Poziomy ważności zgłoszeń dotyczących bezpieczeństwa

Źródła wiedzy o lukach w zabezpieczeniach

• Zgłoszenia ze skanerów zabezpieczeń, np. przesyłane przez Nexpose, Cloud Conformity, Snyk
• Zgłoszenia błędów wykrytych przez badaczy zabezpieczeń za pośrednictwem platformy Bugcrowd
• Luki w zabezpieczeniach zgłaszane przez zespół ds. bezpieczeństwa w ramach przeglądów
• Luki w zabezpieczeniach zgłaszane przez zespół Atlassian

Struktura i ocena ważności

Atlassian wykorzystuje Common Vulnerability Scoring System (CVSS) jako metodę oceny ryzyka związanego z zabezpieczeniami i ustalania priorytetu dla każdej wykrytej luki. CVSS jest standardowym wskaźnikiem branżowym dotyczącym luk w zabezpieczeniach. Więcej informacji na temat CVSS zawiera witryna FIRST.org.

Poziomy ważności

Zalecenia Atlassian dotyczące bezpieczeństwa obejmują poziom ważności. Taki poziom ważności jest oparty na naszym obliczonym samodzielnie wyniku oceny CVSS dla poszczególnych luk w zabezpieczeniach.

• Krytyczny
• Wysoki
• Średni
• Niski

W odniesieniu do CVSS w wersji 3 Atlassian stosuje następujący system oceny ważności:

Poziom ważności: krytyczny

Luki w zabezpieczeniach, które uzyskują wynik odpowiadający krytycznemu poziomowi ważności, zwykle wykazują większość z opisanych poniżej cech:

• Wykorzystanie luki w zabezpieczeniach prawdopodobnie skutkuje naruszeniem serwerów lub urządzeń infrastrukturalnych na poziomie root.
• Wykorzystanie luki przebiega zwykle w prosty sposób w tym sensie, że sprawca ataku nie potrzebuje żadnych specjalnych poświadczeń uwierzytelniających ani wiedzy na temat poszczególnych ofiar, nie musi nakłaniać użytkownika docelowego, na przykład stosując strategie właściwe dla inżynierii społecznej, do wykonywania żadnych specjalnych funkcji.

W przypadku krytycznych luk w zabezpieczeniach zaleca się możliwie jak najszybsze zainstalowanie poprawki lub uaktualnienia, chyba że podjęto inne środki eliminujące zagrożenie. Takim środkiem eliminującym zagrożenie może być na przykład uniemożliwienie dostępu do instalacji za pośrednictwem Internetu.

Poziom ważności: wysoki

Luki w zabezpieczeniach, które uzyskują wynik odpowiadający wysokiemu poziomowi ważności, zwykle wykazują niektóre z opisanych poniżej cech:

• Luka jest trudna do wykorzystania.
• Wykorzystanie luki może doprowadzić do uzyskania podwyższonych uprawnień.
• Wykorzystanie luki może spowodować znaczną utratę danych lub przestoje.

Poziom ważności: średni

Luki w zabezpieczeniach, które uzyskują wynik odpowiadający średniemu poziomowi ważności, zwykle wykazują niektóre z opisanych poniżej cech:

• Luki w zabezpieczeniach, które wymagają od sprawcy ataku manipulowania poszczególnymi ofiarami za pomocą taktyk inżynierii społecznej.
• Luki narażające na ataki typu „DoS”, które są trudne do przygotowania.
• Exploity wymagające od sprawcy ataku dostępu do sieci ofiary.
• Luki w zabezpieczeniach, których wykorzystanie zapewnia tylko bardzo ograniczony dostęp.
• Luki w zabezpieczeniach, których wykorzystanie wymaga uprawnień użytkownika.

Poziom ważności: niski

Luki w zabezpieczeniach, które uzyskują wynik odpowiadający niskiemu poziomowi ważności, mają zazwyczaj bardzo niewielki wpływ na działalność organizacji. Wykorzystanie takich luk wymaga zazwyczaj dostępu do systemu na poziomie lokalnym lub fizycznym. Poziom ważności luk w kodzie innych firm nieosiągalnych z poziomu kodu Atlassian może zostać obniżony do niskiego poziomu.

Oś czasu działań naprawczych

Atlassian wyznacza docelowe poziomy świadczenia usług dotyczące usuwania luk w zabezpieczeniach na podstawie poziomu ważności problemu z zabezpieczeniami i dotkniętego produktu. Zdefiniowaliśmy ramy czasowe naprawiania problemów związanych z bezpieczeństwem zgodnie z naszymi zasadami usuwania błędów zabezpieczeń.

Ramy czasowe działań naprawczych w trybie przyspieszonym dotyczą:

• Wszystkich produktów chmurowych Atlassian
• Jira Align (zarówno w wersji Cloud, jak i w wersjach samodzielnie zarządzanych)
• Każdego innego oprogramowania lub systemu zarządzanego przez Atlassian lub działającego w infrastrukturze Atlassian

Ramy czasowe działań naprawczych w trybie wydłużonym dotyczą:

• Wszystkich samodzielnie zarządzanych produktów Atlassian
  • Są to produkty instalowane przez klienta w systemach zarządzanych przez klienta
  • Obejmuje to aplikacje serwerowe, dla centrów danych, komputerowe i mobilne firmy Atlassian

Ramy czasowe działań naprawczych CVSS