CISA BOD 26-04: pilna poprawka i szybki triage muszą iść razem

14 października CISA dodała do katalogu aktywnie wykorzystywanych podatności m.in. luki w Cisco Secure Email Gateway i PAN-OS. Przy obu wskazała 17 października jako termin dla amerykańskich agencji federalnych oraz oznaczyła wymóg forensic triage. To praktyczny przykład nowego modelu: pilna poprawka ma zatrzymać dalsze wykorzystanie, a szybka analiza śladów odpowiedzieć, czy napastnik wszedł wcześniej.

Podstawą jest Binding Operational Directive 26-04 opublikowana przez CISA 10 czerwca oraz jej aktualizowany przewodnik wdrożeniowy. Dyrektywa jest obowiązkowa dla objętych nią amerykańskich cywilnych agencji federalnych. Nie nakłada obowiązków na polskie firmy.

Wniosek Breachroad: organizacje spoza tego zakresu mogą wykorzystać logikę CISA jako model operacyjny. Najcenniejsza nie jest konkretna liczba dni, ale połączenie czterech informacji: czy zasób jest wystawiony, czy luka jest faktycznie wykorzystywana, czy atak można automatyzować i jaką kontrolę daje przejęcie.

Priorytet nie wynika wyłącznie z CVSS

BOD 26-04 opiera pilność na ekspozycji zasobu, obecności podatności w katalogu KEV, możliwości automatyzacji wykorzystania i technicznym wpływie ataku. To różnica wobec kolejki ułożonej wyłącznie od najwyższego wyniku CVSS.

Dwa serwery z tym samym CVE mogą wymagać innej kolejności. Publiczna brama pocztowa, dla której potwierdzono ataki i możliwość przejęcia systemu, jest innym zadaniem niż odłączona instancja laboratoryjna. Ocena musi być jednak oparta na dowodach. Jeżeli firma nie potrafi wiarygodnie stwierdzić, czy zasób jest dostępny z internetu, nie ma danych potrzebnych do priorytetyzacji.

CISA wymaga ciągłego identyfikowania i oznaczania zasobów wystawionych publicznie. W firmie podobną rolę pełni aktualna inwentaryzacja powiązana ze skanowaniem zewnętrznej powierzchni ataku, właścicielem usługi i środowiskiem. Lista urządzeń bez informacji o ekspozycji i odpowiedzialności jest za mało użyteczna w trzydniowym oknie.

Najpierw zabezpiecz ślady, ale nie zostawiaj otwartych drzwi

Przewodnik CISA dzieli szybki triage na sześć etapów. Podane czasy są rekomendowanymi praktykami, a nie odrębnymi obowiązkowymi terminami każdego kroku:

1. określenie zakresu i uruchomienie zespołu w pierwszych dwóch godzinach;
2. zachowanie oraz zebranie danych w ciągu 2–24 godzin;
3. krytyczne łatanie i stabilizacja w tym samym oknie 2–24 godzin;
4. izolacja oraz kontrola systemów w ciągu 6–24 godzin;
5. analiza śladów w ciągu 24–48 godzin;
6. decyzja o eskalacji i raport w ciągu 48–72 godzin.

Etapy częściowo nakładają się celowo. Zespół nie powinien czekać na zakończenie wielodniowego dochodzenia, gdy internetowy system nadal można przejąć. Nie powinien też bezrefleksyjnie restartować i aktualizować urządzenia, jeżeli ta operacja usunie pamięć, logi lub inne potrzebne ślady.

Właściwa kolejność zależy od sytuacji: szybko ogranicz ekspozycję, zbierz najbardziej ulotne i istotne dane, wdroż naprawę, a następnie potwierdź stan. Działania techniczne muszą być koordynowane przez osobę, która widzi potrzeby bezpieczeństwa, ciągłości działania i materiału dowodowego.

Jak wygląda minimalny raport triage

CISA proponuje, aby raport zawierał oś czasu incydentu i reakcji, ustalenia „kto, co, gdzie i kiedy”, wykonane ograniczenia oraz rekomendowane kolejne kroki. Wynik powinien prowadzić do jednej z trzech decyzji: brak znalezionych dowodów przejęcia i wzmożony monitoring, potwierdzony incydent i pełna reakcja albo utrzymane podejrzenie wymagające dalszej analizy.

„Brak dowodów” nie oznacza matematycznego dowodu braku włamania. Trzeba zapisać, jakie źródła były dostępne, jaki okres obejmowały i czego nie dało się sprawdzić. Urządzenie przechowujące tylko kilka godzin logów daje inną pewność niż korelacja z niezależnym SIEM, systemem tożsamości i przepływami sieciowymi.

Raport nie musi być długi. Musi pozwalać właścicielowi biznesowemu odpowiedzieć, czy usługa może dalej działać, jakie ryzyko pozostaje i kto podejmuje kolejną decyzję.

Model dla firm: trzy role i jeden kanał awaryjny

Własną procedurę warto oprzeć na trzech jasno nazwanych rolach. Właściciel techniczny zna wersję, architekturę i sposób bezpiecznej zmiany. Osoba odpowiedzialna za incydent pilnuje dowodów, zakresu i eskalacji. Właściciel biznesowy ocenia wpływ przerwy, danych i komunikacji.

Zespół potrzebuje także kanału komunikacji niezależnego od potencjalnie przejętego środowiska. Jeżeli incydent dotyczy poczty, czat i lista kontaktowa nie powinny zależeć wyłącznie od tej samej tożsamości lub infrastruktury.

Scenariusz do ćwiczenia jest prosty: CISA dodaje lukę w krytycznej bramie, dostawca potwierdza ataki, a firma ma 72 godziny na ograniczenie ryzyka i wiarygodną decyzję o incydencie. Uczestnicy powinni wskazać zasoby, właścicieli, dane do zachowania, kolejność zmian i treść raportu dla zarządu. Takie decyzje ćwiczymy podczas warsztatów reagowania na incydenty i szkoleń cyberbezpieczeństwa dla organizacji.

Szczegółowy cykl opisujemy w poradniku o zarządzaniu podatnościami. Zastosowanie modelu w polskiej firmie, podział ról i scenariusz ćwiczenia są rekomendacjami Breachroad; zakres prawny dyrektywy, czynniki priorytetyzacji i etapy triage pochodzą z materiałów CISA.