Вечнае надзвычайнае становішча: калі «крытычнае» становіцца белым шумам
Калі ў вашай арганізацыі мінулай восенню ўсё яшчэ выкарыстоўваліся невыпраўленыя АЦП або шлюзы Citrix NetScaler, вы не проста рызыкавалі; вы актыўна выклікалі катастрофу. Тэрміновая абвестка CISA аб крытычным нулявым дні, CVE-2023-4966, шырока вядомая як «Citrix Bleed», не была тэарэтычным практыкаваннем па кіраванні рызыкамі [1, 2]. Гэта было сур'ёзнае папярэджанне, прамое пацверджанне таго, што зламыснікі ўжо былі ўнутры сетак тых, хто адкладаў выпраўленне. 27 кастрычніка 2023 г., крайні тэрмін для федэральных агенцтваў для выпраўленняў, прадугледжаны Надзвычайнай дырэктывай CISA 23-02, прыйшоў і знік [3]. Калі федэральныя суб'екты з іх значнымі рэсурсамі і спецыялізаванымі групамі бяспекі сутыкнуліся з праблемамі дасягнення такіх мэтаў, гэта падкрэслівае велізарны ціск на ўсіх астатніх.
Гэта не проста адна непрыемная памылка. Гаворка ідзе аб сістэмнай няздольнасці зразумець сур'ёзнасць "крытычнай інфраструктуры" ў эпоху лічбавых тэхналогій. Прыборы NetScaler з'яўляюцца лічбавым эквівалентам галоўнага ўваходу вашага будынка, кантрольна-прапускнога пункта і сістэмы ацяплення, вентыляцыі і кандыцыяніравання, усё ў адным. Яны знаходзяцца па перыметры, займаючыся аўтэнтыфікацыяй, балансаваннем нагрузкі і кіраваннем трафікам. RCE (аддаленае выкананне кода) на такой прыладзе - гэта не проста парушэнне; гэта поўнае захоп сістэмы, галоўны ключ, перададзены непасрэдна суперніку. Мы гаворым пра тып доступу, які дазваляе зламыснікам без асаблівых высілкаў пераходзіць ва ўнутраныя сеткі, выкрадаць канфідэнцыяльныя даныя або разгортваць праграмы-вымагальнікі з хірургічнай дакладнасцю. Той факт, што CVE-2023-4966 актыўна выкарыстоўваўся, цяпер замацаваны ў каталогу KEV CISA, азначае, што акно для проактыўнай абароны хутка зачынілася [1]. Арганізацыі больш не прадухілялі напад; яны змякчалі працяглы інцыдэнт.
Браўзер як новы перыметр: Бясконцы цыкл уразлівасцяў Chrome
І якраз тады, калі вы думалі, што ваш сеткавы перыметр знаходзіцца ў аблозе, Google рэгулярна абвяшчае аб чарговай бомбе: актыўнае выкарыстанне нулявых дзён у Chrome. Напрыклад, CVE-2024-4947, крытычная памылка тыпу блытаніны V8, была толькі адной з некалькіх уразлівасцей, якія актыўна выкарыстоўваліся і былі выпраўлены ў гэтым годзе [4]. Гэта не выпадковасць; гэта паслядоўная мадэль. Кожны новы патч, які часта суправаджаецца настойлівай просьбай «неадкладна абнавіць», падкрэслівае іншы, але гэтак жа падступны вектар кампрамісу. У той час як NetScaler ахоўвае вароты, Chrome з'яўляецца паўсюдным пунктам уваходу ў кішэні кожнага супрацоўніка, на кожнай працоўнай станцыі і на кожным воблачным віртуальным працоўным стале.
На працягу многіх гадоў мы рабілі акцэнт на бяспецы канчатковых кропак, але велізарная хуткасць Chrome zero-days стварае адчуванне, што мы ўвесь час змагаемся за тое, каб не адставаць. Кожная з гэтых уразлівасцяў уяўляе сабой патэнцыйную атаку, шкоднасны вэб-сайт або ўзламаную рэкламную сетку, здольную выконваць адвольны код на кампутары карыстальніка. Адтуль кароткі скачок да крадзяжу ўліковых даных, бакавога перамяшчэння або разгортвання больш складанага шкоднаснага ПЗ. «Самы папулярны вэб-браўзер у свеце» таксама з'яўляецца самай папулярнай у свеце паверхняй атакі.
Ілюзія кантролю: чаму мы ўвесь час адстаем
Такім чынам, што тут агульнага? Справа не толькі ў тым, што гэта «крытычныя» ўразлівасці. Гэта прадказальны, амаль рытуальны характар іх выяўлення і выкарыстання. Мы апынуліся ў вечным надзвычайным становішчы, калі «тэрміновае выпраўленне» стала рэжымам працы па змаўчанні, а не выключэннем.
чаму?
- Запазычанасць па складанасці: І NetScaler, і Chrome - неверагодна складаныя часткі праграмнага забеспячэння. NetScaler з мноствам функцый і інтэграцый прапануе шырокую паверхню для атакі. Chrome з яго рухавіком JavaScript (V8), механізмам візуалізацыі і пастаяннымі дапаўненнямі функцый з'яўляецца рухомай мішэнню як для даследчыкаў бяспекі, так і для зламыснікаў. Складанасць спараджае памылкі, а памылкі непазбежна прыводзяць да ўразлівасцяў.
- Перавага зламысніка: Нацыянальныя дзяржавы і злачынныя групоўкі не чакаюць публічнага раскрыцця інфармацыі. Яны актыўна шукаюць гэтыя недахопы, часта з значнымі рэсурсамі. Пасля таго, як знойдзены, нулявы дзень - гэта залаты білет, які выкарыстоўваецца ціха, пакуль патч не прымусіць іх руку. Той факт, што яны актыўна выкарыстоўваюцца, азначае, што праціўнікі ўжо наперадзе.
- Параліч выпраўленняў: Для такой крытычна важнай інфраструктуры, як NetScaler, выпраўленне часта азначае прастой, дбайнае планаванне і каардынацыю паміж некалькімі камандамі. На буйных прадпрыемствах гэта можа стаць бюракратычным кашмарам. Для Chrome гэта прасцей, але па-ранейшаму абапіраецца на выкананне патрабаванняў карыстальнікаў або надзейнае цэнтралізаванае кіраванне. Менталітэт «усталяваў і забыўся» ці, што яшчэ горш, падыход «мы дабяромся да гэтага ў наступным квартале» - гэта рэцэпт для кампрамісу. Крайні тэрмін CISA для NetScaler, які ўжо прайшоў, з'яўляецца яскравым напамінам аб гэтай інерцыі.
- Бяспека як позняя думка: Нягледзячы на ўсю рыторыку, бяспека ўсё яшчэ занадта часта разглядаецца як цэнтр выдаткаў, перашкода для інавацый або праблема, якую трэба вырашыць пасля парушэння. Інвестыцыі ў актыўны пошук пагроз, надзейнае кіраванне ўразлівасцямі і бесперапыннае навучанне бяспецы часта цьмянеюць у параўнанні з рэактыўнай барацьбой пасля інцыдэнту.
За мяжой: заклік да стратэгічнага перагляду
Проста сказаць арганізацыі "неадкладна залатаць" гэта ўсё роўна, што сказаць камусьці, хто змагаецца ў глыбокай вадзе, каб "плыў мацней". Гэта неабходна, але гэта не вырашае асноўную праблему. Нам патрэбны фундаментальныя змены ў нашым падыходзе да бяспекі.
- Прыйсці да кампрамісу: Старая мадэль абароны перыметра мёртвая. Выкажам здагадку, што ваш NetScaler быў узламаны. Выкажам здагадку, што браўзеры Chrome вашых карыстальнікаў будуць эксплуатавацца. Рэалізуйце надзейную сегментацыю сеткі, доступ з найменшымі прывілеямі і пастаянны маніторынг анамальнай актыўнасці. Паляванне на пагрозу - не раскоша; гэта неабходнасць. Звярніце ўвагу на тонкія прыкметы: незвычайныя выходныя злучэнні з вашага NetScaler, новыя ўліковыя запісы карыстальнікаў, нечаканае выкананне працэсу.
- Аўтаматызуйце ўсё магчымае: Кіраванне патчамі для канчатковых кропак, такіх як Chrome, павінна быць цалкам аўтаматызавана і прымяняцца. Для такой крытычна важнай інфраструктуры, як NetScaler, хоць і больш складанай, працэс трэба ўпарадкаваць, пратэставаць і адрэпеціраваць. Час прастою для абнаўленняў бяспекі трэба планаваць і прымаць як выдаткі на вядзенне бізнесу, а не пазбягаць любой цаной.
- Інвестуйце ў устойлівасць, а не толькі ў прафілактыку: планы рэагавання на інцыдэнты неабходна праверыць у баях. Ці можаце вы хутка выявіць парушэнне? Вы можаце ўтрымаць гэта? Ці можаце вы аднавіцца без выплаты выкупу? Гэта пытанні, якія важныя, калі прафілактыка непазбежна не дае выніку.
- Патрабуйце лепшага ад пастаўшчыкоў: Пакуль Google займаецца выпраўленнем, велізарная колькасць нулявых дзён у Chrome сведчыць аб неабходнасці больш глыбокага аналізу архітэктуры і, магчыма, больш агрэсіўнай унутранай праграмы ўзнагароджання за памылкі. Для такіх пастаўшчыкоў крытычнай інфраструктуры, як Citrix, чаканні павінны быць яшчэ вышэйшымі. Іх прадукцыя ў літаральным сэнсе з'яўляецца асновай дзейнасці прадпрыемства.
Рэальнасць такая, што гэта не адзінкавыя выпадкі. Яны з'яўляюцца сімптомамі лічбавай экасістэмы, якая падвяргаецца пастаяннаму, складанаму нападу. «Крытычныя» абвесткі будуць працягваць паступаць. Пытанне не ў тым, калі ваша арганізацыя стане мішэнню, а калі і ці выйшлі вы за рамкі рэактыўнай барацьбы, каб пабудаваць сапраўды ўстойлівую абарону. Калі мінуты тэрмін CISA для NetScaler не актывізаваў вашу стратэгію бяспекі, прыйшоў час для сур'ёзнай пераацэнкі.
Крыніцы
[1] Каталог вядомых уразлівасцей CISA — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Суб'екты пагрозы выкарыстоўваюць уразлівасць Citrix NetScaler ADC і Citrix NetScaler Gateway (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] Надзвычайная дырэктыва 23-02: Зніжэнне ўразлівасці Citrix NetScaler ADC і шлюза — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Абнаўленне стабільнага канала для працоўнага стала (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Бюлетэнь бяспекі Citrix NetScaler ADC і Citrix NetScaler Gateway для CVE-2023-4966 і CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967