A kiberbiztonsági válaszadók Traffic Light Protocol-ja megújul

A „protokoll” szó mindenhol felbukkan az IT-ben, általában leírva a kérelmező és a válaszadó közötti adatcsere részleteit.

Így van HTTP, rövidítésünk hipertext átviteli protokoll, amely elmagyarázza a webszerverrel való kommunikációt; SMTP, ill egyszerű levélátviteli protokoll, amely szabályozza az e-mailek küldését és fogadását; és BGP, a határátjáró protokoll, amelynek segítségével az internetszolgáltatók megmondják egymásnak, hogy mely internetes célállomásokra és milyen gyorsan tudnak segíteni az adatok továbbításában.

De van egy fontos protokoll is, amely segít az informatikában dolgozó embereknek, beleértve a kutatókat, a válaszadókat, a rendszergazdákat, a menedzsereket és a felhasználókat, hogy körültekintően kezeljék a kiberbiztonsági fenyegetésekkel kapcsolatos információkat.

Ez a protokoll az úgynevezett TLP, rövidítése a Közlekedési lámpa protokoll, amelyet a kiberbiztonsági információk címkézésének nagyon egyszerű módjaként fejlesztettek ki, hogy a címzett könnyen rájöhessen, mennyire érzékenyek, és milyen széles körben oszthatók meg anélkül, hogy a helyzet rosszabbodna.

Érdekes módon nem mindenki támogatja azt az elképzelést, hogy a kiberbiztonsági információk terjesztését valaha is korlátozni kell, még ha önként is.

A rajongók az ún teljes nyilvánosságra hozatal ragaszkodnak ahhoz, hogy a lehető legtöbb információ minél szélesebb körben történő közzététele a lehető leggyorsabban a sebezhetőségek, kizsákmányolások, kibertámadások és hasonlók kezelésének legjobb módja.

A teljes nyilvánosságot jelentő szószólók szabadon beismerik, hogy ez néha a kiberbűnözők kezére játszik, mivel egyértelműen azonosítja azokat az információkat, amelyekre szükségük van (és átadja azokat az ismereteket, amelyekre korábban esetleg nem rendelkezett), hogy azonnal indíthassanak támadásokat, még mielőtt bárki készen állna.

A teljes nyilvánosságra hozatal azzal is megzavarhatja a kibervédelmet, hogy mindenhol arra kényszeríti a rendszeradminisztrátorokat, hogy abbahagyják, amit csinálnak, és azonnal eltereljék a figyelmüket valami olyasmire, amire egyébként biztonságosan be lehetett volna ütemezni egy kicsit később, ha csak nem a háztetőkről kiabálták volna.

Egyszerű, könnyű és igazságos

Mindazonáltal a teljes nyilvánosságra hozatal hívei elmondják, hogy mi sem egyszerűbb, könnyebb vagy igazságosabb, mint egyszerre mindenkinek elmondani.

Végtére is, ha elmondja néhány embernek, de másoknak nem, hogy elkezdhessenek potenciális védelmet készíteni az összehasonlító titokban, és így esetleg megelőzzék a kiberbűnözőket, akkor valójában ronthatja a világ helyzetét.

Ha a belső körben akár csak egy ember is szélhámosnak bizonyul, vagy véletlenül kiadja a titkot egyszerűen a reakciók természetéből adódóan, vagy a hirtelen tett tervek miatt, akkor a szélhámosok nagyon jól jöhetnek. úgyis fejlesszék a titkos információkat maguknak…

…és akkor mindenki más, aki nem tagja a belső körnek, a farkasok közé kerül.

Egyáltalán, ki dönti el, hogy mely személyek vagy szervezetek kerüljenek be a belső körbe (vagy az „Öregfiúk Klubjába”, ha pejoratívan akarunk fogalmazni)?

Ezenkívül a teljes nyilvánosságra hozatali doktrína biztosítja, hogy a vállalatok ne söpörjék a szőnyeg alá a problémákat, és ne tegyenek ellene semmit.

A hírhedt (és problémás, de ez egy másik nap érve) 1992-es hackerfilm, a Sneakers szavaival élve: – Nincs több titok, Marty.

Felelősségteljes nyilvánosságra hozatal

A teljes nyilvánosságra hozatal azonban manapság általában nem így történik a kiberbiztonsági válaszlépésekkel.

Valójában a kiberfenyegetéssel kapcsolatos adatok bizonyos típusai egyszerűen nem oszthatók meg etikusan vagy jogilag, ha ez sértheti valakinek a magánéletét, vagy maguk a címzettek megsérthetik az adatvédelmi vagy adatbirtoklási előírásokat.

Ehelyett a kiberbiztonsági ipar nagyrészt egyfajta középútra telepedett le a kiberbiztonsági információk jelentésében, amelyet informálisan felelősségteljes nyilvánosságra hozatal.

Ez a folyamat azon az elgondoláson alapul, hogy a kiberbiztonsági problémák megoldásának legbiztonságosabb és legigazságosabb módja anélkül, hogy azokat azonnal az egész világ elé tárnák, ha a problémákat okozó embereknek „első lépést” adunk a megoldásukhoz.

Például, ha egy távelérési termékben olyan lyukat talál, amely biztonsági megkerüléshez vezethet, vagy ha olyan hibát talál egy szerveren, amely távoli kódfuttatáshoz vezethet, akkor ezt privátban jelentse a termék szállítójának (vagy a csapat, aki vigyáz rá, ha nyílt forráskódú).

Ezután megállapodnak velük egy titoktartási időszakról, amely jellemzően néhány naptól néhány hónapig tart, és ezalatt titokban rendezhetik, ha akarják, és csak a javítások elkészülte után hozzák nyilvánosságra a véres részleteket.

Ám ha a megbeszélt időszak eredménytelenül telik le, akkor teljes nyilvánosságra hozatali módba vált, és úgyis mindenki előtt elárulja a részleteket, így biztosítva, hogy a problémát ne lehessen egyszerűen a szőnyeg alá söpörni és a végtelenségig figyelmen kívül hagyni.

Ellenőrzött megosztás

Természetesen a felelősségteljes nyilvánosságra hozatal nem jelenti azt, hogy a kezdeti jelentést kapó szervezet kénytelen megtartani az információt

A privát jelentés kezdeti címzettjei dönthetnek úgy, hogy mindenképpen meg akarják-e osztani a hírt, esetleg korlátozottan.

Például, ha van egy kritikus javítása, amelyhez a szervezet több részének együttműködésére van szükség, akkor nemigen lesz más választása, mint az információ belső megosztása.

Ha pedig kijön egy javítás, amelyről tudja, hogy kijavít egy nemrégiben felfedezett biztonsági rést, de csak akkor, ha ügyfelei módosításokat hajtanak végre a konfigurációban, mielőtt kieresztik, érdemes korai figyelmeztetést adni nekik, hogy felkészülhessenek.

Ugyanakkor érdemes szépen megkérni őket, hogy még ne mondjanak el mindent a világ többi részének a problémáról.

Vagy esetleg egy folyamatban lévő kibertámadást vizsgál, és a nyomozás előrehaladtával különböző mennyiségű részletet szeretne felfedni a különböző közönségek számára.

Vannak általános tanácsai, amelyeket biztonságosan és hasznosan megoszthat most az egész világgal.

Előfordulhat, hogy vannak olyan konkrét adatai (például IP-blokkoló listák vagy más kompromittációs jelek), amelyeket csak egy céggel szeretne megosztani, mert az információk elkerülhetetlenül áldozatként tárják fel őket.

És érdemes lehet mindent felfedni, amint megtudja, az egyes bűnüldöző nyomozóknak, akikre bízik, hogy felkutatják az érintett bűnözőket.

Hogyan kell felcímkézni az információkat?

Hogyan lehet egyértelműen megjelölni ezeket a különböző szintű kiberbiztonsági információkat?

A bűnüldöző szervek, a biztonsági szolgálatok, a katonaságok és a hivatalos nemzetközi szervek jellemzően saját szakzsargonnal rendelkeznek, ún védő jelölés, ilyesmire, olyan címkékkel, amiket mindannyian kémfilmekből ismerünk, mint pl SECRET, TOP SECRET, FOR YOUR EYES ONLY, NO FOREIGN NATIONALS, És így tovább.

Ám a különböző címkék a világ különböző részein mást jelentenek, ezért ez a fajta védőjelölés nem alkalmas nyilvános használatra sok különböző nyelven, régióban és kiberbiztonsági kultúrában.

(Néha ezek a címkék nyelvi kihívást jelenthetnek. Például egy, az Egyesült Nemzetek Szervezete által készített bizalmas dokumentumot fel kell-e címkézni UN - CLASSIFIED? Vagy ezt rosszul értelmeznék UNCLASSIFIED és széles körben megosztják?)

Mi a helyzet egy címkézési rendszerrel, amely egyszerű szavakat és nyilvánvaló globális metaforát használ?

Ott a Közlekedési lámpa protokoll bejön.

A metafora, amint azt biztosan kitalálta, a szerény közlekedési jelzőlámpa, amely ugyanazokat a színeket használja, nagyjából azonos jelentéssel a világ szinte minden országában.

A PIROS azt jelenti, hogy álljunk meg, és semmi mást, csak megállást; A BOROSTYNA azt jelenti, hogy megáll, kivéve, ha ez önmagában veszélyes; a ZÖLD pedig azt jelenti, hogy szabad elmenni, feltéve, hogy ez biztonságos.

A modern közlekedési jelzőlámpák, amelyek LED-ekkel bizonyos fényfrekvenciákat állítanak elő, ahelyett, hogy szűrőket távolítanának el az izzólámpák nemkívánatos színsávjairól, annyira fényesek és pontosan céloznak, hogy egyes joghatóságok már nem veszik a fáradságot a leendő járművezetők úgynevezett színvakság-vizsgálatával, mert a három kibocsátott frekvenciasáv olyan szűk, hogy szinte lehetetlen összekeverni, és jelentésük olyan jól megalapozott.

Még akkor is, ha olyan országban élsz, ahol a közlekedési lámpáknak vannak további „köztes” jelzései, például zöld+borostyán együtt, piros+borostyán együtt, vagy egy szín folyamatosan villog önmagában, a világon szinte mindenki érti a közlekedési lámpák metaforáit. csak e három fő szín alapján.

Valójában még akkor is, ha megszokta, hogy a középső fényt SÁRGÁNAK hívja SÁRGA helyett, ahogy egyes országok teszik, nyilvánvaló, hogy mire utal a BOROSTYÁN, már csak azért is, mert a középen lévő nem PIROS vagy ZÖLD.

TLP 2.0 verzió

A Közlekedési lámpa protokoll elvét követve vezették be először 1999-ben Legyen egyszerű és egyértelmű (KISS), hasznos címkézési rendszerré vált a kiberbiztonsági jelentések számára.

Végül a TLP-hez négy szintre volt szükség, nem háromra, így a FEHÉR színt hozzáadták, hogy azt jelentse, hogy „ezt bárkivel megoszthatod”, és a jelölőket nagyon konkrétan a szöveges karakterláncokként határozták meg. TLP:RED (csupa nagybetű, szóköz nélkül), TLP:AMBER, TLP:GREEN és a TLP:WHITE.

A szóközök kihagyásával a címkéken és a nagybetűkre kényszerítve egyértelműen kiemelkednek az e-mail tárgysoraiból, könnyen használhatók rendezéskor és kereséskor, és véletlenül sem osztódnak sorok között.

Nos, több mint 20 évnyi szolgálat után a TLP kisebb frissítésen esett át, így 2022 augusztusától Traffic Light Protocol 2.0.

Először is, a FEHÉR színt a CLEAR színre cserélték.

A fehérnek nemcsak faji és etnikai felhangjai vannak, amelyeket a közönséges tisztesség elkerülni int, hanem zavaróan képviseli az összes többi színt is, amelyek keverednek, mintha azt jelentené, hogy egyszerre menj és állj meg.

A TISZTA tehát nem csak egy olyan szó, amely kényelmesebben illeszkedik a mai társadalomba, hanem olyan is, amely jobban (ahem) felel meg a rendeltetésének.

És egy ötödik jelző is hozzáadásra került, mégpedig TLP:AMBER+STRICT.

A szinteket a következőképpen értelmezzük:

TLP:RED	"Csak az egyes címzettek szemére és fülére." Ez meglehetősen könnyen értelmezhető: ha kap egy TLP:RED kiberbiztonsági dokumentumot, akkor intézkedhet róla, de nem továbbíthatja másnak. Így nincs szükség arra, hogy megpróbálja kitalálni, hogy érdemes-e tudatnia barátaival, kollégáival vagy kutatótársával. Ez a szint azon információk számára van fenntartva, amelyek okozhatnak „jelentős kockázatot jelent az érintett szervezetek magánéletére, hírnevére vagy működésére nézve.”
TLP:AMBER+STRICT	Ezt az információt megoszthatja, de csak a szervezetén belüli más személyekkel. Így megbeszélheti a programozói csapatokkal vagy az informatikai részleggel. De "házon belül" kell tartani. Nevezetesen, nem továbbíthatja azt ügyfeleinek, üzleti partnereinek vagy beszállítóinak. Sajnos a TLP dokumentáció nem próbálja meghatározni, hogy a vállalkozó vagy a szolgáltató házon belüli vagy külső. Javasoljuk, hogy kezelje a kifejezést „A megosztást a szervezetre korlátozza csak" a lehető legszigorúbban, amint azt ennek a biztonsági szintnek a neve is sugallja, de gyanítjuk, hogy egyes vállalatok liberálisabb értelmezést fognak adni ennek a szabálynak.
TLP:AMBER	Mint a TLP:BOROSTYA+SZIGORA, de megoszthatja az információkat az ügyfelekkel (a TLP dokumentum valójában ezt a szót használja ügyfél részére) ha szükséges.
TLP:GREEN	Ezt az információt megoszthatja közösségén belül. A TLP rád bízza, hogy ésszerűen döntsd el, mely emberek alkotják a közösségedet, csak ezt jegyezd meg „Ha a „közösség” nincs meghatározva, tegyük fel a kiberbiztonsági/védelmi közösséget.” A gyakorlatban azt is feltételezheti, hogy bármi, amit TLP:GREEN néven tesznek közzé, köztudomásúvá válik, de az Ön felelőssége, hogy átgondolja, hogyan osztja meg.
TLP:CLEAR	Nagyon egyszerűen megoszthatja ezt az információt bárkivel, akit szeretne. Ahogy a TLP fogalmaz: „A címzettek ezt továbbíthatják a világ; a nyilvánosságra hozatalnak nincs korlátozása." Ez a címke különösen hasznos, ha két vagy több dokumentumot oszt meg egy megbízható féllel, és legalább az egyik dokumentum korlátozott megosztásra van jelölve. Ha elhelyezi a TLP:CLEAR-t a tartalomra, amelyet megoszthatnak, és amit a tudatosság növelése érdekében szeretné, hogy megosszák, akkor teljesen egyértelművé válik a figyelme, ha megbocsátja a szójátékot.

Csak az egyértelműség kedvéért (elnézést!) nem tesszük TLP:CLEAR minden általunk közzétett Naked Security cikkben, mivel ez a webhely már nyilvánosan elérhető, de felkérjük Önt, hogy ezt vállalja.

---