CISA发布缩小软件理解差距的建议

网络安全和基础设施安全局 (CISA) 与其他联邦机构合作发布了一份综合报告，呼吁全国努力更好地了解关键基础设施和国家安全系统所依赖软件的行为。

这份题为“缩小软件理解差距”的报告强调，迫切需要采取政策行动、技术创新和资源，以帮助系统所有者和运营商在所有条件下（正常、异常和恶劣条件）更好地构建和评估其软件控制系统。

美国国家安全局研究技术总监尼尔·齐林（Neal Ziring）强调了这一举措的重要性，他表示：“缺乏对软件的了解会给许多依赖软件才能正常按预期运行的关键系统带来风险。”

美国国家安全局研究技术总监进一步补充说，该报告是一次全国性的号召，呼吁政府和私营部门合作，将软件理解作为一项重要的国家努力进行优先考虑。

技术分析

CISA 主任 Jen Easterly 强调了这些建议的重要性，并表示：“IT SSG 帮助关键基础设施部门显著加强软件和硬件设计和开发中的网络安全。”

该机构还启动了一项名为“Vulnrichment”的新计划，以应对国家漏洞数据库 (NVD) 中的挑战。该计划专注于向通用漏洞和暴露 (CVE) 添加元数据，包括通用平台枚举 (CPE) 编号、通用漏洞评分系统 (CVSS) 分数和已知被利用漏洞 (KEV) 条目。

该报告概述了几项主要建议：

1. 使用网络分段和访问控制等控制来分离软件开发环境。

2. 实施跨开发环境授权的定期日志记录、监控和信任审查。

3. 要求使用多因素身份验证来访问所有软件开发流程。

4. 为开发过程中使用的软件建立安全协议。

5. 通过加密而不是源代码来存储敏感数据和凭证。

6. 制定软件供应链风险管理计划。

这些举措符合 CISA 更广泛的安全设计原则，旨在将安全负担从最终用户转移到制造商。

通过实施这些建议，组织可以显著改善其网络安全态势，更好地保护关键基础设施和国家安全系统。