CISA reescribe los requisitos federales de parches para la era de las amenazas de IA

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha revisado su mandato federal de parcheo con un enfoque de matriz de riesgo que requiere que las agencias federales parcheen las vulnerabilidades más peligrosas en un plazo de tres días, al tiempo que les permite posponer formalmente los problemas de menor riesgo.

La agencia es nueva. Instrucciones de funcionamiento vinculantes (BOD) 26-04publicado esta semana, reemplaza dos pautas federales anteriores de remediación de vulnerabilidades y refleja la creciente preocupación por las amenazas impulsadas por la IA que están exacerbando el desafío de parchear y remediar para las agencias federales.

Un nuevo modelo de renovación por fases

Con BOD 26-04, CISA ha establecido una modelo de renovación por fases para las agencias en función de cuatro factores: si la vulnerabilidad se produce en los CISA Vulnerabilidades explotadas conocidas (KEV), si el activo vulnerable está disponible públicamente, si un atacante puede automatizar todos los pasos necesarios para la explotación y si una explotación exitosa da como resultado un control parcial o total del activo afectado.

Relacionado:Los riesgos de la IA preocupan tanto a las aseguradoras como a las empresas

Todas las agencias federales de aplicación de la ley civil ahora tienen solo tres días para remediar las vulnerabilidades que cumplan con estos criterios y realizar una clasificación forense para determinar si los activos afectados se han visto comprometidos. La BOD proporciona varios cronogramas diferentes para situaciones en las que una vulnerabilidad puede cumplir algunos de los criterios, pero no todos. Las agencias pueden retrasar la aplicación de parches a las vulnerabilidades de menor prioridad.

en uno Publicación de blogy en comentarios durante la rueda de prensa de hoy, Chris Butera, subdirector interino de ciberseguridad de CISA, enmarcó la nueva política como destinada a ayudar a las agencias federales a «parchear mejor, no más duro». Señaló que la IA ayuda tanto a los investigadores como a los atacantes a descubrir fallas de software mucho más rápidamente, y que los defensores no pueden darse el lujo de pasar semanas reparando sistemas contra vulnerabilidades que ahora pueden explotarse de forma autónoma y a escala.

El modelo de remediación basado en riesgos de la BOD prioriza las vulnerabilidades más peligrosas y al mismo tiempo brinda a las agencias la flexibilidad de posponer problemas menos graves. «En un análisis inicial realizado en una gran agencia civil, sólo el 1% de los casos de vulnerabilidad cayeron en la categoría de tres días, y más del 60% de los casos de vulnerabilidad se aplazaron hasta la siguiente actualización del sistema», explicó Butera. «Esta clasificación de vulnerabilidades más agresiva garantiza que las vulnerabilidades más críticas se aborden primero y más rápidamente».

El papel de CISA

Para ayudar a las agencias a cumplir con las nuevas reglas, CISA se compromete a mantener actualizado su catálogo KEV y a notificar a las agencias sobre nuevas entradas a medida que se descubren. CISA también proporcionará metadatos de vulnerabilidad enriquecidos, incluida la automatización de exploits y detalles del impacto técnico, a la base de datos CVE. Programa de vulneración. Dentro de 60 días, la agencia publicará un esquema de datos estandarizado que las agencias pueden utilizar para la identificación de activos; La agencia proporciona resultados continuos de análisis de higiene cibernética, informes de estado de remediación y orientación de clasificación forense. CISA también realizará revisiones anuales de los cronogramas de remediación y evaluará continuamente si las nuevas capacidades del adversario justifican cronogramas más cortos.

Relacionado:Si lo permitimos, la caída de la IA acabará con la narración de ciberseguridad

«Este es el avance más significativo en la gestión federal de vulnerabilidades desde el lanzamiento del Catálogo KEV en 2021», dijo Ferhat Dikbiyik, director de investigación e inteligencia de Black Kite. «Lo que encuentro más prospectivo es el reconocimiento explícito de la automatización de exploits impulsada por IA como un factor de priorización. CISA está desarrollando directrices para un panorama de amenazas en el que los atacantes convierten las vulnerabilidades en armas antes de que haya parches».

Qué deben hacer las autoridades federales

Con vigencia inmediata, CISA BOD 26-04 requiere que las agencias federales de aplicación de la ley civil revisen y actualicen sus políticas de gestión de vulnerabilidades para alinearse con la Directiva. Esto incluye establecer procesos de remediación basados ​​en KEV, definir roles y responsabilidades, implementar mecanismos de cumplimiento y validación, y establecer requisitos internos de seguimiento e informes que están sujetos a la revisión de CISA. Las agencias tienen 60 días para actualizar sus procesos de gestión de vulnerabilidades para respaldar la remediación continua basada tanto en la base de datos CVE como en el catálogo KEV. Tiene 180 días para implementar todas las medidas necesarias para garantizar que las vulnerabilidades puedan remediarse dentro de los plazos especificados en la política.

Relacionado:Los gusanos de IA adaptables y basados ​​en agentes se perfilan como la próxima amenaza para las empresas

Ensar Seker, director de seguridad de la información (CISO) de SOCRadar, evaluó el nuevo plazo de tres días de remediación y clasificación de CISA como un mandato agresivo pero necesario. El requisito de clasificación es particularmente digno de mención porque, con demasiada frecuencia, las organizaciones reparan una vulnerabilidad y luego continúan sin determinar si se produjo una explotación antes de la reparación. En tales situaciones, parchear por sí solo podría cerrar la puerta y dejar intacto al atacante que se encuentra dentro, afirma.

Un plazo desafiante pero necesario

Que las agencias puedan cumplir consistentemente el cronograma requerido de tres días “depende en gran medida de la visibilidad de sus activos y su madurez operativa”, dice Seker. Predice que las organizaciones con inventarios de activos precisos, escaneo continuo de vulnerabilidades, sólidas capacidades de orquestación de parches y manuales de respuesta a incidentes establecidos deberían poder cumplir con este requisito. «Cualquiera que todavía tenga dificultades con la TI en la sombra, la propiedad de activos distribuidos o una gestión de riesgos incompleta encontrará un desafío el plazo de tres días. La política efectivamente eleva el listón de la preparación operativa».

Alfred Huger, cofundador y director de producto de Command Zero, dijo que la nueva política muestra que CISA finalmente ha reconocido el hecho de que un KEV en un sistema conectado a Internet y un KEV enterrado a tres redes de profundidad nunca son la misma emergencia. «La palabra interesante aquí es 'automatizable'. «Básicamente, CISA reconoce que las herramientas de los atacantes ahora escalan más rápido que los parches humanos y están rediseñando la línea de tiempo para reflejar esa realidad», dice Huger.
Al igual que Seker, Huger admite que será difícil cumplir el plazo de tres días para el parche de CISA, especialmente cuando se trata del requisito de clasificación forense. «La aplicación de parches es un flujo de trabajo que la mayoría de los equipos ya tienen implementado. Demostrar que un sistema no ha sido comprometido dentro de los tres días posteriores a cada impacto de KEV conectado a Internet es siempre una investigación exhaustiva», señala Huger. «Casi nadie tiene suficientes analistas para realizar tantas investigaciones simultáneamente. Esta política separará los equipos que tienen clasificación automatizada de aquellos que todavía lo hacen manualmente».

Un punto importante es que BOD 26-04 supone que CISA podrá publicar consistentemente determinaciones de impacto técnico y automatización de exploits confiables para cada CVE, agrega David Lindner, CISO de Contrast Security. «Todo el marco basado en riesgos que crea esta política depende de que estos metadatos sean precisos, actuales y completos», afirma Lidner. «En este momento, este no es el caso, y los dos programas diseñados para proporcionar esto realizan una clasificación explícita. CISA merece crédito por intentar resolver un problema difícil, pero la calidad de los datos subyacentes en los que se basa esta política aún no es lo suficientemente confiable como para respaldarla».