De ontwikkeling van Datto's programma voor het bekendmaken van kwetsbaarheden

Het is nu iets meer dan een jaar geleden dat Datto in november 2020 zijn Vulnerability Disclosure Program (VDP) lanceerde. Zes maanden later publiceerden we een blog met de titel ‘Security for MSPs: VDP’s, bug bounties en verantwoord melden’, waarin we richtlijnen en advies gaven over hoe je op een zinvolle manier met een VDP kunt omgaan. Het kostte ons enkele maanden van interne discussies om te beslissen of we ons eigen programma voor het melden van kwetsbaarheden of een Bug Bounty-programma (BBP) wilden lanceren. We moesten ook beslissen of we het programma zelf wilden beheren, of dat we de traditionele weg zouden volgen en deze taak zouden uitbesteden aan een externe leverancier.

Nadat we onze opties hadden bekeken en ons grondig hadden verdiept in wat programma’s van derden te bieden hebben, zijn we begonnen met de implementatie van ons eigen, door Datto beheerde programma voor het melden van kwetsbaarheden. Het beheren van ons eigen programma was voordelig vanwege de flexibiliteit die het bood. Hoewel we gaandeweg veel waardevolle lessen hebben geleerd – waar we later op terugkomen – was het destijds de juiste keuze. Zo konden we ons onlangs bijgewerkte en verbeterde programma voor het verhelpen van kwetsbaarheden testen, dat wordt beheerd door onze huidige directeur applicatiebeveiliging, Emilyann Fogarty.

Omdat het moeilijk was om in te schatten in hoeverre er gebruik van het programma zou worden gemaakt, hebben we er uiteindelijk voor gekozen om bij veel onderdelen van ons VDP bewust voorzichtig te werk te gaan. Het gaat hierbij om onderdelen van het beleid zoals het toepassingsgebied, de verwachtingen, erkenning enzovoort. Het doel van deze eerste versie van ons VDP was simpelweg om inzicht te krijgen in hoe goed onze interne processen functioneerden, vanaf de ontvangst van meldingen tot en met de herstelmaatregelen voor producten.

In de eerste maand van het programma ontvingen we één melding. De maand daarop waren dat er twee. Ik herinner me dat ik dacht: „Oké, dit valt best mee”. In januari 2021 ontvingen we vervolgens zes meldingen. Gelukkig bleek geen van deze meldingen een bevestigde kwetsbaarheid of een ernstig beveiligingsrisico te zijn; ze werden ofwel afgesloten, ofwel gemarkeerd als verbeterpunt voor toekomstige productontwikkeling.

In februari 2021 ontvingen we opnieuw zes meldingen, maar deze keer kreeg een van de gemelde kwetsbaarheden een kritieke interne CVSS-score. Ik ben er trots op te kunnen melden dat de productverantwoordelijken en ontwikkelaars binnen 27 dagen met het kwaliteitscontroleproces konden beginnen en de gemelde kwetsbaarheid binnen 35 dagen volledig hebben verholpen, ondanks de enigszins complexe aard ervan. Deze trend in de doorlooptijd van het herstel zette zich gedurende heel 2021 voort. De gemiddelde hersteltijd voor alle producten samen bedroeg maar liefst 35,8 dagen, wat de branchenorm van 90 dagen ruimschoots overtreft. Dit omvat de volledige levenscyclus van de melding, van de eerste melding en triage tot volledige herstel, waarbij de oplossing in de productieomgeving wordt geïmplementeerd.

De trend van een toenemend aantal meldingen zette zich voort. In het tweede kwartaal verdubbelde het aantal meldingen ten opzichte van het eerste kwartaal, en tegen het einde van het jaar ontvingen we gemiddeld eens per 1,8 werkdagen een melding die ons triageproces doorliep. We hebben veel geleerd over het verbeteren van onze producten via onze nieuwe VDP-processen, onze interne processen voor het verhelpen van kwetsbaarheden en enkele uitdagingen bij het opzetten en beheren van een programma voor het melden van kwetsbaarheden.

In de eerste maanden van het VDP stuurden deelnemers e-mails naar een inbox die direct ons incidentresponsteam in gang zette. Al vroeg beseften we dat dit op de lange termijn waarschijnlijk niet de beste aanpak was. Hoewel alle meldingen ons interne triageproces moeten doorlopen, is het bij sommige misschien niet nodig dat het incidentresponsteam wordt ingeschakeld. Daarom zijn we in april 2021 overgestapt op het ontvangen van kwetsbaarheidsmeldingen via [email protected]. Op dat moment viel het VDP nog onder het Offensive Security-team van Datto, dat volledig verantwoordelijk was voor de triage, het aanmaken van tickets, het bijhouden van de herstelmaatregelen en de communicatie met deelnemers.

Ik wil even pauzeren in mijn verhaal over ons programma voor het melden van kwetsbaarheden (VDP), omdat er bij Datto iets anders aan de hand was dat heel belangrijk was en cruciaal voor het succes van het VDP. In 2019 begonnen een aantal van onze beveiligingsingenieurs aan ons traject in het kader van het Building Security In Maturity Model (BSIMM). 

VDP v2.0 van Datto

Vandaag mag ik met veel plezier aankondigen dat Datto versie 2.0 van ons programma voor het melden van kwetsbaarheden officieel heeft gelanceerd.

Gezien de voortdurende groei van ons kwetsbaarheidsbeheerprogramma, de uitgebreide mogelijkheden en capaciteiten die de Security Champions ons bieden, een jaar aan gegevens uit ons VDP en een toegewijd team voor applicatiebeveiliging dat helpt bij het onderhoud en beheer van het programma, voelden we ons klaar om de volgende stap te zetten.

We hebben veel geleerd van ons eerste jaar, maar ik ga me concentreren op enkele uitdagingen die we hebben geïdentificeerd en die we hebben gekozen om aan te pakken als onderdeel van de volgende stappen voor het VDP. Deze zijn gekozen op basis van feedback van deelnemers met wie we rechtstreeks hebben samengewerkt, voortdurende feedback van diverse MSP-gemeenschappen en inzichten van andere beveiligingsprofessionals. Door deze feedback en ons besef van het belang van het verbeteren van het VDP als dienst, hebben we drie hoofddoelen vastgesteld:

• Onze eigen interne processen verbeteren met het oog op uitbreiding van onze activiteiten
• Blijf een positieve en op samenwerking gerichte ervaring bevorderen voor deelnemers aan het programma en gebruikers van Datto-producten
• De flexibiliteit en transparantie van het programma verbeteren

Verbetering van onze interne processen

Uitdaging: Hoe kunnen we openbaarmakingen beter bijhouden en ordenen?

Gedane ervaringen

• Door de overstap naar [email protected] is er één centrale bron van deelnemers aan het programma ontstaan, wat heeft geleid tot een betere opvolging en communicatie.
• Het bijhouden van openbaarmakingen via een spreadsheet was op de lange termijn geen haalbare oplossing.

Oplossing

• We hebben een geautomatiseerde, op VDP afgestemde workflow geïmplementeerd om statistieken en de status van corrigerende maatregelen bij te houden en de communicatie met de deelnemers te verbeteren.
• We houden ons aan een SLA voor communicatie en automatiseren onze rapportage om deze doelstellingen te realiseren.

Blijf een positieve en op samenwerking gerichte ervaring bevorderen voor deelnemers aan het programma en gebruikers van Datto-producten

Uitdaging: Hoe kunnen we de onduidelijkheid en subjectiviteit rond de vraag wat een geldige openbaarmaking is, verminderen?

Gedane ervaringen

• Ons VDP-beleid maakte het voor deelnemers niet duidelijk welke ernstscores Datto hanteert bij het verhelpen van kwetsbaarheden.
• Onze beleidsrichtlijnen inzake VDP waren vaag wat betreft de vraag wat een doeltreffende en geldige melding precies inhoudt.

Oplossing

• We hebben ons VDP-beleid bijgewerkt en daarin duidelijke richtlijnen opgenomen over wat wel en wat niet onder het beleid valt.
• We hebben de formulering bijgewerkt met betrekking tot wat onder een aanvaardbare openbaarmaking wordt verstaan.

Uitdaging: Hoe kunnen we de communicatie tussen Datto en de deelnemers verbeteren?

Gedane ervaringen

• De timing van de communicatie kan voor de deelnemers wat onregelmatig overkomen.
• Soms hielden we dagelijks contact, soms werd er slechts één keer per maand of eens in de paar maanden een update gegeven.
• Beveiligingsonderzoekers werken liever rechtstreeks samen met Datto dan met een derde partij of een crowdsourced platform.
• VDP v1.0 bood de mogelijkheid tot beloningen tussen de 20 en 2.000 USD, met een gemiddelde uitbetaling van ongeveer 210 USD. Het gebrek aan transparantie over de mogelijke hoogte van de beloningen en de criteria voor het bepalen van de uitbetaling was een veelvoorkomend punt van kritiek onder de deelnemers.

Oplossing

• We hebben ons VDP-beleid bijgewerkt om beter te omschrijven wat deelnemers aan het programma van Datto kunnen verwachten. Dit omvat onder meer de verwachtingen op het gebied van communicatie, die nu zijn gebaseerd op de interne ernstscore die aan geldige meldingen wordt toegekend. Het is onze bedoeling om te zorgen dat er te allen tijde sprake is van een voorspelbare en responsieve communicatiestroom in beide richtingen.
• We hebben ons VDP-beleid bijgewerkt om duidelijker vast te leggen wat wij (Datto) van deelnemers verwachten, zodat meldingen tijdig kunnen worden beoordeeld.
• We hebben onze VDP-beloningen aangepast en er is nu een nieuwe beloningsschaal van $101 – $10.101 USD.
• We hebben de transparantie rond het besluitvormingsproces voor de uitbetaling van beloningen vergroot. We beseffen echter wel dat we op dit gebied nog werk te doen hebben.

De flexibiliteit en transparantie van het programma verbeteren

Het verbeteren van de flexibiliteit en transparantie van het programma gebeurt vanzelf door te streven naar het bereiken van onze eerste twee doelstellingen. Dit geldt met name voor onze tweede doelstelling: „het blijven bevorderen van een positieve en op samenwerking gerichte ervaring voor deelnemers aan het programma en Datto-producten”. Om dit te bereiken, is een zekere mate van transparantie en eerlijkheid van onze kant vereist. Dit helpt deelnemers om ons rapporten van hoge kwaliteit te verstrekken en om te begrijpen wat ze van ons kunnen verwachten wanneer ze aan het programma deelnemen. Onze eerste doelstelling, „onze eigen interne processen verbeteren in het vooruitzicht van een uitbreiding van de reikwijdte”, helpt ons om een zekere mate van transparantie en consistentie te bieden door ervoor te zorgen dat interne processen kunnen voldoen aan de behoeften van onze producten, deelnemers en AppSec als geheel.

Uitdaging: Hoe kunnen we tegemoetkomen aan de toenemende behoefte aan transparantie rond onze beveiligingsactiviteiten en ons VDP?

Gedane ervaringen

• Sommige deelnemers en leden van de gemeenschap hebben de oorspronkelijke bewoordingen van het VDP opgevat als een beperking van hun mogelijkheid om hun werk openbaar te maken. In werkelijkheid hebben we nog nooit een onderzoeker belet zijn of haar bevindingen openbaar te maken. Het kan moeilijk zijn om iedereen tevreden te stellen, vooral wanneer men de procedure niet volgt. We zijn echter van mening dat er ruimte is om onze bewoordingen aan te passen en te werken aan het wegnemen van deze misvattingen, zodat deze beter aansluiten bij de werkelijkheid die onderzoekers hebben ervaren in hun samenwerking met ons.

Oplossing

• We hebben het VDP aangepast met enkele verduidelijkingen, waaronder het volgende: “In overeenstemming met ons streven naar samenwerking en transparantie zal het Datto-team voor informatiebeveiliging de goedkeuring voor openbaarmaking niet weigeren, tenzij Datto te goeder trouw van mening is dat vertrouwelijkheid vereist is om wezenlijke schade te voorkomen.”

De vernieuwde VDP en wat daarna komt

Waarom kiezen we ervoor om het bestaande programma te actualiseren in plaats van over te stappen op een programma van een derde partij? In het kader van de werkzaamheden om het VDP te actualiseren, wilden we inzicht krijgen in de behoeften van onze partners en de bredere gemeenschap. Daarnaast wilden we nagaan wat de gevolgen zouden zijn van de keuze voor een derde partij om ons VDP en BBP uit te breiden, in vergelijking met het zelf blijven beheren ervan.

Na gesprekken met enkele van deze externe leveranciers werd het steeds duidelijker dat veel van de bedrijven die ervoor kozen om met hen in zee te gaan, dit mogelijk deden vanwege een gebrek aan interne processen en capaciteiten. Eén leverancier in het bijzonder adviseerde ons dat we er beter aan zouden doen ons bestaande VDP uit te breiden in plaats van hun platform te gebruiken. Ons eigen onderzoek wees op iets soortgelijks: het feit dat een bedrijf een externe leverancier inschakelde voor zijn VDP of BBP, betekende nog niet dat het tijdig reageerde op openbaarmakingen, of zich ertoe verbond om maatregelen te nemen of hierover te communiceren.

Na analyse van de gegevens van het afgelopen jaar waren we ervan overtuigd dat we al over de capaciteit beschikten om meldingen te verwerken en beloningen uit te betalen, en tegelijkertijd een betere algehele ervaring te bieden zonder gebruik te maken van een gangbaar platform van een derde partij. We zijn van plan het programma in verschillende fasen voortdurend te verbeteren, waarbij zowel stapsgewijze verbeteringen als ingrijpende programmawijzigingen zullen worden doorgevoerd, allemaal bewust ontworpen om deelnemers meer flexibiliteit, inzicht en transparantie te bieden.

Deze update is slechts de eerste stap in de ontwikkeling van ons VDP, waarbij we ernaar streven om deelnemers een ongeëvenaarde ervaring te bieden en uiteindelijk de applicatiebeveiliging van onze producten en diensten te verbeteren. Bij Datto zijn we ervan overtuigd dat beveiliging een teaminspanning is en de verantwoordelijkheid van iedereen. We streven ernaar om die cultuur zowel intern als extern verder uit te bouwen. Ik ben ontzettend trots op het werk dat we de afgelopen twee jaar hebben verricht en kijk uit naar toekomstige mededelingen waarin we de geboekte vooruitgang met u delen.