Nuolatinė nepaprastoji padėtis: kai „kritinis“ tampa baltuoju triukšmu
Jei praėjusį rudenį jūsų organizacija vis dar naudojo nepataisytus Citrix NetScaler ADC arba šliuzus, jūs ne tik rizikavote; jūs aktyviai kvietėte nelaimę. Skubus CISA įspėjimas dėl kritinės nulinės dienos CVE-2023-4966, plačiai žinomas kaip „Citrix Bleed“, nebuvo teorinis rizikos valdymo pratimas [1, 2]. Tai buvo ryškus įspėjimas, tiesioginis patvirtinimas, kad užpuolikai jau buvo tų, kurie atidėjo pataisyti, tinkluose. 2023 m. spalio 27 d., terminas federalinėms agentūroms pataisyti, nustatytas CISA nepaprastųjų situacijų direktyvoje 23-02, atėjo ir praėjo [3]. Jei federaliniai subjektai, turintys savo didelius išteklius ir atsidavusias saugumo komandas, susidūrė su iššūkiais siekdami tokių tikslų, tai rodo didžiulį spaudimą visiems kitiems.
Tai ne tik apie vieną bjaurią klaidą. Kalbama apie sisteminį nesugebėjimą suvokti „kritinės infrastruktūros“ sunkumo skaitmeniniame amžiuje. „NetScaler“ įrenginiai yra jūsų pastato pagrindinio įėjimo, saugumo patikros punkto ir ŠVOK sistemos skaitmeninis atitikmuo. Jie sėdi perimetre, tvarko autentifikavimą, apkrovos balansavimą ir srauto valdymą. RCE (Remote Code Execution) tokiame įrenginyje yra ne tik pažeidimas; tai visiškas sistemos perėmimas, pagrindinis raktas, perduodamas tiesiai priešininkui. Kalbame apie tokią prieigą, kuri leidžia užpuolikams be vargo įsijungti į vidinius tinklus, išfiltruoti neskelbtinus duomenis arba chirurginiu tikslumu įdiegti išpirkos reikalaujančią programinę įrangą. Tai, kad CVE-2023-4966 buvo aktyviai išnaudotas, dabar įtrauktas į CISA KEV katalogą, reiškia, kad proaktyvios gynybos langas greitai užsidarė [1]. Organizacijos nebeužkirto kelio atakai; jie sušvelnino vykstantį incidentą.
Naršyklė kaip naujas perimetras: nesibaigiantis „Chrome“ pažeidžiamumo ciklas
Ir tik tada, kai manėte, kad jūsų tinklo perimetras yra vienintelis apgultas dalykas, „Google“ reguliariai skelbia dar vieną bombą: aktyviai išnaudojamos nulio dienos naršyklėje „Chrome“. Pavyzdžiui, CVE-2024-4947, kritinis V8 tipo painiavos trūkumas, buvo tik vienas iš kelių aktyviai išnaudojamų pažeidžiamumų, pataisytų šiais metais [4]. Tai nėra atsitiktinumas; tai nuoseklus modelis. Kiekvienas naujas pleistras, dažnai lydimas skubaus raginimo „nedelsiant atnaujinti“, išryškina skirtingą, tačiau taip pat klastingą kompromiso vektorių. Nors „NetScaler“ saugo vartus, „Chrome“ yra visur esantis įėjimo taškas kiekvieno darbuotojo kišenėje, kiekvienoje darbo vietoje ir kiekviename debesies pagrindu veikiančiame virtualiame darbalaukyje.
Daugelį metų akcentavome galutinio taško saugumą, tačiau dėl didžiulio „Chrome“ nulinių dienų greičio atrodo, kad nuolat stengiamės neatsilikti. Kiekvienas iš šių pažeidžiamumų reiškia galimą ataką, kenkėjišką svetainę arba pažeistą skelbimų tinklą, galintį vykdyti savavališką kodą vartotojo kompiuteryje. Iš ten tai trumpas šuolis iki kredencialų vagystės, judėjimo į šoną arba sudėtingesnės kenkėjiškos programos įdiegimo. „Populiariausia pasaulyje žiniatinklio naršyklė“ taip pat yra populiariausia pasaulyje atakų platforma.
Kontrolės iliuzija: kodėl mes nuolat atsiliekame
Taigi, kokia čia bendra gija? Tai ne tik „kritiniai“ pažeidžiamumai. Tai nuspėjamas, beveik ritualinis jų atradimo ir išnaudojimo pobūdis. Esame nuolatinėje avarinėje būsenoje, kai „skubus pataisymas“ tapo numatytuoju veikimo režimu, o ne išimtimi.
Kodėl?
- Sudėtingumo skola: NetScaler ir Chrome yra neįtikėtinai sudėtingos programinės įrangos dalys. NetScaler, turintis daugybę funkcijų ir integracijų, yra didžiulis atakų paviršius. „Chrome“ su „JavaScript“ varikliu (V8), atvaizdavimo varikliu ir nuolatiniais funkcijų papildymais yra judantis saugos tyrinėtojų ir užpuolikų taikinys. Dėl sudėtingumo atsiranda klaidų, o klaidos neišvengiamai sukelia pažeidžiamumą.
- Užpuoliko pranašumas: Nacionalinės valstybės ir sudėtingos nusikalstamos grupuotės nelaukia viešo atskleidimo. Jie aktyviai ieško šių trūkumų, dažnai turėdami didelių išteklių. Kartą rasta nulinė diena yra auksinis bilietas, tyliai išnaudojamas tol, kol pleistras prispaudžia ranką. Tai, kad jie aktyviai išnaudojami, reiškia, kad priešai jau lenkia kreivę.
- Pataisymo paralyžius: ypatingos svarbos infrastruktūrai, pvz., NetScaler, pataisymas dažnai reiškia prastovą, kruopštų planavimą ir kelių komandų koordinavimą. Didelėse įmonėse tai gali būti biurokratinis košmaras. „Chrome“ tai paprastesnė, bet vis tiek priklauso nuo naudotojo reikalavimų laikymosi arba patikimo centralizuoto valdymo. Mentalitetas „nustatyk ir pamiršk“ arba, dar blogiau, „pasieksime kitą ketvirtį“, yra kompromiso receptas. Dabar jau praėjęs CISA terminas „NetScaler“ yra ryškus šios inercijos priminimas.
- Saugumas kaip pasekmė: nepaisant visos retorikos, saugumas vis dar pernelyg dažnai laikomas sąnaudų centru, kliūtimi naujovėms arba problema, kurią reikia išspręsti po pažeidimo. Investicijos į aktyvią grėsmių paiešką, patikimą pažeidžiamumo valdymą ir nuolatinį mokymą apie saugumą dažnai nublanksta prieš reaktyvų susirėmimą po incidento.
Už pataiso: kvietimas atlikti strateginį remontą
Tiesiog pasakyti organizacijai „nedelsiant pataisyti“ yra tas pats, kas liepti kam nors, sunkiai besiverčiančiam giliame vandenyje, „plaukti sunkiau“. Tai būtina, bet nesprendžia pagrindinės problemos. Mums reikia iš esmės pakeisti požiūrį į saugumą.
- Priimti kompromisą: senasis perimetro gynybos modelis negyvas. Tarkime, kad jūsų NetScaler buvo pažeistas. Tarkime, kad jūsų naudotojų „Chrome“ naršyklės bus išnaudojamos. Įdiekite tvirtą tinklo segmentavimą, mažiausiai privilegijų prieigą ir nuolatinę anomalios veiklos stebėjimą. Grėsmių medžioklė nėra prabanga; tai būtinybė. Ieškokite subtilių ženklų: neįprasti išeinantys ryšiai iš jūsų NetScaler, naujos vartotojo paskyros, netikėtas proceso vykdymas.
- Automatizuoti viską, kas įmanoma: galinių taškų, pvz., „Chrome“, pataisų valdymas turėtų būti visiškai automatizuotas ir vykdomas. Kritinės infrastruktūros, pvz., NetScaler, atveju, nors procesas yra sudėtingesnis, jį reikia supaprastinti, išbandyti ir pakartoti. Saugos naujinimų prastovos turėtų būti planuojamos ir priimamos kaip verslo išlaidos, o ne bet kokia kaina.
- Investuokite į atsparumą, o ne tik į prevenciją: Reagavimo į incidentus planai turi būti išbandyti. Ar galite greitai nustatyti pažeidimą? Ar galite jį sulaikyti? Ar galima pasveikti nemokėdamas išpirkos? Tai klausimai, kurie svarbūs, kai prevencija neišvengiamai nepavyksta.
- Pardavėjų paklausa: kol „Google“ taiso, didžiulis nulinių dienų skaičius „Chrome“ rodo, kad reikia išsamesnių architektūrinių apžvalgų ir galbūt agresyvesnės vidinės klaidų programos. Kritinės infrastruktūros pardavėjai, tokie kaip Citrix, turėtų būti dar didesni. Jų produktai tiesiogine prasme yra įmonės veiklos pagrindas.
Realybė tokia, kad tai nėra pavieniai incidentai. Tai yra skaitmeninės ekosistemos, kuriai būdingas nuolatinis, sudėtingas puolimas, simptomai. „Kritiniai“ įspėjimai ir toliau ateis. Klausimas ne ar bus nukreiptas į jūsų organizaciją, o kada ir ar peržengėte reaktyviosios grumtynes, kad sukurtumėte tikrai atsparią gynybą. Jei pasibaigęs „NetScaler“ CISA terminas nesukėlė jūsų saugumo strategijos, atėjo laikas rimtai iš naujo įvertinti.
Šaltiniai
[1] CISA žinomų išnaudotų pažeidžiamumų katalogas – https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Grėsmės veikėjai, išnaudojantys Citrix NetScaler ADC ir Citrix NetScaler Gateway pažeidžiamumą (CVE-2023-4966) – https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] Nepaprastosios padėties direktyva 23-02: Sušvelninkite Citrix NetScaler ADC ir šliuzo pažeidžiamumą – https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Stabilaus kanalo naujinys, skirtas staliniams kompiuteriams (CVE-2024-4947) – https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] „Citrix NetScaler ADC“ ir „Citrix NetScaler Gateway“ saugos biuletenis, skirtas CVE-2023-4966 ir CVE-2023-4967 – https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967