Coordinated Vulnerability Disclosure
Externe Sicherheitsforscher melden Schwachstellen — ob Sie vorbereitet sind oder nicht. TrustSource CVD gibt Ihnen den strukturierten Prozess, die Werkzeuge und im Notfall die Unterstützung, die eine ordnungsgemäße Koordination verlangt.
Auf einen Blick
Die Herausforderung
Coordinated Vulnerability Disclosure (CVD) bezeichnet den Prozess, durch den Sicherheitsforscher gefundene Schwachstellen verantwortungsvoll an den Hersteller melden — bevor sie öffentlich bekannt werden. Der Gedanke dahinter ist einfach: dem Hersteller Zeit geben, das Problem zu beheben, bevor Angreifer davon erfahren.
In der Praxis ist CVD komplex. Eine eingehende Meldung muss bewertet, priorisiert und intern zugewiesen werden. Der Meldende erwartet Rückmeldung. Embargo-Fristen müssen eingehalten werden. Ein Advisory muss formuliert, koordiniert und zum richtigen Zeitpunkt veröffentlicht werden. Ohne einen strukturierten Prozess entstehen Kommunikationslücken, Fristen werden übersehen, und im schlimmsten Fall veröffentlicht der Meldende die Schwachstelle einseitig — ohne dass ein Patch bereit ist.
Der CRA macht CVD zur Pflicht: Hersteller von Produkten mit digitalen Elementen müssen einen zugänglichen Meldeweg für Schwachstellen bereitstellen und eingehende Meldungen nachvollziehbar koordinieren.
TrustSource CVD — die Lösung
TrustSource hat den CVD-Prozess des Carnegie Mellon CERT/CC als Grundlage für seine Automatisierungslösung genutzt. Das zugrundeliegende Modell — Vultron — beschreibt CVD als drei parallele Zustandsmaschinen: Report Management, Embargo Management und Coordinated Disclosure. TrustSource bildet diesen Prozess vollständig ab und automatisiert jeden Schritt, der automatisierbar ist.
Der TrustSource CVD-Hauptprozess — basierend auf dem Vultron-Modell des CERT/CC
Ein strukturierter CVD-Prozess bringt 3 Vorteile:
- Handbuch und klare Verantwortlichkeiten
Jeder im Team weiß, was wann zu tun ist. Rollen sind definiert, Eskalationswege sind festgelegt — bevor der Ernstfall eintritt, nicht währenddessen.
- Keine Such- und Zuweisungsverluste im Ernstfall
Eingehende Meldungen werden sofort erfasst, zugewiesen und verfolgt. Kein Abtauchen in E-Mail-Postfächern, kein manuelles Nachfassen.
- EACG PSIRT-Team als Backup
Wer noch kein eigenes PSIRT aufgebaut hat, kann im Ernstfall auf das EACG-PSIRT-Team zurückgreifen — erfahrene Koordinatoren, die den Prozess kennen und sofort handlungsfähig sind.
In 4 Schritten zum aktiven CVD
Das Produkt auswählen und den Plan aktivieren.
Team zusammenstellen und über die TrustSource Academy in den Prozess einarbeiten.
Meldeweg veröffentlichen, Policy formulieren — gemeinsam mit einem EACG-Berater, der den Prozess kennt.
Dedizierte CVD-Plattform aktivieren — fertig. Ab jetzt läuft der Prozess.
Bereit loszulegen?
Vereinbaren Sie jetzt einen Gesprächstermin mit unserem Team.