الكشف المنسق عن الثغرات الأمنية

في مجال أمن الحاسوب ، يُعدّ الكشف المنسق عن الثغرات الأمنية ( CVD )، والذي يُعرف أحيانًا بالكشف المسؤول ، ^{[ 1 ]} نموذجًا للكشف عن الثغرات الأمنية، حيث لا يتم الكشف عن الثغرة أو المشكلة للجمهور إلا بعد منح الجهات المسؤولة وقتًا كافيًا لتصحيحها أو معالجتها. ^{[ 2 ]} هذا التنسيق هو ما يُميّز نموذج الكشف المنسق عن الثغرات الأمنية عن نموذج " الكشف الكامل ".

يحتاج مطورو الأجهزة والبرامج غالبًا إلى وقت وموارد لإصلاح أخطائهم. وفي كثير من الأحيان، يكون خبراء الأمن السيبراني هم من يكتشفون هذه الثغرات. [ ^{1 ] ويرى} علماء الأمن السيبراني أن من مسؤوليتهم الاجتماعية توعية الجمهور بالثغرات الأمنية، إذ قد يؤدي إخفاء المشاكل إلى شعور زائف بالأمان. ولتجنب ذلك، تنسق الأطراف المعنية وتتفاوض على فترة زمنية معقولة لإصلاح الثغرة. وبناءً على التأثير المحتمل للثغرة، والوقت المتوقع لتطوير وتطبيق حل طارئ أو بديل، وعوامل أخرى، قد تتراوح هذه الفترة بين بضعة أيام وعدة أشهر.

قد لا يُرضي الكشف المنسق عن الثغرات الأمنية باحثي الأمن الذين يتوقعون الحصول على مكافآت مالية. في الوقت نفسه، ينظر البعض إلى الإبلاغ عن الثغرات الأمنية مع توقع الحصول على مكافآت على أنه ابتزاز. ^{[ 3 ] [ 4 ]} وقد أنشأت بعض المنظمات برامج مكافآت لاكتشاف الثغرات الأمنية، وذلك لمكافأة من يُبلغ عنها عبر القنوات الرسمية. ومن هذه المنظمات: فيسبوك ، وجوجل ، وباراكودا نتوركس . ^{[ 5 ]}

لدى مشروع جوجل زيرو مهلة إفصاح مدتها 90 يومًا تبدأ بعد إخطار البائعين بالثغرة الأمنية، مع مشاركة التفاصيل علنًا مع مجتمع الدفاع بعد 90 يومًا، أو قبل ذلك إذا أصدر البائع إصلاحًا. ^{[ 6 ]}

لدى ZDI مهلة إفصاح مدتها 120 يومًا تبدأ بعد تلقي رد من البائع. ^{[ 7 ]}

إلى جانب برامج الكشف عن الثغرات الأمنية الداخلية، تعتمد بعض المؤسسات على خدمات الكشف عن الثغرات الأمنية المُدارة التي توفرها جهات خارجية متخصصة في مجال الأمن السيبراني. في هذا النموذج، يتولى مزود خارجي تشغيل قناة الإبلاغ عن الثغرات الأمنية وصيانتها نيابةً عن المؤسسة، ويُجري الفرز الأولي والتحقق من صحة التقارير الواردة، وينسق التواصل بين المُبلغين والمؤسسة المتضررة. تُستخدم هذه الأساليب المُدارة عادةً من قِبل المؤسسات التي تفتقر إلى موارد أمنية داخلية مُخصصة أو التي تتلقى عددًا كبيرًا من بلاغات الثغرات الأمنية.

تتوافق خدمات الكشف المُدارة عن الثغرات الأمنية عمومًا مع أُطر الكشف المنسق المُعتمدة، مثل تلك التي نشرتها وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) ^{[ 8 ]} ووكالة الأمن السيبراني للاتحاد الأوروبي (ENISA) ^{[ 9 ]} ، وهي مُصممة عادةً لدعم معايير مثل ISO/IEC 29147 وISO/IEC 30111. وتصف إرشادات القطاع هذه الخدمات بأنها وسيلة لتحسين الاستجابة، والحد من المخاطر القانونية للباحثين من خلال بنود الحماية القانونية، وضمان معالجة تقارير الثغرات الأمنية بشكل مُتسق، مع الحفاظ على مسؤولية المؤسسة عن المعالجة وقرارات الكشف النهائية. وتُقدم العديد من منصات إدارة الثغرات الأمنية التجارية ومنصات مكافآت اكتشاف الأخطاء خدمات الكشف المُدارة كجزء من خدمات اختبار الأمان أو تنسيق الثغرات الأمنية، مثل Hackrate، التي تُشارك أيضًا بشكل مباشر في تحديد الثغرات الأمنية من خلال عملها كسلطات ترقيم CVE (CNAs)، مما يُتيح لها تعيين مُعرفات CVE كجزء من عملية الكشف المنسق. ^{[ 10 ]}

تم حل بعض الثغرات الأمنية المختارة من خلال تطبيق الكشف المنسق:

• هجوم تصادم MD5 يوضح كيفية إنشاء شهادات CA مزيفة، أسبوع واحد ^{[ 11 ]}
• حالة الإنفاق المزدوج / حالة السباق في بطاقة هدايا ستاربكس التي سمحت بإنتاج أرصدة إضافية احتيالية، 10 أيام (إيغور هوماكوف) ^{[ 12 ]}
• اكتشاف دان كامينسكي لتسميم ذاكرة التخزين المؤقت لنظام أسماء النطاقات ، 5 أشهر ^{[ 13 ]}
• MBTA ضد أندرسون ، طلاب معهد ماساتشوستس للتكنولوجيا يكتشفون ثغرة أمنية في مترو الأنفاق في ماساتشوستس، 5 أشهر ^{[ 14 ]}
• جامعة رادبود نيميغن تخترق أمان بطاقات MIFARE Classic، 6 أشهر ^{[ 15 ]}
• ثغرة ميلتداون ، وهي ثغرة أمنية في الأجهزة تؤثر على معالجات Intel x86 الدقيقة وبعض المعالجات الدقيقة القائمة على معمارية ARM ، استمرت لمدة 7 أشهر. ^{[ 16 ]}
• ثغرة Spectre ، وهي ثغرة أمنية في الأجهزة تتعلق بتنفيذ التنبؤ بالتفرع، تؤثر على المعالجات الدقيقة الحديثة ذات التنفيذ التخميني ، مما يسمح للعمليات الخبيثة بالوصول إلى محتويات الذاكرة المخصصة لبرامج أخرى، لمدة 7 أشهر. ^{[ 16 ]}
• ثغرة ROCA الأمنية ، التي تؤثر على مفاتيح RSA التي تم إنشاؤها بواسطة مكتبة Infineon و Yubikeys ، لمدة 8 أشهر. ^{[ 17 ]}

• ثغرة أمنية غير معروفة
• فريق الاستجابة لحالات الطوارئ الحاسوبية

• دليل فريق الاستجابة لحوادث أمن الحاسوب (CERT) للكشف المنسق عن الثغرات الأمنية
• عملية الكشف المنسق عن الثغرات الأمنية (CVD) التابعة لوكالة الأمن السيبراني وأمن البنية التحتية (CISA)
• نهج مايكروسوفت في الكشف المنسق عن الثغرات الأمنية
• إرشادات وكالة الأمن السيبراني للاتحاد الأوروبي (ENISA) بشأن الإفصاح المنسق عن الثغرات الأمنية
• سياسة الكشف المنسق عن الثغرات الأمنية لشركة هيوليت-باكارد
• برنامج لينكسيس المنسق للكشف عن الثغرات الأمنية
• سياسة الكشف المنسق عن الثغرات الأمنية للمنتدى العالمي للخبرات السيبرانية
• بيان الكشف عن الثغرات الأمنية المنسق من شركة فيليبس
• سياسة الكشف المنسق عن الثغرات الأمنية التابعة للمعهد الأوروبي لمعايير الاتصالات

• "ISO/IEC TR 5895:2022 - الكشف عن الثغرات الأمنية ومعالجتها بتنسيق متعدد الأطراف" .