ዘላቂው የአደጋ ጊዜ: "ወሳኝ" ነጭ ድምጽ በሚሆንበት ጊዜ

የአደጋ ጊዜ ዘላለማዊ ሁኔታ፡- “ወሳኝ” ነጭ ጫጫታ በሚሆንበት ጊዜ

የእርስዎ ድርጅት አሁንም ያልታሸጉ Citrix NetScaler ADCs ወይም Gateways ባለፈው ውድቀት እያሄደ ከነበረ፣ እርስዎ አደጋ እየወሰዱ ብቻ አልነበረም። አደጋን በንቃት ይጋብዙ ነበር። የCISA አስቸኳይ ማንቂያ ለወሳኙ የዜሮ ቀን CVE-2023-4966፣ በሰፊው "Citrix Bleed" በመባል የሚታወቀው፣ በስጋት አያያዝ ላይ የንድፈ ሃሳብ ልምምድ አልነበረም [1፣2]። ይህ ከባድ ማስጠንቀቂያ ነበር፣ አጥቂዎች መጠገኛን ባዘገዩት ሰዎች አውታረመረብ ውስጥ * ቀድሞም እንደነበሩ የሚያረጋግጥ ቀጥተኛ ማረጋገጫ ነው። በCISA የአደጋ ጊዜ መመሪያ 23-02 የተደነገገው የፌደራል ኤጀንሲዎች ለመጠቅለል ኦክቶበር 27፣ 2023 ቀነ-ገደብ መጥቶ ሄዷል [3]። የፌደራል አካላት ከፍተኛ ሃብት እና የጸጥታ ቡድኖቻቸው እንደዚህ አይነት ኢላማዎችን ለማሟላት ተግዳሮቶች ካጋጠሟቸው፣ ይህ በሁሉም ሰው ላይ ያለውን ከፍተኛ ጫና ያሳያል።

ይህ ስለ ነጠላ፣ አጸያፊ ሳንካ ብቻ አይደለም። ይህ በዲጂታል ዘመን ውስጥ ያለውን "ወሳኝ መሠረተ ልማት" ክብደትን ለመገንዘብ የሥርዓት ውድቀት ነው። NetScaler ዕቃዎች የሕንፃዎ ዋና መግቢያ፣ የደህንነት ፍተሻ እና የኤች.ቪ.ኤ.ሲ. ሲስተም ዲጂታል እኩያ ናቸው። ማረጋገጥን፣ ጭነትን ማመጣጠን እና የትራፊክ አስተዳደርን በማስተናገድ በፔሪሜትር ላይ ተቀምጠዋል። በእንደዚህ አይነት መሳሪያ ላይ የ RCE (የርቀት ኮድ አፈፃፀም) መጣስ ብቻ አይደለም; ሙሉ የስርዓት ቁጥጥር ነው፣ ዋናው ቁልፍ ለጠላት በቀጥታ የሚሰጥ። እየተነጋገርን ያለነው አጥቂዎች ያለልፋት ወደ ውስጣዊ አውታረ መረቦች እንዲገቡ፣ ሚስጥራዊነት ያለው መረጃ እንዲያሳድጉ ወይም ራንሰምዌርን በቀዶ ጥገና ትክክለኛነት እንዲጭኑ ስለሚያስችላቸው የመዳረሻ አይነት ነው። CVE-2023-4966 በንቃት ጥቅም ላይ የዋለ መሆኑ አሁን በCISA's KEV ካታሎግ ውስጥ ተቀምጧል ማለት ንቁ የመከላከያ መስኮት በፍጥነት ተዘግቷል [1]። ድርጅቶች ጥቃትን መከላከል አቁመዋል; እየተካሄደ ያለውን ክስተት እየቀነሱ ነበር።

አሳሹ እንደ አዲሱ ፔሪሜትር፡ የChrome ማለቂያ የሌለው የተጋላጭነት ዑደት

እና ልክ የአውታረ መረብ ፔሪሜትርህ እየተከበበ ያለው ብቸኛው ነገር ነው ብለው ሲያስቡ፣ Google በየጊዜው ሌላ የቦምብ ሼል ያስታውቃል፡ በChrome ውስጥ በንቃት ጥቅም ላይ የዋለ ዜሮ-ቀናት። ለምሳሌ፣ CVE-2024-4947፣ ወሳኝ የV8 አይነት ውዥንብር ጉድለት፣ በዚህ አመት* [4] ከተጠገኑ በርካታ በንቃት ጥቅም ላይ ከዋሉ ተጋላጭነቶች ውስጥ አንዱ ነው። ይህ ፍንዳታ አይደለም; ወጥነት ያለው ጥለት ነው። እያንዳንዱ አዲስ ፕላስተር፣ ብዙውን ጊዜ “ወዲያውኑ አዘምን” ከሚለው አስቸኳይ ልመና ጋር ተያይዞ የተለየ፣ ግን እኩል የሆነ መሰሪ፣ የስምምነት መንስኤን ያሳያል። NetScaler በሮቹን ሲጠብቅ፣ Chrome በእያንዳንዱ ሰራተኛ ኪስ ውስጥ፣ በእያንዳንዱ የስራ ቦታ እና በእያንዳንዱ ደመና ላይ የተመሰረተ ምናባዊ ዴስክቶፕ ውስጥ የሚገኝ የመግቢያ ነጥብ ነው።

ለዓመታት የፍጻሜ ነጥብ ደህንነት ላይ አፅንዖት ሰጥተናል፣ ነገር ግን የChrome የዜሮ-ቀናቶች ፍጥነቱ ያለማቋረጥ ለመቀጠል የምንጥር ያህል እንዲሰማን ያደርጋል። እያንዳንዳቸው እነዚህ ተጋላጭነቶች በአሽከርካሪ የሚወሰድ ጥቃትን፣ ተንኮል አዘል ድር ጣቢያን ወይም በተጠቃሚ ማሽን ላይ የዘፈቀደ ኮድ ማስፈፀም የሚችል የተበላሸ የማስታወቂያ አውታረ መረብን ይወክላሉ። ከዚያ፣ ለምስክርነት መስረቅ፣ ወደ ላተራል እንቅስቃሴ ወይም ይበልጥ የተራቀቀ ማልዌርን ወደ ማሰማራት አጭር ተስፋ ነው። "የዓለማችን በጣም ታዋቂው የድር አሳሽ" በተጨማሪም፣ በቅጥያው፣ በዓለም ላይ በጣም ታዋቂው የጥቃት ወለል ነው።

የቁጥጥር ቅዠት፡ ለምን ከኋላ መውደቅን እንቀጥላለን

ስለዚህ፣ እዚህ ያለው የጋራ ክር ምንድን ነው? እነዚህ “ወሳኝ” ተጋላጭነቶች መሆናቸው ብቻ አይደለም። የግኝታቸው እና የብዝበዛቸው ሊተነበይ የሚችል፣ ከሞላ ጎደል የሥርዓተ አምልኮ ተፈጥሮ ነው። "አጣዳፊ መጠገኛ" ለየት ያለ ሳይሆን ነባሪው የአሠራር ሁኔታ በሆነበት ዘላለማዊ የአደጋ ጊዜ ሁኔታ ውስጥ ገብተናል።

ለምን፧

ውስብስብነት ዕዳ፡ ሁለቱም NetScaler እና Chrome በሚገርም ሁኔታ ውስብስብ የሆኑ የሶፍትዌር ክፍሎች ናቸው። NetScaler፣ ስፍር ቁጥር የሌላቸው ባህሪያት እና ውህደቶች ያሉት፣ ሰፊ የሆነ የጥቃት ገጽን ያቀርባል። Chrome፣ ከጃቫ ስክሪፕት ኢንጂን (V8)፣ የማሳያ ሞተር እና ቋሚ ባህሪ ተጨማሪዎች ጋር፣ ለደህንነት ተመራማሪዎች እና አጥቂዎች በተመሳሳይ መልኩ የሚንቀሳቀስ ኢላማ ነው። ውስብስብነት ሳንካዎችን ይወልዳል, እና ትኋኖች, የማይቀር, ወደ ተጋላጭነት ያመራሉ.
የአጥቂው ጥቅም፡ ብሔር-ብሔረሰቦች እና የተራቀቁ የወንጀል ቡድኖች ይፋዊ መግለጫዎችን እየጠበቁ አይደሉም። እነዚህን ጉድለቶች በንቃት እያደኑ ነው፣ ብዙ ጊዜ ጉልህ ሀብቶች አሏቸው። አንዴ ከተገኘ፣ ዜሮ-ቀን ወርቃማ ትኬት ነው፣ አንድ ጠጋኝ እጃቸውን እስኪያስገድድ ድረስ በጸጥታ ይበዘበዛሉ። እነዚህ በንቃት የተበዘበዙ መሆናቸው ጠላቶች ከጠማማው ቀድመው ናቸው ማለት ነው።
Patching Paralysis: እንደ NetScaler ላሉ ወሳኝ መሠረተ ልማቶች፣ መታጠፍ ብዙውን ጊዜ የእረፍት ጊዜን፣ ጥንቃቄ የተሞላበት እቅድ ማውጣት እና በበርካታ ቡድኖች መካከል ቅንጅት ማለት ነው። በትልልቅ ድርጅቶች ውስጥ, ይህ የቢሮክራሲያዊ ቅዠት ሊሆን ይችላል. ለ Chrome፣ ቀላል ነው፣ ግን አሁንም በተጠቃሚዎች ማክበር ወይም በጠንካራ የተማከለ አስተዳደር ላይ የተመሰረተ ነው። “አቀናጅቶ ረሳው” የሚለው አስተሳሰብ፣ ወይም ይባስ፣ “በሚቀጥለው ሩብ ዓመት እንደርሳለን” የሚለው አካሄድ የመስማማት ዘዴ ነው። ለ NetScaler የCISA ቀነ-ገደብ፣ አሁን አልፏል፣ የዚህ ኢንኢርሺያ በጣም አስታዋሽ ነው።
ደህንነት እንደ ድህረ ሃሳብ: ሁሉም ንግግሮች ቢኖሩም, ደህንነት አሁንም እንደ የወጪ ማእከል, ለፈጠራ እንቅፋት, ወይም ከጣሱ በኋላ የሚፈታ ችግር ሆኖ ይታያል. በንቃት አደጋ አደን፣ ጠንካራ የተጋላጭነት አስተዳደር እና ቀጣይነት ያለው የፀጥታ ትምህርት ላይ ያለው ኢንቨስትመንት ከክስተቱ በኋላ ካለው የነቃ ምላሽ ጋር ሲወዳደር ብዙ ጊዜ ገርሞታል።

ከፓች ባሻገር፡ የስትራቴጂክ ማሻሻያ ጥሪ

በቀላሉ አንድን ድርጅት “በአፋጣኝ ጠጋኝ” ማለት በጥልቅ ውሃ ውስጥ ለሚታገል ሰው “አጥብቆ እንዲዋኝ” እንደማለት ነው። አስፈላጊ ነው, ነገር ግን ዋናውን ችግር አይፈታውም. ወደ ደህንነት እንዴት እንደምንሄድ መሰረታዊ ለውጥ እንፈልጋለን።

** ስምምነትን እንውሰድ: ** የድሮው የፔሚሜትር መከላከያ ሞዴል ሞቷል. የእርስዎ NetScaler * ተጥሷል ብለው ያስቡ። የተጠቃሚዎችዎ Chrome አሳሾች * ጥቅም ላይ ይውላሉ ብለው ያስቡ። ጠንካራ የአውታረ መረብ ክፍልፋዮችን ፣ ትንሹን የመብት መዳረሻ እና ያልተለመደ እንቅስቃሴን የማያቋርጥ ክትትልን ይተግብሩ። ማስፈራሪያ አደን የቅንጦት አይደለም; የግድ ነው። ስውር ምልክቶችን ይፈልጉ፡ ከ NetScaler ያልተለመዱ የወጪ ግንኙነቶች፣ አዲስ የተጠቃሚ መለያዎች፣ ያልተጠበቀ የሂደት አፈፃፀም።
የሚቻለውን ሁሉ በራስ ሰር አድርግ፡ እንደ Chrome ላሉ የመጨረሻ ነጥቦች የፔች አስተዳደር ሙሉ በሙሉ በራስ ሰር እና ተፈጻሚ መሆን አለበት። እንደ NetScaler ላሉ ወሳኝ መሠረተ ልማቶች፣ የበለጠ ውስብስብ ቢሆንም፣ ሂደቱን ማስተካከል፣ መሞከር እና መለማመድ ያስፈልጋል። ለደህንነት ዝማኔዎች የመዘግየት ጊዜ ማቀድ እና እንደ ንግድ ስራ ዋጋ መቀበል አለበት እንጂ በሁሉም ወጪዎች መራቅ የለበትም።
በመቋቋም ላይ ብቻ ሳይሆን በመቋቋም ላይ ኢንቨስት ያድርጉ፡ የአደጋ ምላሽ ዕቅዶች በጦርነት መሞከር አለባቸው። ጥሰቱን በፍጥነት ማወቅ ይችላሉ? ሊይዙት ይችላሉ? ቤዛ ሳይከፍሉ ማገገም ይችላሉ? መከላከያው ሳይሳካ ሲቀር እነዚህ ጥያቄዎች ናቸው.
ከአቅራቢዎች የተሻለ ፍላጎት፡ ጎግል እየጠገፈ ባለበት ወቅት በChrome ውስጥ ያለው የዜሮ-ቀን ብዛት የጠለቀ የስነ-ህንፃ ግምገማዎች እንደሚያስፈልግ እና ምናልባትም የበለጠ ጠበኛ የሆነ የውስጥ የሳንካ ጉርሻ ፕሮግራም እንደሚያስፈልግ ይጠቁማል። እንደ Citrix ላሉ ወሳኝ የመሠረተ ልማት አቅራቢዎች የሚጠበቀው ነገር የበለጠ መሆን አለበት። ምርቶቻቸው የድርጅት ስራዎች የጀርባ አጥንት ናቸው።

እውነታው ግን እነዚህ የተገለሉ ክስተቶች አይደሉም። በቋሚ እና በተራቀቀ ጥቃት የዲጂታል ምህዳር ምልክቶች ናቸው። "ወሳኝ" ማንቂያዎች መምጣታቸውን ይቀጥላሉ። ጥያቄው መሆኑ ድርጅትህ ኢላማ የሚደረግበት አይደለም፣ ነገር ግን መቼ፣ እና እርስዎ በእውነት የሚቋቋመው መከላከያ ለመገንባት ከድርጊት ፍጥጫ አልፈው እንደሄዱ አይደለም። ለNetScaler ያለፈው የCISA ቀነ-ገደብ የደህንነት ስትራቴጂዎን ካላሳየ፣ ለከባድ ድጋሚ ግምገማ ጊዜው አሁን ነው።

ምንጮች

[1] CISA የታወቁ የተበዘበዙ ተጋላጭነቶች ካታሎግ — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Citrix NetScaler ADC እና Citrix NetScaler Gateway ተጋላጭነት (CVE-2023-4966) የሚበዘብዙ አስጊ ተዋናዮች - https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] የአደጋ ጊዜ መመሪያ 23-02፡ Citrix NetScaler ADC እና Gateway ተጋላጭነትን ይቀንሱ - https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] የተረጋጋ ቻናል ለዴስክቶፕ (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC እና Citrix NetScaler Gateway Security Bulletin ለCVE-2023-4966 እና CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967