Akrites projekt haavatavuste operatiivseks kõrvaldamiseks

Käivitati projekt Akrites, et koordineerida haavatavuste parandamist ja nendega seotud teabe avalikustamist kriitiliselt olulises avatud tarkvaras. Projekt loodi Linux Foundation'i toetusel koos ettevõtetega Amazon Web Services, Anthropic, Cisco, Ericsson, Google, IBM, Microsoft/GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Sonatype ja Vodafone, samuti mittetulundusühingu Rust Foundation.

Projekti osalised pakuvad rahastamist, inseneritehnikat ja arvutiturbe ekspertiisi, et luua koostööalti intsidentide reageerimise meeskond (SIRT, Security Incident Response Team). Moodustatav meeskond tegeleb uute haavatavuste tuvastamise, haavatavuste aruanne analüüsimise ja kontrollimise, ohtude taseme kinnitamise, paranduste arendamise avatud projektide hooldajatega ning haavatavuste teabe avalikustamise koordineerimisega. Haavatavuste teabe avalikustamine toimub samal ajal paranduste väljaandmisega peamistes projektides, distributsioonides ja sõltuvates toodetes.

Tähelepanu juhitakse sellele, et kui varem oli eksploiteerimise loomiseks vajalikud eksperdieksamid ja pikk arendusprotsess, siis tänapäeva AI-tööriistade võimalused võimaldavad kvalifitseerimata kurjategijatel luua töötava eksploidi mõne tunni jooksul, kasutades probleemi parandamiseks välja antud teavet. Juhul, kui haavatavuse parandus on välja antud ilma nähtava avalikustamiseta, mis seondub turvaprobleemidega, võivad kasutajad ja sõltuvate projektide arendajad ignoreerida uuendust ning kurjategijad saavad AI-tööriistade abil kiiresti eksploidi valmistada ning rünnata uuendamata süsteeme.

Sellistes tingimustes muutub probleemide kiire lahendamine, teabe lekke vältimine paranduste arendamise ajal, haavatavuste teabe avalikustamine koos paranduste väljaandmisega ning kasutajateni viimine teabe lülitamisest uuenduse installimise vajalikkusest äärmiselt oluliseks. Eraldi tööd tehakse kriitilise taristu, oluliste teenuste ja projektide haavatavustest teavitamiseks, kuna potentsiaalsete rünnakute tõkestamise seisukohalt ei ole oluline mitte ainult paranduse avalikustamine, vaid ka selle kiire rakendamine.

Selle kõrval seab projekt eesmärgiks vähendada hooldajate koormust, võttes enda kanda sellised ülesanded nagu dubleeritud probleemide aruannete filtreerimine, haavatavuste olemasolu kinnitamine ja abi pakkumine paranduste arendamisel ja testimisel.
Olulistes pakettides, mis on jäänud ilma aktiivsete hooldajate, avastatud haavatavuste korral, võtab projekt Akrites enda kanda paranduste ettevalmistamise ja integreerimise töö.

Allikas: opennet.ru