Hlásenie incidentov¶

Tento runbook pomáha tímu Weblate vybavovať hlásenia produktovej bezpečnosti a bezpečnostné incidenty ovplyvňujúce služby prevádzkované Weblate. Politika hlásenia a lehoty sú v Riešenie zraniteľností a incidentov. Pre obsiahnutie služby a obnovu použite Plán reakcie na incidenty pre Weblate.

Incident vybavuje jedna osoba s dostupným kolegom ako zálohou. Tí istí ľudia vyšetrovujú, hlásia a komunikujú podľa potreby. Priradenia kontaktov, detaily prístupu a dokončené poznámky o incidente patria do súkromných záznamov tímu.

Prevzatie incidentu¶

Ktokoľvek, kto vidí vierohodné hlásenie aktívneho zneužívania alebo vážny bezpečnostný incident, upozorní kolegov cez Signal. Dostupný kolega prevezme zodpovednosť a menuje zálohu; reakcia nevyžaduje schválenie vedenia. Záloha prevezme, ak sa handler stane nedostupným. Zaznamenajte odovzdanie v poznámke o incidente, aby lehoty a sľúbené aktualizácie zostali viditeľné.

Okamžite začnite jednu súkromnú poznámku o incidente. Zaznamenajte, kedy sa tím dozvedel o relevantných faktoch, pomocou časových pečiatok s časovým pásmom, ideálne UTC. Rozlišujte prijatie počiatočného hlásenia od dozvedenia sa o aktívnom zneužívaní alebo vážnom incidente a zaznamenajte dôkazy pre každé. Nečakajte na opravu, formálne vyhlásenie alebo dokončené vyšetrovanie, aby ste začali prípravu hlásenia.

Posúdenie hlásenia¶

Aktívne zneužívanie znamená spoľahlivé dôkazy, že škodlivý aktér zneužil zraniteľnosť bez povolenia vlastníka systému. Teoretická zraniteľnosť, dôkaz funkčnosti alebo samotná absencia povolenia neustanovujú škodlivé zneužívanie. Promptne vyšetrujte podozrivé zneužívanie a zaznamenajte, čo je známe a neisté. Pozrite Článok 3(42) CRA.
Posúďte incident produktovej bezpečnosti ako vážny, keď poškodzuje, alebo by mohol poškodiť ochranu dôležitých alebo citlivých údajov alebo funkcií, alebo vedie, alebo by mohol viesť, k zavedeniu alebo vykonaniu škodlivého kódu v produkte alebo systémoch používateľov. To zahŕňa vykonanie už prítomného škodlivého kódu. Pozrite Článok 14(5) CRA. Zvážte dostupnosť, autentickosť, integritu a dôvernosť. Samotná závažnosť výpadku prevádzky neurčuje túto klasifikáciu.
Skontrolujte dotknuté verzie, artefakty vydaní a dodané závislosti, vrátane incidentov hlásených vlastnými operátormi. Lokálne obsiahnutie zostáva zodpovednosťou operátora; produktové hlásenie sa posudzuje tu. Dispozícia nálezu za behu podľa Model hrozieb Weblate sama o sebe nerozhoduje, či incident potrebuje hlásenie.
Posúďte obe línie hlásenia, keď aktívne zneužívanie zároveň spôsobí vážny incident. Zaznamenajte samostatné časy dozvedenia sa, kde je appropriate, a sledujte obe lehoty pre záverečné správy.
Skor skontrolujte porušenie osobných údajov, vrátane nehodného alebo nezákonného zničenia, straty alebo zmeny, ako aj neoprávneného zverejnenia alebo prístupu. Posúďte oznámenia o súkromí aj keď neboli zverejnené žiadne údaje. Požiadajte o vonkajšie poradenstvo, keď je potrebné, pričom pokračujte vo vyšetrovaní a príprave hlásenia.

Zaznamenajte, či je hlásenie povinné alebo dobrovoľné pre udalosť a prečo. Neistota vyžaduje promptnú konzultáciu, nie pauzu v príprave alebo uplatniteľných lehotách. Základ politiky nerozhoduje regulačnú rolu Weblate; pozri Informácie o produkte a kontakte. Posúďte dotknutú hosťovanú službu alebo stiahnuteľnú distribúciu samostatne namiesto predpokladu, že majú rovnaký regulačný rozsah.

Ponechať jednu súkromnú poznámku o incidente¶

Skopírujte tieto polia do súkromného záznamu tímu o incidente:

ID prípadu, zhrnutie, handler, záloha a odovzdania.
Produkt, dotknuté verzie alebo digesty artefaktov, nasadenia a známe členské štáty, kde bol dotknutý produkt sprístupnený, so zdrojom a obmedzeniami týchto informácií. Zaznamenajte miesta dopadu incidentu samostatne, keď sú už známe a relevantné.
Časové pečiatky dozvedenia sa, podporné dôkazy, neznáme a odôvodnenie klasifikácie, vrátane rozhodnutia o povinnom alebo dobrovoľnom hlásení.
Lehoty hlásenia, pripomienky a akékoľvek samostatné úlohy oznámenia súkromia.
Časová os vyšetrovania, dopad, zmiernenia a kedy sa každé nápravné alebo zmiernujúce opatrenie stalo dostupným.
Kópie odoslaných správ, časové pečiatky odoslania, odkazy na platformu, potvrdenia, zlyhania a požadované následné správy.
Varovania používateľov, príjemcovia alebo odkazy na verejné poradenstvo, sľúbené aktualizácie a akékoľvek oneskorené technické zverejnenie s jeho dôvodom a dátumom preskúmania.
Zostávajúce akcie a výsledok krátkeho tímového preskúmania.

Držte citlivé dôkazy a prílohy so súkromným záznamom, s prístupom obmedzeným na ľudí vybavujúcich incident. Ukladajte poverenia v úložisku poverení tímu. Signal slúži na koordináciu; skopírujte rozhodnutia a relevantné časové pečiatky do trvalej poznámky. Nepoužívajte verejné problémy pre tieto záznamy.

Odoslať a nadviazať¶

Použite aktuálne usmernenie ENISA Jednotnej platformy hlásenia na overenie koordinujúceho CSIRT, dohôd o prístupe a povinného alebo dobrovoľného spôsobu odoslania. Národný portál hlásenia incidentov nie je nutne koncový bod CRA. Konzultujte koordinátora, ak je cesta nejasná.

Handler odosiela správy; záloha prevezme, keď je potrebné. Požiadajte kolegu o preskúmanie, keď je to praktické, ale nevynechajte lehotu čakaním na preskúmanie. Použite lehoty v Hlásenie orgánom a aktuálne formuláre platformy. Odosielajte dostupné informácie včas, identifikujte neznáme a doplňte ich ako vyšetrovanie postupuje.

V oboch líniách skorého varovania identifikujte udalosť a, kde je známe, členské štáty, kde bol dotknutý produkt sprístupnený. Toto je informácia o distribúcii, nie umiestnenie jednotlivých používateľov alebo len miesta, kde bolo pozorované zneužívanie. Pre vážny incident tiež zahrňte, či sa podozrievajú nezákonné alebo škodlivé činy. Obe línie vyžadujú distribučné členské štáty podľa Článku 14(2)(a) a (4)(a) CRA.
V hlavnom oznámení o zraniteľnosti zneužívanej identifikujte dotknutý produkt a opíšte všeobecnú povahu oboch, exploitu aj zraniteľnosti. Zahrňte už prijaté nápravné alebo zmiernujúce opatrenia, opatrenia, ktoré môžu používatelia prijať, a citlivosť informácií, kde je applicable, ako vyžaduje Článok 14(2)(b) CRA.
V hlavnom oznámení o vážnom incidente opíšte povahu incidentu a poskytnite počiatočné posúdenie, vrátane známeho dopadu. Zahrňte už prijaté nápravné alebo zmiernujúce opatrenia, opatrenia, ktoré môžu používatelia prijať, a citlivosť informácií, kde je applicable, ako vyžaduje Článok 14(4)(b) CRA.
V záverečnej správe o zraniteľnosti zneužívanej opíšte zraniteľnosť, vrátane jej závažnosti a dopadu. Zahrňte akékoľvek dostupné informácie o škodlivých akteéroch, ktorí ju zneužili alebo zneužívajú, a detaily bezpečnostnej aktualizácie alebo iných nápravných opatrení sprístupnených na jej nápravu, ako vyžaduje Článok 14(2)(c) CRA. Dostupnosť zmiernenia môže začať túto lehotu pred dokončením finálnej záplaty.
V záverečnej správe o vážnom incidente poskytnite podrobný opis incidentu, vrátane jeho závažnosti a dopadu, typu hrozby alebo hlavnej príčiny, ktorá ho pravdepodobne spustila, a oboch aplikovaných a prebiehajúcich zmiernujúcich opatrení, ako vyžaduje Článok 14(4)(c) CRA. Explicitne uveďte, keď neexistujú prebiehajúce zmiernenia.

Pre informácie o distribúcii použite existujúce záznamy zákazníkov alebo distribúcie, ako sú krajiny známych platiacich zákazníkov. Uveďte limity týchto záznamov: umiestnenia iných používateľov môžu byť neznáme. Nevyvodzujte distribúciu v každom členskom štáte z všeobecnej dostupnosti v EÚ. Tento postup nevyžaduje sledovanie umiestnení jednotlivých používateľov ani zber nových údajov o umiestnení. Hláste, čo je známe, bez oneskorenia odoslania na objavenie iných umiestnení, a aktualizujte informácie podľa potreby. Pozrite pole dostupnosti produktu v glosári ENISA SRP.

Uložte potvrdenia a odkazy na správy. Sledujte požiadavky na priebežné správy a aktualizujte skoršie odoslania, keď sa fakty zmenia. Pre udalosť spúšťajúcu obe línie prepojte záznamy a zabezpečte, aby boli pokryté obe sady požiadaviek na hlásenie; jedna záverečná správa nesmie ticho nahradiť druhú.

Ak je platforma nedostupná, zaznamenajte neúspešné pokusy a časové pečiatky, kontaktujte koordinátora cez jeho publikované núdzové kanály a postupujte podľa jeho inštrukcií. Dokončite odoslanie na platformu, keď sa prístup vráti. Alternatívny kontakt nie je automaticky dôkazom, že bola splnená zákonná povinnosť hlásenia.

Upozorniť používateľov a nadviazať¶

Odošlite ochranné poradenstvo bez čakania na opravu alebo úplné technické zverejnenie, pomocou e-mailových a verejných kanálov poradenstva v Riešenie zraniteľností a incidentov. Uveďte dotknuté verzie, známy dopad, dostupné akcie a zostávajúcu neistotu. Zaznamenajte, čo bolo komunikované, a dodržte sľúbené aktualizácie.

Hlásenie orgánom, varovania používateľov a podrobné zverejnenie môžu pokračovať v rôznych časoch. Zaznamenajte bezpečnostné dôvody na oneskorenie technických detailov a znova posúďte rozhodnutie v zaznamenanom dátume preskúmania.

Po obnove skontrolujte zostávajúce lehoty správ, požadované aktualizácie a rozhodnutia o zverejnení. Uskutočnite krátke tímové preskúmanie, zaznamenajte zlepšenia a uzavrite poznámku o incidente, keď sú nevybavené akcie dokončené alebo explicitne odovzdané s vlastníkom a termínom.

Kontrolný zoznam prípravy¶

Toto sú úlohy nastavenia na dokončenie a súkromné zaznamenanie. Publikovanie tohto runbooku nezakladá, že prístup alebo cvičenia už sú na mieste.

Vyberte obvyklý kontaktný bod pre hlásenie a zálohu, a dohodnite, ako sa kolegovia navzájom upozornia, keď je niekto nedostupný.
Overte prístup na hlásenie, dohody o obnove, koordinujúci CSIRT a publikované núdzové kontakty pomocou usmernenia ENISA Jednotnej platformy hlásenia. Detaily účtu držte súkromné.
Vyberte súkromné umiestnenie prístupné handlerovi a zálohe pre poznámky o incidente, a použite existujúce tímové nástroje pre pripomienky lehôt a odovzdania.
Skontrolujte prístup k zoznamom kontaktov zákazníkov a bezpečnostným upozorneniam GitHub.
Spustite krátke offline stolové cvičenie pokrývajúce hlásenie zneužívania v piatok večer, vážny incident bez známej zraniteľnosti, hlásenie vlastného hosťovania alebo dodanej závislosti, a udalosť spúšťajúcu obe línie hlásenia. Zahrňte nedostupného handlera, výpadok platformy, neúplné informácie a zmiernenie dostupné pred finálnou záplatou. Skontrolujte lehoty v hodinách a lehoty v kalendárnych mesiacoch cez február. Zaznamenajte medzery a nadväzné akcie bez odosielania správ cvičenia skutočným príjemcom.