Ang Perpetual State of Emergency: Kung ang "Kritikal" Nahimong Puti nga Kasaba

Ang Perpetual State of Emergency: Kung ang "Kritikal" Nahimong Puti nga Kasaba

Kung ang imong organisasyon nagpadagan pa nga wala ma-patch nga Citrix NetScaler ADCs o Gateways sa miaging tinglarag, wala ka lang nagpameligro; aktibo ka nga nag-imbitar sa katalagman. Ang dinalian nga alerto sa CISA alang sa kritikal nga zero-day, CVE-2023-4966, kaylap nga nailhan nga "Citrix Bleed," dili usa ka teoretikal nga ehersisyo sa pagdumala sa peligro [1, 2]. Kini usa ka lig-on nga pasidaan, usa ka direkta nga kumpirmasyon nga ang mga tig-atake naa na * sa sulod sa mga network sa mga naglangan sa pag-patch. Ang Oktubre 27, 2023, ang tagal sa pag-patch sa mga ahensya sa federal, nga gimando sa CISA Emergency Directive 23-02, miabot ug nawala [3]. Kung ang mga pederal nga entidad, uban ang ilang daghang mga kahinguhaan ug gipahinungod nga mga tim sa seguridad, nag-atubang sa mga hagit nga nakab-ot ang ingon nga mga target, gipasiugda niini ang grabe nga presyur sa tanan.

Dili lang kini bahin sa usa, daotan nga bug. Kini mahitungod sa usa ka sistematikong kapakyasan sa pagsabot sa grabidad sa "kritikal nga imprastraktura" sa digital age. Ang mga kasangkapan sa NetScaler mao ang digital nga katumbas sa pangunang entrada sa imong bilding, ang checkpoint sa seguridad, ug ang HVAC system nga tanan giligid ngadto sa usa. Naglingkod sila sa perimeter, nagdumala sa pag-authenticate, pagbalanse sa load, ug pagdumala sa trapiko. Ang RCE (Remote Code Execution) sa maong himan dili lang usa ka paglapas; kini usa ka hingpit nga pagkuha sa sistema, usa ka master nga yawe nga direktang gitunol sa usa ka kontra. Naghisgot kami bahin sa klase sa pag-access nga gitugotan ang mga tig-atake nga dali nga mag-pivot sa mga internal nga network, mag-exfiltrate sa sensitibo nga datos, o mag-deploy sa ransomware nga adunay katukma sa operasyon. Ang kamatuoran nga ang CVE-2023-4966 aktibong gipahimuslan, nga karon gitipigan sa CISA's KEV catalog, nagpasabot nga ang bintana alang sa proaktibong depensa gisira dayon [1]. Ang mga organisasyon wala na makapugong sa pag-atake; gipaubos nila ang nagpadayon nga insidente.

Ang Browser isip Bag-ong Perimeter: Ang Walay Katapusan nga Siklo sa Pagkahuyang sa Chrome

Ug sa diha nga imong gihunahuna nga ang imong network perimeter mao ra ang butang nga gikubkob, ang Google kanunay nga nagpahibalo sa lain nga bomba: aktibo nga gipahimuslan ang mga zero-day sa Chrome. Pananglitan, ang CVE-2024-4947, usa ka kritikal nga V8 type nga kalibog nga sayup, usa lamang sa daghang aktibo nga gipahimuslan nga mga kahuyangan nga gitambalan niining tuiga [4]. Dili kini sulagma; kini usa ka makanunayon nga sumbanan. Ang matag bag-ong patch, kanunay nga giubanan sa dinalian nga hangyo nga "pag-update dayon," nagpasiugda sa usa ka lahi, apan parehas nga malimbungon, vector sa pagkompromiso. Samtang ang NetScaler nagbantay sa mga ganghaan, ang Chrome mao ang ubiquitous entry point sa matag bulsa sa empleyado, sa matag workstation, ug sa matag cloud-based virtual desktop.

Sulod sa mga katuigan, gipasiugda namo ang seguridad sa endpoint, apan ang katulin sa Chrome zero-days nagpabati nga kami kanunay nga nanlimbasug sa pagpadayon. Ang matag usa niini nga mga kahuyangan nagrepresentar sa usa ka potensyal nga drive-by attack, usa ka malisyosong website, o usa ka nakompromiso nga ad network nga makahimo sa pagpatuman sa arbitraryong code sa makina sa usa ka user. Gikan didto, kini usa ka mubo nga paglukso sa pagpangawat sa kredensyal, paglihok sa ulahi, o pag-deploy sa labi ka sopistikado nga malware. Ang "labing sikat nga web browser sa kalibutan" mao usab, pinaagi sa extension, ang pinakapopular nga pag-atake sa kalibutan.

Ang Ilusyon sa Pagkontrol: Ngano nga Nagpadayon Kita nga Nahulog

Busa, unsa ang komon nga hilo dinhi? Dili lang nga kini mga "kritikal" nga mga kahuyangan. Kini ang matag-an, halos ritwalistiko nga kinaiya sa ilang pagkadiskobre ug pagpahimulos. Nasakpan kami sa usa ka walay katapusan nga kahimtang sa emerhensya, diin ang "dinalian nga pag-patch" nahimo nga default nga mode sa operasyon, imbes nga usa ka eksepsiyon.

Ngano man?

1. Kakomplikado nga Utang: Ang NetScaler ug Chrome kay hilabihan ka komplikado nga mga piraso sa software. Ang NetScaler, uban ang daghang mga bahin ug panagsama, nagpresentar sa usa ka halapad nga sulud sa pag-atake. Ang Chrome, uban ang JavaScript engine (V8), rendering engine, ug kanunay nga mga pagdugang sa feature, usa ka naglihok nga target alang sa mga tigdukiduki sa seguridad ug mga tig-atake. Ang pagkakomplikado makapatunghag mga bug, ug ang mga bug, dili kalikayan, mosangpot sa mga kahuyangan.
2. Ang Bentaha sa Attacker: Ang mga nasud-estado ug sopistikado nga mga kriminal nga grupo wala maghulat sa mga pagbutyag sa publiko. Aktibo sila nga nangita alang sa kini nga mga sayup, kasagaran adunay daghang mga kapanguhaan. Sa higayon nga makit-an, ang zero-day usa ka bulawan nga tiket, gipahimuslan sa hilom hangtud nga ang usa ka patch mopugos sa ilang kamot. Ang kamatuoran nga kini aktibong gipahimuslan nagpasabot nga ang mga kontra nag-una na sa kurba.
3. Patching Paralysis: Para sa kritikal nga imprastraktura sama sa NetScaler, ang pag-patch kasagarang nagpasabot sa downtime, mainampingong pagplano, ug koordinasyon sa daghang mga team. Sa dagkong mga negosyo, kini mahimong usa ka burukratikong damgo. Alang sa Chrome, mas simple kini, apan nagsalig gihapon sa pagsunod sa user o lig-on nga sentralisadong pagdumala. Ang "ibutang kini ug kalimtan kini" nga mentalidad, o mas grabe pa, ang "atong makuha kini sa sunod nga quarter" nga pamaagi, usa ka resipe alang sa pagkompromiso. Ang deadline sa CISA alang sa NetScaler, nga karon milabay na, usa ka lig-on nga pahinumdom niini nga inertia.
4. Seguridad ingon nga usa ka Afterthought: Bisan pa sa tanan nga mga retorika, ang seguridad sa gihapon kanunay nga makita nga usa ka sentro sa gasto, usa ka babag sa kabag-ohan, o usa ka problema nga sulbaron * pagkahuman sa usa ka paglapas. Ang pagpamuhunan sa proactive nga pagpangayam sa hulga, lig-on nga pagdumala sa pagkahuyang, ug padayon nga edukasyon sa seguridad kanunay nga luspad kon itandi sa reaktibo nga scramble pagkahuman sa insidente.

Labaw sa Patch: Usa ka Tawag alang sa Estratehikong Pag-ayo

Ang pagsulti lang sa usa ka organisasyon sa "pag-patch dayon" sama sa pagsulti sa usa ka tawo nga nanlimbasug sa lawom nga tubig sa "paglangoy nga mas kusog." Kinahanglan kini, apan wala kini nagtubag sa nagpahiping problema. Kinahanglan namon ang sukaranan nga pagbag-o kung giunsa namon pagduol ang seguridad.

• Pag-angkon sa Pagkompromiso: Ang daan nga modelo sa depensa sa perimeter patay na. Ibutang ta nga ang imong NetScaler nalapas. Ibutang ta nga ang mga browser sa Chrome sa imong mga tiggamit maoy mapahimuslan. Ipatuman ang lig-on nga pagbahinbahin sa network, labing gamay nga pribilehiyo nga pag-access, ug padayon nga pag-monitor alang sa anomaliya nga kalihokan. Ang pagpangayam sa hulga dili usa ka luho; kini usa ka kinahanglanon. Pangitaa ang maliputon nga mga timailhan: dili kasagaran nga mga outbound nga koneksyon gikan sa imong NetScaler, bag-ong user account, wala damha nga proseso sa pagpatuman.
• I-automate ang Tanang Posible: Ang pagdumala sa patch para sa mga endpoint sama sa Chrome kinahanglang hingpit nga awtomatiko ug ipatuman. Alang sa kritikal nga imprastraktura sama sa NetScaler, samtang mas komplikado, ang proseso kinahanglan nga hapsay, sulayan, ug ensayo. Ang downtime alang sa mga update sa seguridad kinahanglan nga planohon ug dawaton isip gasto sa pagbuhat sa negosyo, dili likayan sa tanang gasto.
• Pagpuhunan sa Kalig-on, Dili Lang Paglikay: Ang mga plano sa pagtubag sa insidente kinahanglan nga masulayan sa gubat. Makamatikod ka ba sa usa ka paglapas sa madali? Makapugong ka ba niini? Makabawi ka ba nga wala magbayad ug lukat? Kini ang mga pangutana nga hinungdanon kung ang pagpugong dili malikayan nga mapakyas.
• Pagpangayog Mas Maayo gikan sa mga Vendor: Samtang nag-patch ang Google, ang kadaghan sa zero-days sa Chrome nagsugyot sa panginahanglan alang sa mas lawom nga mga pagsusi sa arkitektura ug tingali usa ka mas agresibo nga internal nga bug bounty program. Alang sa mga kritikal nga tigbaligya sa imprastraktura sama sa Citrix, ang pagpaabut kinahanglan nga labi ka taas. Ang ilang mga produkto literal nga backbone sa mga operasyon sa negosyo.

Ang tinuod mao, dili kini isolated nga mga insidente. Sila mga sintomas sa usa ka digital ecosystem ubos sa makanunayon, sopistikado nga pag-atake. Ang "kritikal" nga mga alerto magpadayon nga moabut. Ang pangutana dili kung ang imong organisasyon mapuntirya, apan kanus-a, ug kung mibalhin ka ba lapas sa reaktibo nga pag-agaw aron makatukod usa ka tinuud nga lig-on nga depensa. Kung ang gipasa nga deadline sa CISA alang sa NetScaler wala makapadasig sa imong estratehiya sa seguridad, panahon na alang sa usa ka seryoso nga pagsusi pag-usab.

Mga Tinubdan

[1] Catalog sa CISA nga Nailhan nga Gipahimuslan nga mga Katalogo — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Mga Hulagway nga Nagpahimulos sa Citrix NetScaler ADC ug Citrix NetScaler Gateway Vulnerability (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-vulnergateway [3] Emergency Directive 23-02: Pagminus sa Citrix NetScaler ADC ug Gateway Vulnerability — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Stable Channel Update para sa Desktop (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC ug Citrix NetScaler Gateway Security Bulletin para sa CVE-2023-4966 ug CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967