Beveiliging voor MSP's: VDP's, Bug Bounties en Responsible Disclosure

In het jaar 2021 is informatiebeveiliging het probleem van iedereen. Gelukkig is de industrie booming en is er een ongekend aantal professionals die u willen helpen bij de jacht op kwetsbaarheden binnen uw omgeving. Niet zo gelukkig is dat veel van deze professionals bedrijven vaak ongevraagd benaderen om advies te geven over een zwakke plek die ze al hebben ontdekt in de producten of infrastructuur van uw bedrijf.

Als de wet van Linus klopt, is samenwerking tussen jou en deze professionals van cruciaal belang om rampen te voorkomen. Dus waar begin je?

Programma's voor openbaarmaking van kwetsbaarheden (VDP's)

Het hacken van een digitaal systeem is op zich al een gevoelig onderwerp met mogelijk enorme juridische en financiële gevolgen. Maar wat als u wilt dat beveiligingsdeskundigen kwetsbaarheden binnen uw organisatie opsporen? Hoe zorgt u ervoor dat deze deskundigen in uw belang handelen? Om duidelijke grenzen te stellen, moet iemand een aantal spelregels vaststellen. Die iemand bent u zelf, door een Vulnerability Disclosure Program (VDP) op te zetten.

Een VDP (waar "P" ook "Beleid" kan betekenen) is een verzameling richtlijnen die onderzoekers vertellen hoe ze moeten handelen in hun eigen belang. Hierin geef je ook antwoord op vragen als:

• Met welke van uw systemen mag ik werken?
• Met wie neem ik contact op als ik een kwetsbaarheid vind?
• Wanneer kan ik een antwoord op mijn e-mails verwachten?
• Beloof je me niet aan te klagen?

Hoe schrijf je een beleid? Waar moet je beginnen? Het slechte nieuws is dat er geen standaard is. Het goede nieuws is - er is geen standaard!

De rules of engagement kunnen zijn wat je maar wilt. Als je last hebt van een writer's block, kan het helpen om programma's van andere bedrijven te lezen:

• Datto's programma voor openbaarmaking van kwetsbaarheden (VDP)
• Regels van Google's beloningsprogramma voor kwetsbaarheden (VRP)
• Bug Bounty-programma van Starbucks

Er zijn ook sjablonen die je kunt gebruiken:

• Bindende operationele richtlijn VDP-sjabloon van het Agentschap voor Cyberbeveiliging en Infrastructuurbeveiliging
• Secuna VDP Sjabloon
• Disclose.io VDP Sjabloon

Op zijn minst moet je het volgende toevoegen:

1. Een lijst van systemen/software binnen en buiten het bereik.
2. Regels en verwachtingen voor de onderzoeker met betrekking tot gedrag, communicatie en rapportage.
3. Manieren waarop de onderzoeker contact met u kan opnemen.
4. Een indicatie van Safe Harbor, waardoor de onderzoeker erop kan vertrouwen dat u geen juridische stappen tegen hem onderneemt.

Het bestand security.txt

Naast het beleid zelf is er ook veel belangstelling voor een speciaal security.txt-bestand dat op je openbare webserver staat en onderzoekers belangrijke informatie over je programma biedt. Op securitytxt.org vind je een fantastische webtool om dit bestand te genereren, samen met instructies voor het in gebruik nemen ervan.

Het is je misschien opgevallen dat het bestand security.txt een verwijzing bevat naar je PGP-sleutel voor e-mailversleuteling. Dit deel is optioneel (zoals al het andere dat we tot nu toe hebben besproken), maar wordt vaak aanbevolen voor degenen die ervoor kiezen om de inhoud van gevoelige e-mails te versleutelen.

Hier zijn een paar manieren waarop je een PGP-sleutel kunt genereren:

• Voor degenen onder jullie die Windows gebruiken, raad ik Gpg4Win aan.
• Voor Linux zijn er veel handleidingen; hier is er een van.

Publieke vs. private programma's

Een VDP kan er in twee smaken zijn:

Openbare programma's zijn programma's die voor iedereen toegankelijk zijn; elke onderzoeker kan op elk moment deelnemen en de details van je programma zijn algemeen bekend.

• Pro: Zorgt ervoor dat u uw systemen en producten optimaal in de gaten houdt.
• Con: Kan een aanzienlijke hoeveelheid middelen vereisen om alle inzendingen te triagen (waarvan de meeste waarschijnlijk bevindingen en rapporten van lage kwaliteit zullen bevatten).

Besloten programma’s zijn alleen op uitnodiging toegankelijk; onderzoekers moeten eerst uw toestemming vragen om deel te nemen, en de details van uw programma worden niet openbaar gemaakt.

• Pro: Helpt het aantal problemen tot een minimum te beperken voor degenen die niet over de middelen beschikken om bij te blijven.
• Con: Kan door sommige leveranciers worden misbruikt als een spreekverbod of als een "minimale inspanning" showcase.

Het wordt vaak aangeraden om te beginnen met een privaat programma en te evolueren naar een publiek programma nadat je zeker bent dat je het volume van 5-10x het aantal ingediende rapporten aankan.

Kwetsbaarheid belonen ("Bug Bounties")

Hoewel sommige onderzoekers pro bono werken, wil de meerderheid liever gecompenseerd worden voor hun inspanningen. Dit deel kan gevoelig worden als een onderzoeker betaling eist voor een inspanning die ongevraagd was.

Je bent door geen enkele wet of morele code verplicht om iemand te belonen voor zijn of haar ongevraagde inspanningen, noch zou je je verplicht moeten voelen om dit te doen als het niet binnen je budget valt. Dat gezegd hebbende, de meerderheid van de onderzoekers kan en zal elke compensatie of erkenning voor hun inspanningen, groot of klein, waarderen.

Enkele ideeën om onderzoekers te belonen:

• Geld, waarbij kritischere zaken hoger beloond worden
• Bedrijfs Swag
• Naamsvermelding op een Hall of Fame pagina
• Kortingen en cadeaubonnen voor gewone winkels
• Munten, beeldjes of kleine snuisterijen die hun prestaties symboliseren
• Betaalde abonnementen voor veelgebruikte hackingtools of leermiddelen

Het belangrijkste aspect van dit hoofdstuk is dat je vanaf het begin duidelijke verwachtingen schept. Zorg ervoor dat je beloningsbeleid duidelijk op je website staat beschreven, om de kans op misverstanden zo klein mogelijk te houden.

Ik wil mensen betalen, maar hoeveel is redelijk?

Ik voel de behoefte om te benadrukken dat dit deel volledig aan jou is.

Op het moment van schrijven variëren de beloningsbedragen van Google voor beveiligingskwetsbaarheden van slechts $100 tot maar liefst $31.337, terwijl die van Apple tussen vijf en zeven cijfers liggen. Een praktischer voorbeeld is wellicht het programma van Slack, waar de beloningsbedragen onlangs zijn verhoogd van 100 tot 1.500 dollar naar 250 tot 5.000 dollar naarmate het programma zich verder ontwikkelde. Begin klein en werk je omhoog.

Eén ding om voorzichtig mee te zijn is elke onderzoeker die een vergoeding eist voordat hij zijn bevindingen indient. In het beste geval is dit onethisch; in het slechtste geval is het chantage en zijn er juridische gevolgen.

Tijdlijnen voor herstel en openbaarmaking

Er zijn een paar basisverwachtingen die alle leveranciers moeten schetsen en naleven:

1. Tijdig een eerste reactie geven aan de onderzoeker binnen 1-3 werkdagen.
2. Probeer het probleem binnen maximaal 90 dagen op te lossen.
3. Geef de onderzoeker regelmatig routine-updates over het probleem en de oplossing ervan.

Met betrekking tot het publiekelijk bekendmaken van problemen die zijn ontdekt, zijn er drie stromingen:

Privé onthulling

De details van het probleem worden vertrouwelijk behandeld. Het probleem wordt stilletjes opgelost en noch de onderzoeker, noch de leverancier geeft ooit een publieke verklaring.

• Pro: Als de details van het probleem niet bekend worden gemaakt, is het minder waarschijnlijk dat iemand anders het ontdekt en een exploit schrijft.
• Nadeel: Mensen die hier kwetsbaar voor zijn, zullen zich misschien nooit bewust worden van het bestaan ervan. Om deze reden moet je op je hoede zijn voor VDP- of bugbounty-programma’s die alleen vertrouwelijke meldingen toestaan.

Volledige openbaarmaking (ook bekend als Public Disclosure)

De details van het probleem worden gepubliceerd zodra de onderzoeker ze ontdekt.

• Pro: Zet de leverancier onder druk om initiatief te nemen en prioriteit te geven aan een patch.
• Con: Hackers kunnen een exploit gebruiken voordat leveranciers de kans hebben om een patch uit te brengen.

Verantwoordelijke openbaarmaking (ook bekend als gecoördineerde openbaarmaking)

De details van het beveiligingsprobleem worden pas openbaar gemaakt in onderlinge afstemming tussen de onderzoeker en de leverancier nadat er een patch voor het publiek beschikbaar is gesteld. Dit wordt algemeen beschouwd als het meest gepaste beleid.

• Pro: Balans tussen herstel en publicatie wordt bereikt.
• Con: Hackers kunnen de details nog steeds gebruiken om een exploit te schrijven voor verouderde en onbeheerde systemen.

Is het mogelijk om iemand in te huren om dit allemaal voor mij af te handelen?

Dat klopt! Als je op zoek bent naar hulp van experts, zijn er verschillende bedrijven waaruit je kunt kiezen, waarbij HackerOne en Bugcrowd ongetwijfeld de twee populairste opties zijn.

Heeft Datto een VDP?

Jazeker! Ga naar https://dat.to/vdp voor meer informatie.

Heb je vragen, opmerkingen of zorgen?Stuur me dan gerustrechtstreeks een e-mail op [email protected].