Das Common Security #Advisory Framework (#CSAF) liefert maschinenverarbeitbare Advisories

Gemeinsam mit dem Cyber-Defense Campus (CYD Campus) in der Schweiz arbeitet das #BSI daran #OpenSource-#Tools bereitzustellen, damit alle Beteiligten einer Supply-Chain CSAF-Advisories erzeugen und verwalten können, um effizienter Schwachstellen-Informationen auszutauschen und ihre IT-Sicherheit zu verbessern.
👉 https://www.admin.ch/gov/de/start/dokumentation/medienmitteilungen.msg-id-86565.html

#IndustrialSecurity #Secvisogram #DeutschlandDigitalSicherBSI

Mehr #CSAF bitte!

Während das Erstellen von CSAF-Dokumenten mit Hilfe von #Secvisogram einfach ist, fehlt bislang eine Möglichkeit diese auch gut zu verwalten.
Das adressiert das #BSI mit dieser Ausschreibung: https://www.evergabe-online.de/tenderdetails.html?id=417739

Damit wird ein Weg zu einem #OpenSource „CSAF Content Management System“ eingeschlagen, dessen Modularität ermöglicht, dass das Backend auch mit beliebigen Frontends funktionieren kann.

#IndustrialSecurity #Advisory #DeutschlandDigitalSicherBSI

Die Zusammenhänge zwischen #SBOM , #CSAF und #VEX wurden von Dr. Allan Friedman und Jens Wiesner auf der BSides Las Vegas erklärt: https://youtu.be/DCLvdwbHOVo

Mit #Secvisogram können bereits CSAF-Dateien erstellt und menschenlesbar angezeigt werden. Für Betreiber fehlen aber noch die Tools für den Abgleich mit ihren #Asset Datenbanken. #Contributions welcome: Also ran an die Tasten!
Die Spezifikation ist abrufbar unter: https://docs.oasis-open.org/csaf/csaf/v2.0/csd01/csaf-v2.0-csd01.html#9113-conformance-clause-13-csaf-asset-matching-system

#IndustrialSecurity #BSI #DeutschlandDigitalSicherBSI

Sind alle notwendigen Sicherheitsupdates und Patches installiert?

Insbesondere bei industriellen Steuerungen ist das meist sehr schwer zu beantworten. #BSI Mitarbeiter Jens Wiesner erläutert zusammen mit Dr. Allan Friedman am Sonntag, den 1. August 2021 um 20 Uhr auf der Online-Konferenz BSides Las Vegas die zu dieser Fragestellung richtungsweisenden Themen #CSAF , #SBOM und #VEX .
👉 https://bsideslv.org/
👉 https://bsideslv.org/talks#1047570

#IndustrialSecurity #Secvisogram #DeutschlandDigitalSicherBSI

Das BSI stellt unter https://github.com/BSI-Bund den Quellcode von RdpCacheSticher, CafeOBJ-PACE, de.fac2 und auch Secvisogram bereit. Die Weiterentwicklung wurde bereits durch die Community übernommen und findet sich unter:
https://github.com/secvisogram/secvisogram
Contributions welcome!

Die aktuelle Draft-Version von CSAF 2.0 findet sich unter: https://csaf.io/

#OperativeTechnologien #Advisory #CSAF #Secvisogram #BSI #DeutschlandDigitalSicherBSI

Wer macht mit?

Mit nationalen und internationalen Partnern spezifiziert das BSI das Common Security Advisory Framework (CSAF) 2.0. Security Advisories können so herstellerübergreifend maschinenlesbar verarbeitet werden! Kombiniert mit einer Asset-Datenbank wird die Relevanz von Advisories automatisch ermittelt. Den PoC zum Erstellen gibt es schon hier: https://secvisogram.github.io

#OperativeTechnologien #Advisory #CSAF #Secvisogram #BSI #DeutschlandDigitalSicherBSI