Проект Akrites за координиране на оперативното отстраняване на уязвимости

Обявен е проектът Akrites за координиране на корекцията на уязвимости и разкритията за уязвимости в критично важен отворен софтуер. Проектът е създаден под шапката на Linux Foundation с участието на компаниите Amazon Web Services, Anthropic, Cisco, Ericsson, Google, IBM, Microsoft/GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Sonatype и Vodafone, както и на неправителствената организация Rust Foundation.

Участниците в проекта ще предоставят финансиране, инженерни ресурси и експертиза в областта на компютърната сигурност за създаването на съвместен екип за реакция на инциденти (SIRT, Security Incident Response Team). Създаденият екип ще се занимава с идентифицирането на нови уязвимости, анализа и проверката на доклади за уязвимости, потвърждаването на нивото на опасност, разработването на корекции в сътрудничество с поддръжниците на отворените проекти и координирането на процеса на разкритие на информация за уязвимости. Разкритията за уязвимости ще бъдат синхронизирани с издаването на корекции в основните проекти, дистрибутиви и зависими продукти.

Отбелязва се, че ако преди е било необходимо експертно знание и дълъг процес на разработка за създаване на експлойти, то съвременните възможности на AI инструментите позволяват на неквалифицирани нарушители да създадат работещ експлоит за броени часове, използвайки информация за патч, разрешаващ проблема. В случай че корекцията за уязвимост е издадена без явно оповестяване за свързаността с проблемите за безопасност, потребителите и разработчиците на зависими проекти могат да игнорират актуализацията, а нарушителите с помощта на AI инструменти бързо да подготвят експлоит и да започнат да атакуват необновените системи.

В подобни условия е важно бързото решение на проблема, предотвратяване на изтичане на информация по време на разработването на патчове, както и едновременно с публикуването на корекцията разкритие на информация за уязвимостта и информираност на потребителите относно необходимостта от инсталиране на актуализация. Отделна работа ще се провежда за информиране за уязвимостите на оператора на критична инфраструктура, важни услуги и проекти, тъй като от гледна точка на блокирането на потенциални атаки е важна не само публикацията на патча, но и неговото бързо прилагане.

Освен това проектът си поставя за цел да облекчи натоварването на поддържащите, поемайки задачи като отсяване на дублиращи се отчети за проблеми, потвърдителни проверки на уязвимостите и оказване на помощ при разработването и тестването на корекции.
При откриване на уязвимости в важни пакети, останали без активни поддържащи, проектът Akrites ще поеме подготовката и интеграцията на корекции в тях.

Източник: opennet.ru