NRC emite recomendaciones para mejorar la seguridad de la red y el software

El Resiliencia de la red coalición emitió recomendaciones destinadas a mejorar la infraestructura de seguridad de la red mediante la reducción de las vulnerabilidades creadas por software y hardware obsoletos y mal configurados. Los miembros de la NRC se unieron a los líderes de ciberseguridad del gobierno de EE. UU. para presentar las recomendaciones en un evento en Washington, DC.

Fundada en julio de 2023 por el Centro de Políticas y Leyes de Ciberseguridad, la NRC tiene como objetivo reunir a los operadores de redes y proveedores de TI para mejorar la ciberresiliencia de sus productos. Los NRC papel blanco Proporciona recomendaciones para el desarrollo seguro de software y la gestión del ciclo de vida e incluye desarrollo de productos estándar y seguros por diseño para mejorar la seguridad de la cadena de suministro de software.

Los miembros de la NRC incluyen AT&T, Broadcom, BT Group, Cisco, Fortinet, Intel, Juniper Networks, Lumen Technologies, Palo Alto Networks, Verizon y VMware.

El grupo hace un llamado a todos los proveedores de TI para que presten atención a las advertencias del gobierno de que los actores de amenazas federales han aumentado sus intentos de atacar infraestructura crítica explotando vulnerabilidades de hardware y software que no están adecuadamente protegidas, parcheadas o mantenidas.

Sus recomendaciones son consistentes con las de la administración Biden. Orden Ejecutiva 14208y pide estándares de ciberseguridad modernizados, incluida una mejor seguridad de la cadena de suministro de software. También están asignados a la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA). Seguridad por diseño y por defecto Orientación y Ley de Seguridad Cibernética de la administración promulgada el año pasado.

Eric Goldstein, subdirector de ciberseguridad de CISA, describió la formación del grupo y la publicación del libro blanco seis meses después como un avance sorprendente pero bienvenido. “Honestamente, la idea de proveedores de redes, proveedores de tecnología, [and] «Habría sido un concepto extraño si los fabricantes de dispositivos se unieran y dijeran que necesitamos hacer más juntos para mejorar la ciberseguridad del ecosistema de productos», dijo Goldstein durante el evento de la NRC. «Habría sido una atrocidad».

Uso extensivo de SSDF del NIST y OASIS Open EoX

La NRC anima a los proveedores a alinear sus metodologías de desarrollo de software con las del NIST Marco de desarrollo de software seguro (SSDF), al tiempo que detalla durante cuánto tiempo darán soporte y lanzarán parches. Además, los proveedores deberían publicar parches de seguridad por separado en lugar de agruparlos con actualizaciones de funciones. Al mismo tiempo, los clientes deben valorar a los proveedores que se comprometen a lanzar parches críticos por separado y cumplir con el SSDF.

Además, la NRC recomienda apoyo a los proveedores. OpenEoXuna iniciativa lanzada en septiembre de 2023 por OASIS para estandarizar la forma en que los proveedores identifican los riesgos y comunican los detalles del final de su vida útil en un formato legible por máquina para cada producto que lanzan.

Los gobiernos de todo el mundo están tratando de descubrir cómo hacer que sus economías en general sean más estables, resilientes y seguras, dijo Matt Fussa, director de confianza de Cisco. «En mi opinión, todas las empresas están trabajando estrechamente con CISA y todo el gobierno de EE. UU. para promover las mejores prácticas, como la creación de proyectos de ley y materiales de software y la adopción e implementación de prácticas seguras de desarrollo de software», dijo Fussa durante el evento de prensa de la NRC este semana.

Las iniciativas para aumentar la transparencia del software, establecer entornos de construcción más seguros y fortalecer los procesos de desarrollo de software conducirán a una seguridad mejorada más allá de la infraestructura crítica, agregó Fussa. «Habrá un efecto indirecto fuera del gobierno si estas cosas se convierten en la norma en la industria», afirmó.

Durante una sesión de preguntas y respuestas con los medios inmediatamente después de la sesión informativa, Fussa de Cisco reconoció que los proveedores sólo están siguiendo órdenes ejecutivas para emitir SBOM o autocertificar el código abierto y los componentes de terceros en sus ofertas que cumplen lentamente. «Una de las cosas que nos sorprendió fue que cuando estábamos listos para producirlos, no eran del todo grillos, pero la cantidad fue menor de lo que esperábamos», dijo. «Creo que con el tiempo, a medida que la gente se sienta más cómoda usándolo, veremos que esto gana terreno y eventualmente se vuelve común».

Se recomienda acción inmediata

Fussa insta a las partes interesadas a comenzar a adoptar de inmediato las prácticas descritas en el nuevo informe. «Los alentaría a todos a pensar en hacer esto con urgencia, implementar SSDF con urgencia, crear e implementar SBOM para sus clientes con un sentido de urgencia y, francamente, avanzar en la seguridad con un sentido de urgencia porque los actores de amenazas no esperan». . y están buscando activamente nuevas oportunidades que puedan utilizar contra todas nuestras redes”.

Como consorcio industrial, la NRC sólo puede llegar hasta cierto punto a la hora de alentar a sus miembros a seguir sus recomendaciones. Pero debido a que el libro blanco es consistente con la orden ejecutiva y que Estrategia nacional de ciberseguridad Fussa cree que el cumplimiento de la orden ejecutiva publicada por la Casa Blanca el año pasado preparará a los proveedores para lo inevitable. «Espero que muchas de las propuestas que se ven en este documento sean requisitos legales, tanto en Europa como en Estados Unidos», añadió.

Jordan LaRose, director de práctica global para seguridad de infraestructura en NCC Group, dice que es un respaldo notable que ONCD y CISA estén detrás de los esfuerzos del consorcio. Pero después de leer el periódico, no pensó que contuviera ninguna información que no estuviera ya disponible.

«Este documento técnico no es particularmente detallado», dice LaRose. “No describe un marco completo. Hace referencia al NIST SSDF, pero creo que la pregunta que la mayoría de la gente se hará es si necesitan leer este documento técnico cuando podrían simplemente leer el NIST SSDF”.

Sin embargo, LaRose señala que esto resalta la necesidad de que las partes interesadas aborden las demandas y responsabilidades potenciales que enfrentarán si no desarrollan procesos seguros por diseño e implementan los modelos recomendados al final de su vida útil.

Carl Windsor, vicepresidente senior de tecnología y soluciones de productos de Fortinet, dijo que cualquier esfuerzo para incorporar seguridad a los productos desde el primer día es fundamental. Windsor dijo que estaba particularmente alentado por el hecho de que el informe incluyera el SSDF y otros trabajos del NIST y CISA. «Si construimos nuestros productos desde el primer día utilizando los estándares NIST, estamos actualizados entre un 90 y un 95 por ciento con todos los demás estándares que existen en todo el mundo», dijo.