Schwachstellen in Hard- und Software sind allgegenwärtig. Denn jedwede Soft- und Hardware ist ab einem gewissen Komplexitätsgrad fehlerbehaftet und derartige Fehler können potenziell zu sicherheitsrelevanten Schwachstellen führen, die entsprechend ausgenutzt werden. Solche sicherheitsrelevanten Schwachstellen sind wie offene Wunden. Sie müssen versorgt werden. Hierzu muss bekannt sein, wo sich die "Wunde" befindet, um welche Art "Wunde" es sich handelt und wie sie schnellstmöglich geheilt oder zumindest erstversorgt werden kann.

Das digitale Lösungsmittel für all diese Fragestellungen lautet CSAF (https://csaf.io): Das Common Security Advisory Framework (CSAF) ist ein standardisiertes und quelloffenes Framework zur Kommunikation und automatisierbaren Verteilung von maschinenverarbeitbaren Schwachstellen- und Mitigationsinformationen, so genannten Security Advisories (deutsch: Sicherheitsinformationen). CSAF reduziert den manuellen Aufwand bei der Suche nach Sicherheitsinformationen und bei der Feststellung von Betroffenheit oder eben Nicht-Betroffenheit erheblich. Es erlaubt Herstellern, Anwendern, Betreibern und der Verwaltung die Informationen zu einzelnen Schwachstellen automatisiert abzurufen und eine Betroffenheit festzustellen. Auch Nicht-Betroffenheiten können so skalierbar kommuniziert werden (Vulnerability Exploitability eXchange (VEX) als Profil in CSAF). Im Zuge der einer immer stärker vernetzten und komplexeren Welt, wird die Anzahl an sicherheitsrelevanten Schwachstellen signifikant wachsen und zeitgemäßes Schwachstellenmanagement mittels CSAF-Dokumenten nicht mehr wegzudenken sein.

Das BSI fördert und fordert CSAF und veranstaltet im Rahmen der ACS, vom 14.05.24 bis 16.05.24, insgesamt drei kostenfreie ganztägige Workshops rund um das Thema CSAF (Common Security Advisory Framework).

Die Workshops finden in englischer Sprache und in Präsenz statt. Alle Workshops sind jeweils auf insgesamt 60 Teilnehmende limitiert. Sichern Sie sich schnell Ihren Platz (first come, first served) und melden Sie sich bis zum 30.04.24 unter csaf@bsi.bund.de an.

Voraussetzungen zur Teilnahme am Workshop:

Die Workshops richten sich an die Zielgruppe: Hersteller, CERTs, Forschungsinstitutionen, Sicherheitsforschende

• Freude Neues zu erlernen
• Interesse an Security Advisories
• Sehr gute Englischkenntnisse, da der gesamte Workshop in englischer Sprache veranstaltet wird
• Zwingend notwendige Grundkenntnisse der Command Line-Befehle (für die Mehrheit der in den Workshops genutzten Tools)
• Kenntnisse des CSAF-Standards (für den 2. Workshop)
• Programmierkenntnisse in Python (für den 3. Workshop)

Welchen Workshop soll ich besuchen?

Sie wollen CSAF künftig in Ihrer Organisation nutzen und haben aber noch wenig bis keine Erfahrung mit dem Standard? Sie wollen wissen, was CSAF ist, wie man valide CSAF-Advisories erstellt und was der Standard Ihnen, Ihrer Organisation und Ihren Kunden bringt? Sie wollen CSAF-Advisories schreiben lernen? Dann ist die Teilnahme am 1. Workshop genau richtig für Sie. In verschiedenen Übungen wird das erlangte Wissen praktisch angewendet. Bringen Sie gerne Ihre Fragen mit und löchern Sie uns.

Sie nutzen CSAF bereits in Ihrer Organisation und haben Erfahrungen gesammelt? Oder haben Sie bereits Vorkenntnisse aus dem 1. Workshop? Sie kennen CSAF und sind bereits auf einen oder mehrere Spezialfälle gestoßen und wissen einfach nicht weiter? Dann ist der 2. Workshop genau das Richtige für Sie. Hier werden spezifische Fragen rund um den Standard und das Format beantwortet. Gerne nehmen wir Ihren Input und Ihr Feedback hinsichtlich Ihrer bisherigen Erfahrungen mit dem CSAF-Standard auf und beantworten diese im Workshop. Auch hier wird das erlangte Wissen in verschiedenen Übungen praktisch angewendet.

Sie wollen mehr über die Verteilung und den automatisierbaren Abruf von CSAF-Advisories wissen? Haben Sie vielleicht schon was von CSAF-Publishern, CSAF-Providern oder CSAF-Aggregatoren gehört? Sie wollen selbst CSAF-Dateien bereitstellen, aber wissen noch nicht wie? Dann melden Sie sich gerne für Workshop 3 an. Auch dieser Workshop beinhaltet praktische Übungen, um das erlernte Wissen zu festigen. Zudem wird im Workshop der Verteilmechanismus für CSAF-Dokumente, mit den unterschiedlichen Rollen von allen Teilnehmenden umgesetzt.

Sie dürfen sich gerne für mehrere Workshops anmelden.

Workshops

1. Workshop: CSAF writing boot camp (for beginners)
   14.05.2024, 08:00-18:00, 1 h Mittagspause
   limitiert auf 60 TN
2. Workshop: The CSAF Writer Guild - Advancing Your Experience
   15.05.2024, 08:00-18:00, 1 h Mittagspause
   limitiert auf 60 TN
3. Workshop: CSAF distribution – from scratch to publication
   16.05.2024, 08:00-18:00, 1 h Mittagspause
   limitiert auf 60 TN