취약점 공개의 체계적 관리: 접수, 수정 및 알림

이 가이드가 달성하는 목표

• 보고를 가능하게 하고 안전하게 만듭니다.
• 모든 보고서에 담당자를 지정합니다.
• 검증 가능한 수정 사항을 조정합니다.
• 사용자에게 실행 가능한 지침을 제공합니다.

빠른 확인

• 고객 계정 없이 보고서를 보낼 수 있습니까?
• 범위 및 허용된 테스트가 명확합니까?
• 주요 담당자 부재 시 누가 응답합니까?
• 어떤 제품 및 공급업체가 해당 결함을 공유합니까?
• 어떤 임시 완화 조치가 유용합니까?
• 권고 사항에 실제로 영향을 받는 버전이 명시되어 있습니까?

단계별 방법

1. 1

   명확한 정책을 게시하십시오.

   범위, 피해야 할 테스트, 연락 채널, 유용한 보고서 세부 정보 및 대응 프로세스를 명시하십시오. 해당 정책을 귀사의 상황에 맞게 검토받으십시오.

   결과물: 게시된 정책 및 모니터링 채널.

2. 2

   증거를 확인하고 보호하십시오.

   수신을 확인하고 식별자를 할당하고 민감한 정보의 배포를 제한하며 문제를 재현하는 데 필요한 증거만 요청하십시오.

   결과물: 담당자가 지정된 날짜가 기재된 보고서.

3. 3

   범위를 평가하고 확장하십시오.

   시스템에 피해를 주지 않고 재현하십시오. 악용 가능성, 자산, 버전, 데이터 및 다른 제품이나 공급업체와 공유하는 구성 요소를 검토하십시오.

   산출물: 영향 평가 및 이해관계자 지도.

4. 4

   문제 해결 조정

   보고자 및 관리자와 정기적으로 소통합니다. 검증 마일스톤에 합의하고 위험 또는 배포 방식이 변경될 경우 커뮤니케이션을 조정합니다.

   산출물: 공유된 타임라인, 수정 사항 및 회귀 테스트.

5. 5

   게시 및 후속 조치

   영향을 받는 버전, 수정 사항 또는 완화 조치, 사용자 조치 및 불확실성을 설명합니다. 배포를 확인하고 사실 관계가 변경될 경우 권고 사항을 업데이트합니다.

   산출물: 버전별 권고 사항 및 배포 증거.

관리 지표

일반적인 실수

• 위험도와 관계없이 하나의 마감일 약속
• 보고자에게 과도한 개인 정보 요구
• 확인을 수정으로 간주
• 사용 가능한 완화 조치 전에 상세한 악용 증거 게시
• 파트너가 포함시킨 버전 고려 안 함