelegt:

• Unsere internen Prozesse im Hinblick auf eine Ausweitung des Tätigkeitsbereichs verbessern
• Weiterhin ein positives und von Zusammenarbeit geprägtes Erlebnis für Programmteilnehmer und bei der Nutzung von Datto-Produkten fördern
• Die Flexibilität und Transparenz des Programms verbessern

Optimierung unserer internen Prozesse

Herausforderung: Wie können wir Offenlegungen besser nachverfolgen und organisieren?

Gewonnene Erkenntnisse

• Durch die Umstellung auf „[email protected]“ wurde eine zentrale Datenbank für die Programmteilnehmer geschaffen, was eine bessere Nachverfolgung und Kommunikation ermöglichte.
• Die Erfassung von Offenlegungen mithilfe einer Tabellenkalkulation war auf lange Sicht nicht tragbar.

Lösung

• Wir haben einen automatisierten, auf VDP zugeschnittenen Arbeitsablauf eingeführt, um Kennzahlen und den Status der Abhilfemaßnahmen zu verfolgen und die Kommunikation mit den Teilnehmern zu verbessern.
• Wir verpflichten uns zur Einhaltung einer Kommunikations-SLA und automatisieren unsere Transparenz, um diese Ziele zu erreichen.

Weiterhin ein positives und von Zusammenarbeit geprägtes Erlebnis für Programmteilnehmer und bei der Nutzung von Datto-Produkten fördern

Herausforderung: Wie können wir die Unklarheiten und die Subjektivität bei der Frage verringern, was eine gültige Offenlegung ausmacht?

Gewonnene Erkenntnisse

• Unsere VDP-Richtlinie vermittelte den Teilnehmern kein Verständnis für die Schweregradbewertung, die Datto zur Behebung von Schwachstellen einsetzt.
• Unsere VDP-Richtlinien waren vage, was die Frage betrifft, was eine wirkungsvolle und gültige Offenlegung ausmacht.

Lösung

• Wir haben unsere VDP-Richtlinie aktualisiert und um klare Leitlinien zum Geltungsbereich und zu den Ausnahmen ergänzt.
• Wir haben den Wortlaut hinsichtlich der Frage, woraus eine zulässige Offenlegung besteht, aktualisiert.

Herausforderung: Wie können wir die Kommunikation zwischen Datto und den Teilnehmern verbessern?

Gewonnene Erkenntnisse

• Der Zeitpunkt der Kommunikation könnte den Teilnehmern uneinheitlich erscheinen.
• Manchmal standen wir täglich in Kontakt, manchmal gab es nur einmal im Monat oder alle paar Monate Neuigkeiten.
• Sicherheitsforscher würden es vorziehen, direkt mit Datto zusammenzuarbeiten, anstatt mit einem Drittanbieter oder einer Crowdsourcing-Plattform.
• VDP v1.0 bot die Möglichkeit, Kopfgelder zwischen 20 und 2.000 US-Dollar zu erhalten, wobei die durchschnittliche Auszahlung bei etwa 210 US-Dollar lag. Die mangelnde Transparenz hinsichtlich der möglichen Höhe der Kopfgelder sowie der Kriterien für die Festlegung der Auszahlung war für die Teilnehmer ein häufiger Kritikpunkt.

Lösung

• Wir haben unsere VDP-Richtlinie aktualisiert, um genauer zu definieren, was Programmteilnehmer von Datto erwarten können. Dazu gehören auch die Erwartungen hinsichtlich der Kommunikation, die sich nun nach der internen Schweregradbewertung richten, die gültigen Meldungen zugewiesen wird. Damit möchten wir sicherstellen, dass jederzeit ein vorhersehbarer und reaktionsschneller Kommunikationsfluss in beide Richtungen besteht.
• Wir haben unsere VDP-Richtlinie aktualisiert, um genauer zu definieren, was wir (Datto) von den Teilnehmern erwarten, um eine zeitnahe Triage der Meldungen zu gewährleisten.
• Wir haben unsere VDP-Prämien aktualisiert und eine neue Prämienspanne von 101 bis 10.101 US-Dollar eingeführt.
• Wir haben die Transparenz hinsichtlich des Entscheidungsprozesses bei der Vergabe von Prämien erhöht. Wir sind uns jedoch bewusst, dass wir in dieser Hinsicht noch einiges zu tun haben.

Die Flexibilität und Transparenz des Programms verbessern

Die Verbesserung der Flexibilität und Transparenz des Programms ergibt sich ganz natürlich aus dem Streben nach unseren ersten beiden Zielen. Dies gilt insbesondere für unser zweites Ziel: „Weiterhin ein positives und kooperatives Erlebnis für die Programmteilnehmer und die Datto-Produkte fördern“. Um dies zu erreichen, ist ein gewisses Maß an Transparenz und Ehrlichkeit unsererseits erforderlich. Dies hilft den Teilnehmern sowohl dabei, uns qualitativ hochwertige Berichte zu liefern, als auch zu verstehen, was sie bei der Teilnahme am Programm von uns erwarten können. Unser erstes Ziel, „unsere eigenen internen Prozesse im Hinblick auf eine Ausweitung des Umfangs zu verbessern“, hilft uns dabei, ein hohes Maß an Transparenz und Konsistenz zu gewährleisten, indem sichergestellt wird, dass die internen Prozesse den Anforderungen unserer Produkte, der Teilnehmer und von AppSec insgesamt gerecht werden.

Herausforderung: Wie können wir dem steigenden Bedarf an Transparenz in Bezug auf unsere Sicherheitsarbeit und unser VDP gerecht werden?

Gewonnene Erkenntnisse

• Einige Teilnehmer und Community-Mitglieder haben den ursprünglichen Wortlaut des VDP als einschränkend in Bezug auf ihre Möglichkeit interpretiert, ihre Arbeit öffentlich zu veröffentlichen. Tatsächlich haben wir bisher noch keinem Forscher untersagt, seine Ergebnisse zu veröffentlichen. Es kann schwierig sein, es allen recht zu machen, insbesondere wenn sie den Prozess nicht anwenden. Wir sind jedoch der Ansicht, dass es Spielraum gibt, unseren Wortlaut anzupassen und daran zu arbeiten, diese Wahrnehmungsprobleme zu korrigieren, um die Realität, die Forscher bei der Zusammenarbeit mit uns erlebt haben, besser widerzuspiegeln.

Lösung

• Wir haben die VDP um einige präzisierende Formulierungen ergänzt, darunter die folgende: „Im Sinne unseres Bekenntnisses zu Zusammenarbeit und Transparenz wird das Datto-Team für Informationssicherheit die Genehmigung zur Offenlegung nicht verweigern, es sei denn, Datto ist in gutem Glauben der Ansicht, dass Vertraulichkeit erforderlich ist, um erheblichen Schaden zu vermeiden.“

Das überarbeitete VDP und darüber hinaus

Warum haben wir uns dafür entschieden, das bestehende Programm zu aktualisieren, anstatt auf ein Programm eines Drittanbieters umzusteigen? Im Rahmen der Arbeiten zur Aktualisierung des VDP wollten wir die Bedürfnisse unserer Partner und der breiteren Gemeinschaft besser verstehen. Außerdem wollten wir die Konsequenzen einer Entscheidung für einen Drittanbieter zur Erweiterung unseres VDP und BBP im Vergleich zur weiteren Nutzung unseres eigenen Programms abwägen.

Im Gespräch mit einigen dieser Drittanbieter wurde zunehmend deutlich, dass viele der Unternehmen, die sich für deren Nutzung entschieden hatten, dies möglicherweise aufgrund fehlender interner Prozesse und Kapazitäten taten. Insbesondere ein Anbieter riet uns, dass es besser wäre, unser bestehendes VDP auszubauen, anstatt seine Plattform zu nutzen. Unsere eigenen Untersuchungen ergaben Ähnliches: Nur weil ein Unternehmen für sein VDP oder BBP einen Drittanbieter einsetzte, bedeutete das nicht, dass es zeitnah auf Offenlegungen reagierte oder sich zu Abhilfemaßnahmen oder zur Kommunikation verpflichtete.

Nach Auswertung der Daten eines ganzen Jahres waren wir überzeugt, dass wir bereits in der Lage sind, Meldungen zu bearbeiten und Prämien auszuzahlen und gleichzeitig ein insgesamt besseres Erlebnis zu bieten, ohne auf eine gängige Plattform eines Drittanbieters zurückgreifen zu müssen. Wir planen, das Programm in mehreren Phasen kontinuierlich weiterzuentwickeln, wobei sowohl schrittweise Verbesserungen als auch umfassende Programmänderungen vorgesehen sind, die alle gezielt darauf ausgerichtet sind, den Teilnehmern mehr Flexibilität, Übersichtlichkeit und Transparenz zu bieten.

Dieses Update ist nur der erste Schritt in der Weiterentwicklung unseres VDP, mit dem wir darauf hinarbeiten, den Teilnehmern ein erstklassiges Erlebnis zu bieten und letztendlich die Anwendungssicherheit unserer Produkte und Dienstleistungen zu verbessern. Wir bei Datto sind davon überzeugt, dass Sicherheit eine Teamleistung ist und in der Verantwortung jedes Einzelnen liegt. Wir sind bestrebt, diese Kultur sowohl intern als auch extern weiter auszubauen. Ich könnte nicht stolzer auf die Arbeit sein, die wir in den letzten zwei Jahren geleistet haben, und freue mich auf zukünftige Mitteilungen, in denen wir unsere Fortschritte vorstellen werden.