1. Виявлення та первинний аналіз
Сигнали безпеки надходять із таких джерел:- Рекомендації GitHub щодо безпеки (GHSA) та приватні звіти про вразливості.
- Публічні проблеми й обговорення на GitHub, якщо звіти не містять чутливих відомостей.
- Автоматизовані сигнали: Dependabot, CodeQL, рекомендації npm, сканування секретів.
- Підтвердьте уражений компонент, версію та вплив на межу довіри.
- Класифікуйте випадок як проблему безпеки або як посилення захисту/ситуацію, що не потребує дій, використовуючи правила щодо сфери дії та винятків із неї, визначені в
SECURITY.md. - Власник інциденту реагує відповідним чином.
2. Рівень серйозності
3. Реагування
- Підтвердьте отримання звіту його автору (приватно, якщо інформація чутлива).
- Відтворіть проблему в підтримуваних випусках і найновішій версії
main, а потім реалізуйте й перевірте виправлення з покриттям регресійними тестами. - Критичний/високий рівень: підготуйте виправлені випуски якомога швидше, наскільки це практично можливо.
- Середній/низький рівень: додайте виправлення у звичайний процес випуску та задокументуйте рекомендації щодо зниження ризику.
4. Комунікація та розкриття інформації
Комунікуйте через рекомендації GitHub щодо безпеки у відповідному репозиторії, примітки до випуску або записи в журналі змін для виправлених версій, а також безпосередньо повідомляйте автору звіту про стан і вирішення проблеми. Для інцидентів критичного/високого рівня застосовується скоординоване розкриття інформації з присвоєнням CVE, коли це доречно. Виявлені проблеми посилення захисту з низьким ризиком можна документувати в примітках до випуску або рекомендаціях без CVE залежно від впливу та ступеня ризику для користувачів.5. Відновлення та подальші дії
Після випуску виправлення:- Перевірте усунення проблем у CI та артефактах випуску.
- Проведіть короткий аналіз інциденту: хронологія, першопричина, прогалина у виявленні, план запобігання.
- Додайте подальші завдання з посилення захисту, тестування й документування та відстежуйте їх до завершення.
Пов’язані матеріали
- Політика безпеки — сфера дії звітів і модель довіри.
- Модель загроз