Patch the Planet: агентуудын илрүүлсэн ноцтой эмзэг байдлын эсрэг дэлхий даяарх хамтын ажиллагаа
Сүүлийн хоёр сарын турш бид хөгжүүлэлт хариуцагчид, судлаачид, аюулгүй байдлын үйлчилгээ үзүүлэгчдийн хамтын ажиллагааг удирдан, вэбсайт, вэб аппликейшн ажиллуулахад ашигладаг нээлттэй эхийн програмчлалын хэл PHP-ийн ноцтой эмзэг байдлуудыг засахаар ажиллалаа. Манай Patch the Planet(шинэ цонхонд нээгдэнэ) санаачилгын хүрээнд Calif нь GPT‑5.6 Sol ашиглан ноцтой доголдол илрүүлсэн. Wiz мөн хоёр эмзэг байдлыг хоёуланг нь бие даан илрүүлж, мэдээлсэн. PHP-ийн хөгжүүлэлт хариуцагчид засварыг боловсруулж, гаргах ажлыг удирдсан. Манай багууд болон Wiz, Cloudflare зэрэг түншүүд судалгаа, техникийн дэмжлэг, зохицуулалтаар тусалж, мэдээллийг нийтэд зарлахаас өмнө хамгаалалт бэлтгэсэн.
PHP ашигладаг байгууллагуудын хувьд одоо засваруудыг суулгах нь нэн тэргүүний ажил юм. Бид PHP-ийн хувилбар шалгагчийг Codex-ийн ур чадвар болгон хуваалцаж байна.(шинэ цонхонд нээгдэнэ) Энэ нь систем хариуцагчдад эмзэг байж болзошгүй PHP хувилбаруудыг илрүүлэх, PHP болон үйлчилгээ үзүүлэгчдийнхээ заавартай хамтатган ямар шинэчлэлт суулгахаа тодорхойлоход тусална.
Эдгээр доголдлын ноцтой байдал, PHP-ийн өргөн хэрэглээг харгалзан бид үүнийг сүүлийн үеийн хамгийн их нөлөөтэй аюулгүй байдлын асуудлуудын нэг гэж үзэж байна. Энэ нь хиймэл оюун ухаан (ХОУ) интернэт даяар нөлөөлөх аюулгүй байдлын доголдлыг илрүүлж чаддагийг харуулж байна. Гэвч энэ чадвар нь халдагчдад довтлох хэрэгсэл, эмзэг байдлыг ашиглах кодыг хурдан боловсруулахад ч тусалж болно.
Бидний мэдэж байгаагаар хил хязгаарын ХОУ эдгээр эмзэг байдлыг халдагчдаас түрүүлж илрүүлсэн. Ингэснээр хөгжүүлэлт хариуцагчид, аюулгүй байдлын үйлчилгээ үзүүлэгчдэд нийтэд зарлахаас өмнө засвар, хамгаалалт бэлтгэх хамгаалагчдын боломжит хугацаа бий болсон.
Эдгээр чадварыг илүү олон хамгаалагч ашиглахад туслахын тулд бид Тэргүүн шугамын хамгаалагчдад зориулсан Daybreak хөтөлбөрөөр Daybreak ашиглах эрхэд 1 тэрбум ам.долларын татаас олгохоор болсон. Энэ нь амин чухал үйлчилгээг хамгаалдаг ч аюулгүй байдлын нөөц хязгаарлагдмал байгууллагуудад чиглэнэ.
Эдгээр алдаа хэдий ноцтой ч бидний илрүүлж, засахаар ажиллаж буй хэд хэдэн ноцтой эмзэг байдлын зөвхөн нэг хэсэг юм. Ирэх саруудад ийм илрүүлэлт эрс нэмэгдэнэ гэж бид үзэж байна. Өнөөг хүртэл хуримтлуулсан туршлагадаа тулгуурлан, өргөн хэрэглээний программ хангамжийн ноцтой эмзэг байдалд хариу арга хэмжээ авах ХОУ-ын эринд нийцсэн аргачлалыг санал болгож байна. Үүнийг сайжруулахад аюулгүй байдлын мэргэжлийн хүрээнийхнийг хувь нэмрээ оруулахыг урьж байна. Энэ аргачлал манай загварууд, аюулгүй байдлын мэргэжлийн мэдлэг, хөгжүүлэлт хариуцагчдыг нэгтгэн, илрүүлсэн асуудлыг бодит хамгаалалт болгох, ХОУ-ын чадвар ахихын хэрээр өргөжих хариу арга хэмжээг бүрдүүлэхэд тусална.
Засварыг хэрэглээнд нэвтрүүлэхийн тулд хуучин хувилбарт тохируулах, үйлчилгээ үзүүлэгчдийн эрсдэл бууруулах арга хэмжээг бэлтгэх, олон байгууллагын системийг шинэчлэх шаардлага гарч болно. Давтан ашиглах үйл явц нь илүү олон эмзэг байдал илрэхэд эдгээр багийг хурдан ажиллахад тусална.
Patch the Planet-аар дамжуулан бид PHP-д авах арга хэмжээнд аюулгүй байдлын мэдлэг, загвар ашиглах эрхээр дэмжлэг үзүүлж, хөгжүүлэлт хариуцагчид, судалгааны түншүүдтэй хамтран засварыг туршиж, заавар бэлтгэсэн. Мөн өртсөн системүүдийг хамгаалах ажлыг дэд бүтцийн үйлчилгээ үзүүлэгчидтэй уялдуулж, зааврыг чухал байгууллагуудад хүргэхийн тулд төрийн кибер аюулгүй байдлын байгууллагуудтай хамтран ажилласан. Энэ нь хөгжүүлэлт хариуцагчдын удирдсан хариу арга хэмжээг дэмжиж, бусад хамгаалагчдад бэлтгэл хангахад тусалсан.
Зарим тохиолдолд судлаачид программын хөгжүүлэлт хариуцагчидтай шууд хамтран асуудлыг судалж, засвар боловсруулж болно. Харин олон бүтээгдэхүүнд нөлөөлөх, эсвэл түгээгчид, үйлчилгээ үзүүлэгчдэд шинэчлэлт, хамгаалалт бэлтгэх хугацаа хэрэгтэй бол илүү өргөн хүрээний арга хэмжээ шаардлагатай. Хил хязгаарын чадварууд нийтэд хүртээмжтэй чадваруудаас төдийлөн түрүүлээгүй бол энэ хугацаа давчуу байж болно. Ийм тохиолдолд санал болгож буй аргачлал нь хөгжүүлэлт хариуцагчдад хэнийг оролцуулахаа тодорхойлж, ажлыг уялдуулахад тусална. Хариу арга хэмжээ таван үе шаттай байж болно:
Эх төсөл дэх эмзэг байдлыг баталгаажуулж, засах. Хөгжүүлэлт хариуцагч, судлаачид, гол техникийн түншүүд илрүүлэлтийг баталгаажуулж, нөлөөг үнэлэн, засвар боловсруулж туршина. Үүнд хил хязгаарын загваруудаар халдлагын туршилт хийж, засварыг тойрч гарах арга болон тухайн эмзэг байдлын холбоотой хувилбаруудыг хайх ажил багтана.
Өртсөн байгууллагуудад арга хэмжээ авах хугацаа олгох. Хамгаалалт бэлтгэхийн тулд ямар байгууллагад урьдчилсан мэдээлэл хэрэгтэйг үнэлэх аргачлалыг бид санал болгож байна. Харин хэнийг оролцуулахыг хөгжүүлэлт хариуцагчид шийднэ. Бид холбоо тогтоох, мэдээлэл хуваалцах гэрээ байгуулах, багуудын ажлыг уялдуулахад тусална. Түгээгч засварыг хуучин хувилбарт тохируулж, хостингийн үйлчилгээ үзүүлэгч эрсдэл бууруулах арга туршиж, аюулгүй байдлын үйлчилгээ үзүүлэгч вэб аппликейшний галт ханын (WAF) дүрэм зэрэг илрүүлэх, сэргийлэх арга хэмжээ бэлтгэж болно.
Чухал системүүдийг хамгаалахын тулд төрийн түншүүдтэй ажлаа уялдуулах. Төрийн байгууллагууд өргөн хүрээний хариу арга хэмжээг уялдуулах, чухал дэд бүтэц болон бусад амин чухал үйлчилгээг хариуцдаг байгууллагуудад аюулгүй байдлын заавар хүргэхэд гол үүрэгтэй. PHP-ийн хувьд бид түншүүдтэйгээ хамтран АНУ-ын засгийн газрын хэд хэдэн нэгж, тухайлбал Цагаан ордны Хэт оюун ухааны баг, Үндэсний кибер асуудал эрхэлсэн захирлын алба (ONCD), Кибер аюулгүй байдал, дэд бүтцийн аюулгүй байдлын агентлаг (CISA), мөн олон улсын түншүүдтэй холбоо тогтоож, энэ ажлыг дэмжсэн.
Өртсөн бүтээгдэхүүнүүдийн шинэчлэлтийг бэлтгэх. Засвар, заавар, нийтэд зарлах төлөвлөгөө тогтворжихын хэрээр хөгжүүлэлт хариуцагчид нэмэлт түгээгчид, хостинг болон бусад үйлчилгээ үзүүлэгчид, хариу арга хэмжээний багууд, систем хариуцагчдыг оролцуулж, шинэчлэлт бэлтгэн, хамгаалалтад хамрагдаагүй хэсгүүдийг нөхөж болно.
Засвар бэлэн болмогц зааврыг нийтэлж, нэвтрүүлэхэд дэмжлэг үзүүлэх. Нийтэд зориулсан заавар нь өртөх эрсдэлээ үнэлэх, албан ёсны шинэчлэлт эсвэл түр хамгаалалт олох, засвар ажиллаж буйг шалгахад тусална. Систем хариуцагчид шинэчлэлт суулгаж, хаана тусламж хэрэгтэйгээ мэдээлэх явцад хариу арга хэмжээ үргэлжилнэ.
Санал болгож буй аргачлал нь байгууллагын хамгаалах үүрэг, тухайлбал өөрийн систем, хэрэглэгчдийг хамгаалах ажил, арга хэмжээ авахад шаардагдах хугацаа, эмзэг мэдээлэлтэй ажиллах чадавхыг харгалзана. Ижил төрлийн байгууллагуудад ижил шалгуур үйлчлэх бөгөөд нийтэд зарлахаас өмнө хэнийг оролцуулахыг хөгжүүлэлт хариуцагчид шийднэ.
Оролцогч бүр хамгаалалтын ажилдаа хэрэгтэй мэдээллийг авна. Энэ нь халдлагын шинж тэмдэг бүхий сүлжээний бүртгэлээс эхлээд эмзэг байдлыг ашиглаж болохыг нотлох, бодитоор ажилладаг илүү эмзэг код хүртэл байж болно. Багахан мэдээлэл ч эмзэг байдлыг илчилж болох тул бид мэдээлэл хуваалцах эрсдэлийг түүний тусламжтай бий болох хамгаалалттай харьцуулж үнэлнэ.
Энэ аргачлалыг дагах багууд хөгжүүлэлт хариуцагчидтай хамтран хамгаалагчдад бэлтгэх хугацаа олгоно. Бодит халдлага явагдах, мэдээлэл алдагдах, нийтэд гарсан засвар эмзэг байдлыг илчлэх, эсвэл засах ажил саатсанаас хэрэглэгчдийн эрсдэл нэмэгдвэл хугацааг дахин үнэлнэ.
Patch the Planet вэбсайт(шинэ цонхонд нээгдэнэ) нийтэд зарласан мэдээлэл, зааврыг нэгтгэн, систем хариуцагчдад өртсөн системийг илрүүлэх, тохирох шинэчлэлт олох, шинэчилсэн программ зөв ажиллаж буйг шалгахад тусална. PHP-ийн хувьд хөгжүүлэлт хариуцагчдын албан ёсны засвар, шинэчлэх заавар болон манай түншүүдийн техникийн судалгааг зааж өгнө. Зааварт мөн түр хамгаалалт, үйлчилгээ үзүүлэгч эсвэл мэргэжилтнийг хэзээ оролцуулах, нөөцлөх, сэргээх асуудлыг тусгасан. Түр хамгаалалт эрсдэлийг бууруулж болох ч бид түүний хязгаарлалт, үйл ажиллагаанд үзүүлэх сөрөг нөлөөг тодорхой тайлбарлана.
Систем хариуцагчид CISA-ийн эрэмбэлэх, засах зааврыг(шинэ цонхонд нээгдэнэ) ашиглан өртөх эрсдэл, халдлагад ашиглагдаж буй эсэх, болзошгүй нөлөөнд тулгуурлан хэр яаралтай арга хэмжээ авахаа үнэлж болно. Үүнд яаралтай засвар суулгах, эрсдэлийг нэн даруй бууруулах эсвэл төлөвлөгөөт шинэчлэлт хийх арга хэмжээ багтаж болно. Шаардлагатай бол систем аль хэдийн халдлагад өртсөн эсэхийг тогтоох дижитал ул мөрийн анхан шатны шинжилгээг давхар хийнэ. Нөхцөл байдал өөрчлөгдөхөд ажлын эрэмбийг дахин үнэлж, асуудлыг бүрэн засах тодорхой төлөвлөгөөтэй байх хэрэгтэй.
Дэлхий даяарх хамтын ажиллагаа программын хөгжүүлэлт, арчилгааг хариуцдаг хүмүүсээс хамаарна. Олон төслийг жижиг багууд авч явдаг бөгөөд тэд өдөр тутмын хөгжүүлэлтийн хажуугаар аюулгүй байдлын тайлангуудыг хянадаг. Эдгээр багт шинэ асуудлыг давхардсан мэдээллээс ялгах, нөлөөг үнэлэх, дэмжигдэж буй хувилбаруудад засварыг туршихад тусламж хэрэгтэй. Бид энэ ажилд санхүүжилт, өндөр чадвартай загвар ашиглах эрх, инженерийн шууд туслалцаагаар дэмжлэг үзүүлдэг.
ХОУ-ын хүчирхэг чадварууд салбар даяар ахиж байна. Хамгаалагчдад эмзэг байдал илрүүлэх, систем хянах, аюул заналд хариу арга хэмжээ авахад туслах ХОУ-ын үүрэг улам нэмэгдэнэ гэж бид үзэж байна. Хамгаалагчдад эдгээр чадварыг ажилдаа ашиглахад нь туслахын тулд бид загвар, хэрэгсэл, түншлэлд хөрөнгө оруулж байна.
Үүнд Нээлттэй эхийн программд зориулсан Codex хөтөлбөрөөр бүх хөгжүүлэлт хариуцагчдад олгох захиалгын эрх, мөн Rust сан(шинэ цонхонд нээгдэнэ) зэрэг төслийн хөгжүүлэлт хариуцагчид болон техникийн ажлыг шууд ивээн тэтгэх санхүүжилт багтана. Төсөл бүр тэргүүлэх чиглэлээ өөрөө тогтооно. Дахин ашиглах боломжтой туршилт, аюулгүй байдлын ажлын урсгал нь цаашид илрэх асуудлыг шийдэхэд шаардагдах ажлыг багасгаж чадна. Нээлттэй эхийн төслүүд шууд туслалцаа авахын тулд Patch the Planet-д хүсэлт гаргаж(шинэ цонхонд нээгдэнэ) болно.
Мөн зүй бусаар ашиглах боломжийг бууруулахын тулд Daybreak-ийн нэмэлт хориглох ангилагчдын тохиргоог нарийвчилж байна. Энд тэнцвэр олох амаргүй: зүй бус хэрэглээнээс сэргийлэх хамгаалалт нь аюулгүй байдлын хууль ёсны ажлыг ч хориглож болно. Өндөр чадвартай загваруудыг өргөн хүрээнд хүртээмжтэй болгох, зүй бус хэрэглээнээс үр дүнтэй хамгаалах нь хоёулаа нэн чухал. Бид хортой хэрэглээг хязгаарлахын зэрэгцээ хамгаалагчдад эмзэг байдлыг илрүүлж, засахад хэрэгтэй чадваруудыг хадгалахыг зорьж байна. Чадварууд ахиж, эдгээр хэрэгслийн хэрэглээнээс суралцахын хэрээр бид энэ тэнцвэрийг улам сайжруулна.
Загваруудын чадвар нэмэгдэхийн хэрээр боломж нь тус тусын эмзэг байдлыг илрүүлж, засахаас ч өргөн хүрээг хамарна. Бид инженерүүдэд анхнаас нь илүү аюулгүй программ бүтээхэд туслахыг хүсэж байна. Өргөн хэрэглэгддэг бүрэлдэхүүн хэсгийг сайжруулснаар олон бүтээгдэхүүн, үйлчилгээнд алдаа гарахаас сэргийлж, эсвэл нөлөөг нь хязгаарлаж болно.
ХОУ инженерүүдэд одоо байгаа кодыг ойлгох, өөрчлөлт бэлтгэх, туршилт боловсруулахад тусалж чадна. Харин хөгжүүлэлт хариуцагчид, аюулгүй байдлын мэргэжилтнүүд эдгээр өөрчлөлт хэрэглэгчдийн түшиглэдэг ажиллагааг хэвээр хадгалж буйг баталгаажуулна. Бид хэд хэдэн чиглэлд боломж байгааг харж байна:
Анхнаасаа аюулгүй код. Код бичих загварууд хөгжүүлэгчдэд илүү аюулгүй анхдагч тохиргоо сонгох, аюулгүй байдлын сангуудыг зөв ашиглах, код бичих явцдаа эрсдэлтэй хэв маягийг илрүүлэхэд тусална. Хөгжүүлэлтийн явцад эмзэг байдлаас сэргийлснээр хөгжүүлэлт хариуцагчид, хэрэглэгчдэд яаралтай засвар хийх хэрэгцээ багасна.
Санах ойн аюулгүй программ хангамж. Чухал бүрэлдэхүүн хэсгүүдийг санах ойн аюулгүй хэл рүү шилжүүлснээр санах ойн түгээмэл алдаануудыг бүхэл төрлөөр нь арилгаж болно. ХОУ шилжүүлэлтэд тусалж, харин туршилт, мэргэжилтний хяналтаар ажиллагаа, нийцтэй байдлыг шалгаж болно.
Формал баталгаажуулалт. Математик баталгаа нь чухал бүрэлдэхүүн хэсгүүд өгөгдсөн урьдач нөхцөлд аюулгүй байдлын заасан шинжүүдийг хангаж буйг харуулж чадна. Эдгээр аргыг өргөн хэрэглээний бүрэлдэхүүн хэсгүүдэд ашигласнаар тэдгээрт тулгуурладаг үйлчилгээ, чухал дэд бүтцээс эмзэг байдлын бүхэл төрлүүдийг арилгахад тусалж болно.
Илүү найдвартай тусгаарлалт. Системүүд хараахан илрээгүй эсвэл засагдаагүй эмзэг байдлаас хамгаалагдсан байх шаардлагатай. Итгэлгүй эх үүсвэрийн файл, зураг, медиа боловсруулдаг программыг хатуу хязгаарласан тусгаар орчинд ажиллуулснаар халдлагад өртсөн ч хохирлыг хязгаарлаж болно. ХОУ инженерүүдэд өргөн хэрэглэгддэг тусгаарлах технологиудыг туршиж, бэхжүүлэхэд тусалснаар олон аппликейшний хамгаалалтыг сайжруулж чадна.
Хөгжүүлэлт хариуцагчид, судлаачид, хариу арга хэмжээний багууд, үйлчилгээ үзүүлэгчид, систем хариуцагчид энэ аргачлалыг практикт хэрэгжихүйц болгоход туслах боломжтой байхаар бид хуваалцаж байна. Энэ нь хаана тус болох, хаана саатал эсвэл нэмэлт ачаалал үүсгэж болох, мөн бид юуг орхигдуулсныг ойлгохыг хүсэж байна. Өмнө нь эмзэг байдлыг нийтэд зарлаж байсан жишээнүүд онцгой тустай байх болно.
Бид дараах асуудлуудыг онцгойлон сонирхож байна:
Нийтэд зарлахаас өмнөх хугацаа. Хөгжүүлэлт хариуцагчид, систем хариуцагчид, хамгаалагчдад найдвартай засвар бэлтгэж, нэвтрүүлэхэд хэр хугацаа хэрэгтэй вэ? Ялангуяа зарим хэрэглэгчийг бусдаас түрүүлж хамгаалах боломжтой үед ямар нотолгоо гарвал төлөвлөснөөс эрт нийтэд зарлах ёстой вэ?
Яаралтай засвар суулгах. Засгийн газрууд эсвэл бусад систем хариуцагчид өөрийн эзэмшдэг, эсвэл удирдах зөвшөөрөлтэй системийн администраторын хандалтаа алдсан бол эмзэг байдлыг нь ашиглан засвар суулгаж болох уу? Болох бол ямар нөхцөлд вэ? Үүнд ямар хамгаалалтын шаардлага тавих ёстой вэ? Эцэст нь интернэт даяар мэдэгдэж буй эмзэг байдлыг тасралтгүй шалгаж, илэрвэл сайтын эзэмшигчид мэдэгдэх эсвэл системд засвар суулгадаг болох боломжийг бид төсөөлж байна.
Урьдчилан мэдэгдэх. Үр дүнтэй хамгаалалтын арга хэмжээ авахын тулд хэнд урьдчилсан анхааруулга хэрэгтэй вэ? Бидний орхигдуулж болзошгүй хамгаалагчид хэн бэ? Өргөн хүрээнд нэгэн зэрэг мэдэгдэхээс үе шаттай мэдэгдэх нь хэзээ илүү үр дүнтэй вэ? Хамрах хүрээг мэдээлэл алдагдах эрсдэлтэй хэрхэн харьцуулж үнэлэх вэ?
Анхдагч тохиргооноосоо аюулгүй программын багцууд. Эх төслийн засвар гарахыг хүлээх зуур түүнд тулгуурласан багцуудын эмзэг байдлыг илрүүлж, засахад, эсвэл аюулгүй байдлын шинэчлэлт авахаа больсон хуучин хувилбаруудад засварыг тохируулан оруулахад бид хэрхэн туслах вэ? Хугацаанд нь шинэчлэх боломжгүй үед эдгээр багцыг найдвартай сонголт болгохын тулд ямар туршилт, арчилгаа хэрэгтэй вэ?
Мөн аргачлалыг хянаж, суурь таамаглалуудыг нь шүүмжлэн шалгаж, орхигдсон зүйлсийг илрүүлэх аюулгүй байдлын хараат бус мэргэжилтнүүдийг санал болгохыг урьж байна. Таны санал бидэнд хариу арга хэмжээг сайжруулж, дэмжлэгийн тэргүүлэх чиглэлийг тогтооход тусална. Саналаа энд хуваалцаарай(шинэ цонхонд нээгдэнэ).
