Os programas de divulgação de segurança de fornecedores, comumente chamados de programas de divulgação de vulnerabilidades (VDP) ou programas de recompensa por bugs (bug bounty), são os mecanismos pelos quais pesquisadores de segurança externos e clientes comunicam vulnerabilidades descobertas aos fornecedores de software. Um programa de divulgação maduro e bem conduzido oferece alerta antecipado sobre vulnerabilidades antes da divulgação pública, um processo de remediação organizado que produz correções dentro do prazo de divulgação coordenada e comunicação aos clientes afetados que lhes permite implementar soluções de contorno ou planejar a implantação de correções antes que a vulnerabilidade se torne pública. Um programa de divulgação apenas nominal, que acusa o recebimento dos relatos, mas não faz a remediação dentro do prazo de divulgação coordenada, entrega a pesquisadores, clientes e, por fim, atacantes uma vulnerabilidade crítica publicada e sem correção.
O prazo de divulgação coordenada é a norma do setor que rege a relação entre pesquisadores de segurança e fornecedores. A norma predominante, estabelecida pelo Google Project Zero e amplamente adotada, é de 90 dias entre a notificação privada e a divulgação pública, após os quais o pesquisador pode publicar independentemente da disponibilidade de correção. Alguns pesquisadores concedem prorrogações para vulnerabilidades complexas. O fornecedor que recebe o relato de uma vulnerabilidade crítica tem aproximadamente 90 dias para desenvolver e lançar uma correção antes que a vulnerabilidade seja publicada para a comunidade de segurança, inclusive para os agentes de ameaça que monitoram divulgações de vulnerabilidades. Um fornecedor que não consegue remediar vulnerabilidades críticas em 90 dias é um fornecedor que regularmente entregará vulnerabilidades críticas não corrigidas aos clientes no momento da divulgação pública.
A lacuna de notificação aos clientes é a falha operacional do cenário inicial. Mesmo fornecedores que corrigem dentro do prazo de divulgação coordenada frequentemente deixam de notificar os clientes corporativos antes da divulgação pública, sem dar aos clientes a oportunidade de aplicar soluções de contorno ou se preparar para a implantação emergencial da correção antes que a vulnerabilidade se torne pública. A notificação antecipada aos clientes, que alerta os clientes afetados sobre a vulnerabilidade e a correção disponível antes da divulgação pública, é a prática que dá às equipes de segurança corporativas o tempo de preparação que a divulgação pública simultânea não dá.
Por que isso importa
Os programas de divulgação de segurança de fornecedores são relevantes para TPRM porque determinam com que rapidez as vulnerabilidades no software dos fornecedores são descobertas, remediadas e comunicadas aos clientes. Um fornecedor com um programa de divulgação maduro e bem executado oferece mais segurança à cadeia de suprimentos do que um com um programa apenas nominal que não é executado, independentemente das alegações de marketing de cada um sobre a maturidade de seu programa de segurança.
- Existência do programa de divulgação aceita sem avaliação de qualidade
- Cumprimento dos prazos de correção não avaliado: o fornecedor corrige em até 90 dias?
- Notificação antecipada aos clientes não incluída na avaliação de fornecedores
- Cumprimento do prazo de divulgação coordenada não acompanhado
- Escopo do programa de recompensa por bugs não avaliado: quais categorias de vulnerabilidades estão cobertas
Como é uma boa prática
Avaliações maduras de programas de divulgação de fornecedores perguntam sobre o cumprimento dos prazos de correção (que percentual das vulnerabilidades críticas é corrigido dentro da janela de divulgação coordenada) e sobre as práticas de notificação antecipada aos clientes (os clientes recebem aviso prévio antes da divulgação pública?).
- Dados de cumprimento dos prazos de correção: percentual de CVEs críticos corrigidos em até 90 dias
- Notificação antecipada aos clientes: os clientes corporativos recebem aviso antes da divulgação?
- Escopo do programa: quais categorias de vulnerabilidades estão no escopo
- Métricas de participação de pesquisadores: indicador de saúde do programa
- Análise histórica dos prazos de divulgação: qual foi o desempenho histórico do fornecedor
Ferramentas
Avaliação de Programas de Divulgação: Disclose.io para padrões de programas; HackerOne e Bugcrowd para sinais de qualidade dos programas
A reputação dos programas de divulgação dos fornecedores na comunidade de pesquisadores de segurança (com que rapidez os fornecedores respondem, se corrigem dentro dos prazos e se se comunicam de forma adequada) fornece sinais de qualidade dos programas que as políticas publicadas não fornecem. Consultar a opinião da comunidade de pesquisadores nas principais plataformas de recompensa por bugs oferece uma avaliação complementar de qualidade, junto com a documentação oficial do programa.
Desafios de governança
O desafio de governança da avaliação de programas de divulgação é a disponibilidade de dados empíricos. O cumprimento histórico dos prazos de correção, isto é, o desempenho real do fornecedor em vulnerabilidades divulgadas, exige analisar divulgações anteriores de CVE em relação às datas de lançamento das correções, o que é viável, mas trabalhoso. A solução de governança é concentrar a análise histórica nas vulnerabilidades mais críticas do fornecedor e complementá-la com indicadores de qualidade do programa vindos da comunidade de pesquisadores.
- Pergunte sobre o cumprimento dos prazos de correção: percentual de CVEs críticos corrigidos em até 90 dias
- Pergunte sobre a prática de notificação antecipada aos clientes
- Revise o histórico de prazos de divulgação de vulnerabilidades críticas relevantes
- Inclua a maturidade do programa de divulgação na avaliação de segurança do software do fornecedor
- Exija no contrato com o fornecedor o compromisso de notificação antecipada em divulgações de vulnerabilidades críticas
Se você faz parte de uma equipe pequena
Para os seus três fornecedores de software mais críticos, levante as três últimas vulnerabilidades críticas divulgadas publicamente. Anote quando cada uma foi relatada (se for público), quando a correção foi lançada e quando a vulnerabilidade foi divulgada publicamente. Calcule o prazo de correção de cada uma. Se o fornecedor corrige de forma consistente dentro da janela de divulgação coordenada de 90 dias, seu programa de divulgação está funcionando. Se ele perde a janela com frequência, os pesquisadores passarão cada vez mais a contornar o programa e publicar vulnerabilidades não corrigidas, que é o cenário que expõe a sua empresa sem aviso prévio.
- Levante os três últimos CVEs críticos dos principais fornecedores de software: análise dos prazos de correção
- Pergunte sobre a notificação antecipada aos clientes em divulgações críticas
- Exija compromisso de notificação antecipada nos contratos com fornecedores
- Inclua o cumprimento do programa de divulgação na reavaliação de fornecedores
O que exigir
Pergunte diretamente:
“Que percentual dos relatos de vulnerabilidades críticas enviados ao seu programa de divulgação é corrigido dentro do prazo de divulgação coordenada, e vocês notificam antecipadamente os clientes corporativos antes que uma vulnerabilidade crítica seja divulgada publicamente?”
O que esperar como evidência
- Dados de cumprimento dos prazos de correção para divulgações críticas
- Processo e prazo de notificação antecipada aos clientes
- Escopo do programa de divulgação e informações de contato
- Tratamento da divulgação crítica mais recente como estudo de caso
A um fornecedor que confirma ter um programa de divulgação de segurança, deve-se perguntar sobre o cumprimento dos prazos de correção e a notificação antecipada aos clientes. A existência do programa é o ponto de partida. O cumprimento dos prazos de correção e a notificação antecipada determinam se o programa entrega o valor de segurança da cadeia de suprimentos que deveria oferecer.
Como comprovar
- Registros de avaliação da qualidade do programa de divulgação
- Análise histórica dos prazos de correção
- Requisito de notificação antecipada no contrato com o fornecedor
- Avaliação do programa de divulgação na revisão de fornecedores
Principal conclusão
Programa de divulgação: publicado e confirmado. Relato enviado. Recebimento confirmado. 7 meses: vulnerabilidade publicada, sem correção. Clientes corporativos: nenhum aviso prévio. O programa existia. O processo dentro dele não cumpriu o prazo de divulgação coordenada. Os pesquisadores publicam quando o prazo expira; não têm alternativa. As empresas recebem a vulnerabilidade publicada ao mesmo tempo que toda a comunidade de segurança, incluindo os agentes de ameaça. Os dados de cumprimento dos prazos de correção dizem se o programa do fornecedor entrega resultados ou apenas existe. O compromisso de notificação antecipada dá aos clientes corporativos a janela de preparação que a divulgação pública simultânea elimina.