Definition ZDI | Zero Day Initiative Was ist die Zero Day Initiative?

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Pathlock Deutschland GmbH

TXOne Networks

Die Zero Day Initiative ist ein Programm von Trend Micro. Die Initiative wurde zur Verbesserung der Cybersicherheit gegründet. Zero-Day-Schwachstellen sollen geschlossen werden, bevor Cyberkriminelle sie ausnutzen können. Die Initiative kauft Zero-Day-Schwachstellen von Sicherheitsexperten an und sorgt für ihre verantwortungsbewusste Offenlegung. Sie informiert die Hersteller des betroffenen Produkts und gibt ihnen die Möglichkeit, die Schwachstelle zu schließen.

ZDI ist das Akronym für Zero Day Initiative. Es handelt sich um ein 2005 ursprünglich von TippingPoint, einer Sparte von 3Com, ins Leben gerufene Programm zu Verbesserung der Sicherheit von Software und softwaregesteuerter Hardware. 2015 übernahm Trend Micro im Rahmen der Akquisition von TippingPoint das ZDI-Programm.

Durch die Initiative sollen Zero-Day-Schwachstellen geschlossen werden, bevor sie von Cyberkriminellen ausgenutzt werden können. Hierfür kauft die ZDI Zero-Day-Schwachstellen von Sicherheitsexperten an und sorgt für eine verantwortungsbewusste Offenlegung. Die Hersteller der betroffenen Produkte werden über die Schwachstelle informiert, um ihnen die Möglichkeit zu geben, sie über einen Patch zu schließen. Erst danach wird die Öffentlichkeit über das gefundene Problem und technische Details informiert.

Über die ZDI gewonnene Erkenntnisse verwendet Trend Micro auch zur Verbesserung eigener Sicherheitslösungen. Seit ihrer Gründung hat sich die Initiative zum weltweit größten, herstellerunabhängig agierenden Bug-Bounty-Programm entwickelt. Bereits bis 2020 wurden über 7.500 Advisories (Hinweise auf Schwachstellen) veröffentlicht. Die ZDI leistet weltweit den größten Beitrag zur Entdeckung und Offenlegung von Zero-Day-Schwachstellen.

Seit der Gründung zahlte die Initiative viele Millionen Dollar an Preisgeldern. Die für Schwachstellen gezahlten Preise sind von verschiedenen Kriterien abhängig und können sechsstellige Dollarsummen erreichen. Die ZDI ist auch maßgeblich am jährlich stattfindenden Hacker-Wettbewerb Pwn2Own beteiligt und belohnt gefundene Schwachstellen mit entsprechenden Preisgeldern.

Was ist eine Zero-Day-Schwachstelle?

Die Zero Day Initiative kauft sogenannte Zero-Day-Schwachstellen an. Bei dieser Art von Schwachstelle handelt es sich um eine bisher unentdeckte Sicherheitslücke oder einen unerkannten Fehler in einer Soft- oder Hardware. Die Schwachstelle ist selbst dem Hersteller oder Anbieter des Produkts bisher unbekannt. Ein Angreifer mit Kenntnis einer solchen Schwachstelle kann sie über einen Zero-Day-Exploit ausnutzen. Da die Schwachstelle bisher unerkannt ist, sind die Erfolgsaussichten eines Zero-Day-Angriffs hoch. Oft bleiben solche Angriffe längere Zeit unentdeckt. Hersteller oder Anbieter haben quasi null Tage Zeit, die Schwachstelle zu schließen. Daher auch der Name. In cyberkriminellen Kreisen sind Zero-Day-Schwachstellen und zugehörige Exploits sehr begehrt. Geheimdienste und andere staatliche Institutionen nutzen sie ebenfalls gerne. Es existiert ein eigener Markt für Zero-Day-Schwachstellen, auf dem zum Teil immense Summen gezahlt werden.

Ziele und Grundsätze der Zero Day Initiative

Das Hauptziel der Zero Day Initiative ist es, erkannte Schwachstellen von den Herstellern von Softwareprodukten oder softwaregesteuerten Hardwareprodukten schließen zu lassen, bevor sie von Cyberkriminellen für ihre Zwecke missbraucht werden können. Die Arbeit der ZDI und der Aufbau einer Community von Sicherheitsexperten dienen dem Schutz der Endkunden (auch der von Trend Micro) und des kompletten digitalen Ökosystems und Internets. Auch Sicherheitsexperten, die Schwachstellen finden, und sensible Informationen bezüglich der Schwachstellen werden durch das Programm geschützt.

Hacker oder Sicherheitsexperten, die eine Zero-Day-Schwachstellen gefunden haben und diese über die Initiative verantwortungsvoll offenlegen möchten, werden dafür belohnt. Auf diese Weise soll der Schwarzmarkt für Zero-Day-Schwachstellen eingedämmt werden. Die Initiative möchte die verantwortungsvolle Offenlegung von Zero-Day-Schwachstellen gegenüber den betroffenen Herstellern und Anbietern fördern. Sie sollen eine angemessene Frist zur Behebung der Schwachstellen erhalten.

Die Vorgehensweise der Zero Day Initiative und der Ablauf der Offenlegung

Eine Grundidee der ZDI ist es, für einen gewissen Grad an Trennung zwischen den Sicherheitsexperten, die Schwachstellen in den Produkten finden, und den Anbietern oder Herstellern dieser Produkte zu sorgen. Die Initiative stellt sicher, dass die Anonymität der Melder einer Schwachstelle gewahrt bleibt.

Die Vorgehensweise der Zero Day Initiative und der Ablauf der Offenlegung lassen sich verkürzt folgendermaßen zusammenfassen.

Personen, die eine bisher unentdeckte Schwachstelle gefunden haben und diese offenlegen möchten, melden sich bei de ZDI als Sicherheitsexperte an. Die Details der Schwachstelle können anschließend über das Sicherheitsportal der ZDI mitgeteilt werden.

Die Initiative analysiert die Meldung, holt Hintergrundinformationen ein, validiert die Schwachstelle, generiert eine Case-ID und unterbreitet dem Sicherheitsexperten ein Angebot zum Ankauf. Der Höhe ist von verschiedenen Kriterien wie von der Verbreitung und der Wichtigkeit des betroffenen Produkts, der Kritikalität und Schwere der Schwachstelle und weiteren abhängig. Nimmt der Melder das Angebot an, erhält er die vereinbarte Summe. Die ZDI übernimmt die Verantwortung für das weitere Management der Schwachstelle und die Kommunikation mit dem Hersteller.

Sie informiert den Hersteller des betroffenen Produkts und räumt diesem 120 Tage Zeit ein, die Schwachstelle zu patchen. Bei besonders kritischen Schwachstellen, die bereits aktiv ausgenutzt werden, erhalten Hersteller nur 30 Tage Zeit, die Schwachstelle zu beheben.

Kunden von Trend-Micro-Sicherheitslösungen werden durch entsprechende Filter vor der Schwachstelle geschützt. Die entwickelten Filter erhalten zunächst nur eine allgemeine Beschreibung, die keine Rückschlüsse auf die genauen technischen Details zulässt. Andere Anbieter von Sicherheitslösungen können ebenfalls von der Initiative informiert werden, damit auch diese Gelegenheit erhalten, ihre Kunden durch entsprechende Filter zu schützen. Technische Details zur Schwachstelle werden nicht veröffentlicht, bevor die Schwachstelle vom Hersteller gepatcht ist.

Steht ein Patch oder eine Fehlerbehebung zur Verfügung, informiert die Initiative in Zusammenarbeit mit dem Hersteller die Öffentlichkeit. Offizielle Security Advisories werden auf der Website der ZDI veröffentlicht.

Grundsätzlich werden keine angekauften Zero-Day-Schwachstellen weiterverkauft oder weiterverteilt. Reagiert ein Hersteller nicht auf die Kontaktversuche der ZDI, kann nach einer bestimmten Zeit eine Veröffentlichung der Schwachstelle in Form eines Advisory erfolgen. Auch wenn der Hersteller es nicht für notwendig erachtet oder nicht in der Lage ist, einen Patch zu liefern oder die Schwachstelle auf eine andere Art zu schließen, werden die Öffentlichkeit und die Sicherheits-Community durch eine limitierte Advisory informiert. Die Öffentlichkeit erhält unter anderem Informationen über die Kommunikation mit dem Hersteller. So soll die Transparenz gewahrt bleiben und sichergestellt werden, dass Fehler nicht unter den Teppich gekehrt werden.

(ID:49945603)