Cyflwr Argyfwng Parhaol: Pan Daw "Hollol" yn Sŵn Gwyn

Cyflwr Argyfwng Parhaol: Pan Daw "Hynnigol" yn Sŵn Gwyn

Os oedd eich sefydliad yn dal i redeg ADCs Citrix NetScaler neu Gateways y cwymp diwethaf, nid dim ond cymryd risg yr oeddech; roeddech wrthi'n gwahodd trychineb. Nid oedd rhybudd brys CISA ar gyfer y diwrnod sero tyngedfennol, CVE-2023-4966, a elwir yn eang yn "Citrix Bleed," yn ymarfer damcaniaethol mewn rheoli risg [1, 2]. Roedd yn rhybudd llym, cadarnhad uniongyrchol bod ymosodwyr * eisoes y tu mewn * i rwydweithiau'r rhai a oedd yn oedi cyn clytio. Mae'r dyddiad cau, sef 27 Hydref, 2023, i asiantaethau ffederal glytio, a orchmynnwyd gan Gyfarwyddeb Argyfwng CISA 23-02, wedi mynd a dod [3]. Pe bai endidau ffederal, gyda'u hadnoddau sylweddol a thimau diogelwch ymroddedig, yn wynebu heriau wrth gyrraedd targedau o'r fath, mae'n amlygu'r pwysau aruthrol ar bawb arall.

Nid dim ond un byg cas yw hyn. Mae hyn yn ymwneud â methiant systemig i amgyffred difrifoldeb "seilwaith critigol" yn yr oes ddigidol. Mae offer NetScaler yn cyfateb yn ddigidol i brif fynedfa eich adeilad, y pwynt gwirio diogelwch, a'r system HVAC i gyd wedi'u rholio i mewn i un. Maent yn eistedd ar y perimedr, yn trin dilysu, cydbwyso llwythi, a rheoli traffig. Nid toriad yn unig yw RCE (Cyflawni Cod o Bell) ar ddyfais o'r fath; mae'n feddiant system lawn, yn brif allwedd a roddir yn uniongyrchol i wrthwynebydd. Rydym yn sôn am y math o fynediad sy'n caniatáu i ymosodwyr droi'n ddiymdrech i mewn i rwydweithiau mewnol, all-hidlo data sensitif, neu ddefnyddio nwyddau pridwerth â thrachywiredd llawfeddygol. Mae'r ffaith bod CVE-2023-4966 wedi'i ecsbloetio'n weithredol, sydd bellach wedi'i ymgorffori yng nghatalog KEV CISA, yn golygu bod y ffenestr ar gyfer amddiffyn rhagweithiol wedi cau'n gyflym [1]. Nid oedd sefydliadau bellach yn atal ymosodiad; eu bod yn lliniaru digwyddiad parhaus.

Y Porwr fel y Perimedr Newydd: Cylchred Bregusrwydd Annherfynol Chrome

A dim ond pan oeddech chi'n meddwl mai perimedr eich rhwydwaith oedd yr unig beth dan warchae, mae Google yn cyhoeddi ffrwydron arall yn rheolaidd: yn cael ei hecsbloetio'n weithredol ar sero-diwrnodau yn Chrome. Er enghraifft, roedd CVE-2024-4947, diffyg dryswch difrifol o fath V8, yn un yn unig o nifer o wendidau a ecsbloetiwyd yn weithredol a glytiwyd eleni [4]. Nid llyngyren mo hwn; mae'n batrwm cyson. Mae pob darn newydd, yn aml ynghyd â'r ple brys i "ddiweddaru ar unwaith," yn amlygu fector cyfaddawd gwahanol, ond yr un mor llechwraidd. Tra bod NetScaler yn gwarchod y gatiau, Chrome yw'r pwynt mynediad hollbresennol ym mhoced pob gweithiwr, ar bob gweithfan, ac ym mhob bwrdd gwaith rhithwir yn y cwmwl.

Ers blynyddoedd, rydym wedi pwysleisio diogelwch pwynt terfyn, ond mae cyflymder sero-diwrnodau Chrome yn gwneud iddi deimlo ein bod yn ei chael hi'n anodd cadw i fyny yn gyson. Mae pob un o'r gwendidau hyn yn cynrychioli ymosodiad gyrru heibio posibl, gwefan faleisus, neu rwydwaith hysbysebu dan fygythiad sy'n gallu gweithredu cod mympwyol ar beiriant defnyddiwr. O'r fan honno, mae'n gam byr i ddwyn credadwy, symudiad ochrol, neu ddefnyddio meddalwedd faleisus mwy soffistigedig. Mae "porwr gwe mwyaf poblogaidd y byd" hefyd, trwy estyniad, yn arwyneb ymosodiad mwyaf poblogaidd yn y byd.

Y Rhith Rheolaeth: Pam Rydyn ni'n Dal i Syrthio Ar Y Tu ôl

Felly, beth yw'r llinyn cyffredin yma? Nid dim ond bod y rhain yn wendidau "hanfodol". Dyma natur ragweladwy, ddefodol bron eu darganfod a'u hecsbloetio. Rydyn ni'n cael ein dal mewn argyfwng parhaus, lle mae "clytio brys" wedi dod yn fodd gweithredol diofyn, yn hytrach nag eithriad.

Pam?

1. Dyled Cymhlethdod: Mae NetScaler a Chrome yn ddarnau hynod gymhleth o feddalwedd. Mae NetScaler, gyda'i fyrdd o nodweddion ac integreiddiadau, yn cyflwyno arwyneb ymosod helaeth. Mae Chrome, gyda'i injan JavaScript (V8), injan rendro, ac ychwanegiadau nodwedd cyson, yn darged symudol i ymchwilwyr diogelwch ac ymosodwyr fel ei gilydd. Mae cymhlethdod yn magu chwilod, ac mae bygiau, yn anochel, yn arwain at wendidau.
2. Mantais yr Ymosodwr: Nid yw gwladwriaethau cenedl a grwpiau troseddol soffistigedig yn aros am ddatgeliadau cyhoeddus. Maent yn mynd ati i chwilio am y diffygion hyn, yn aml gydag adnoddau sylweddol. Unwaith y deuir o hyd iddo, mae diwrnod sero yn docyn euraidd, a gaiff ei ecsbloetio'n dawel nes bod clwt yn gorfodi ei law. Mae'r ffaith bod y rhain yn cael eu manteisio'n weithredol yn golygu bod y gwrthwynebwyr eisoes ar y blaen.
3. Parlys Patching: Ar gyfer seilwaith hanfodol fel NetScaler, mae clytio yn aml yn golygu amser segur, cynllunio gofalus, a chydgysylltu ar draws timau lluosog. Mewn mentrau mawr, gall hyn fod yn hunllef fiwrocrataidd. Ar gyfer Chrome, mae'n symlach, ond mae'n dal i ddibynnu ar gydymffurfiaeth defnyddwyr neu reolaeth ganolog gadarn. Mae'r meddylfryd "ei osod a'i anghofio", neu'n waeth, y dull "fe gyrhaeddwn y chwarter nesaf", yn rysáit ar gyfer cyfaddawd. Mae dyddiad cau CISA ar gyfer NetScaler, sydd bellach wedi mynd heibio, yn ein hatgoffa’n llwyr o’r syrthni hwn.
4. Diogelwch fel Ôl-ystyriaeth: Er gwaethaf yr holl rethreg, mae diogelwch yn cael ei weld yn rhy aml fel canolfan gost, rhwystr i arloesi, neu broblem i'w datrys ar ôl toriad. Mae'r buddsoddiad mewn hela bygythiadau rhagweithiol, rheoli bregusrwydd cadarn, ac addysg diogelwch parhaus yn aml yn wan o'i gymharu â'r sgramblo adweithiol ar ôl digwyddiad.

Y Tu Hwnt i'r Llain: Galwad am Ailwampio Strategol

Mae dweud wrth sefydliad am “glymu ar unwaith” fel dweud wrth rywun sy'n cael trafferth mewn dŵr dwfn i "nofio'n galetach." Mae'n angenrheidiol, ond nid yw'n mynd i'r afael â'r broblem sylfaenol. Mae angen newid sylfaenol yn y ffordd yr ydym yn ymdrin â diogelwch.

• ** Tybiwch Gyfaddawd:** Mae'r hen fodel amddiffyn perimedr wedi marw. Tybiwch fod eich NetScaler ** wedi'i dorri. Tybiwch y bydd porwyr Chrome eich defnyddwyr * yn cael eu hecsbloetio *. Gweithredu segmentiad rhwydwaith cadarn, mynediad lleiaf braint, a monitro parhaus ar gyfer gweithgaredd afreolaidd. Nid moethusrwydd yw hela bygythiad; mae'n anghenraid. Chwiliwch am yr arwyddion cynnil: cysylltiadau allanol anarferol o'ch NetScaler, cyfrifon defnyddwyr newydd, gweithrediad proses annisgwyl.
• ** Awtomeiddio Popeth Posibl:** Dylai rheolaeth glytiau ar gyfer pwyntiau terfyn fel Chrome gael ei awtomeiddio a'i orfodi'n llawn. Ar gyfer seilwaith hanfodol fel NetScaler, er ei bod yn fwy cymhleth, mae angen symleiddio, profi ac ymarfer y broses. Dylid cynllunio amser segur ar gyfer diweddariadau diogelwch a'i dderbyn fel cost gwneud busnes, heb ei osgoi ar bob cyfrif.
• Buddsoddi mewn Gwydnwch, Nid Atal yn Unig: Mae angen rhoi prawf ar gynlluniau ymateb i ddigwyddiadau. Allwch chi ganfod toriad yn gyflym? Allwch chi ei gynnwys? Allwch chi wella heb dalu pridwerth? Dyma’r cwestiynau sydd o bwys pan fo ataliaeth yn anochel yn methu.
• Galw'n Well gan Werthwyr: Tra bod Google yn glytio, mae'r nifer fawr o ddyddiau sero yn Chrome yn awgrymu bod angen adolygiadau pensaernïol dyfnach ac efallai rhaglen bounty bygiau mewnol mwy ymosodol. Ar gyfer gwerthwyr seilwaith hanfodol fel Citrix, dylai'r disgwyliad fod hyd yn oed yn uwch. Eu cynhyrchion yn llythrennol yw asgwrn cefn gweithrediadau menter.

Y gwir amdani yw, nid yw'r rhain yn ddigwyddiadau ynysig. Maent yn symptomau o ecosystem ddigidol dan ymosodiad cyson, soffistigedig. Bydd y rhybuddion "hanfodol" yn dal i ddod. Nid os y bydd eich sefydliad yn cael ei dargedu yw'r cwestiwn, ond pryd, ac a ydych wedi symud y tu hwnt i'r sgramblo adweithiol i adeiladu amddiffyniad gwirioneddol wydn. Os na wnaeth y dyddiad cau CISA ar gyfer NetScaler ysgogi eich strategaeth ddiogelwch, mae'n bryd ailwerthusiad difrifol.

Ffynonellau

[1] Catalog Gwendidau Camfanteisio hysbys CISA — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Actorion Bygythiad yn Ecsbloetio Citrix NetScaler ADC a Citrix NetScaler Gateway Vulnerability (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-c-netscaler-scaler-exploiting-citrix-netscaler-gateway [3] Cyfarwyddeb Frys 23-02: Lliniaru Citrix NetScaler ADC a Gateway Vulnerability — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Diweddariad Sianel Sefydlog ar gyfer Penbwrdd (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC a Bwletin Diogelwch Porth Citrix NetScaler ar gyfer CVE-2023-4966 a CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967