Стално ванредно стање: Када "критично" постане бели шум
Ако је ваша организација још увек користила незакрпљене Цитрик НетСцалер АДЦ или мрежне пролазе прошле јесени, нисте само ризиковали; активно сте позивали на катастрофу. ЦИСА хитно упозорење за критични нулти дан, ЦВЕ-2023-4966, надалеко познат као „Цитрик Блеед“, није била теоријска вежба у управљању ризиком [1, 2]. Било је то оштро упозорење, директна потврда да су нападачи већ унутар мрежа оних који су одлагали закрпе. 27. октобар 2023., крајњи рок за закрпе савезних агенција, који је прописан ЦИСА директивом о хитним случајевима 23-02, дошао је и прошао [3]. Ако су се савезни ентитети, са својим значајним ресурсима и посвећеним безбедносним тимовима, суочили са изазовима испуњавања таквих циљева, то указује на огроман притисак на све остале.
Не ради се само о једној гадној грешци. Овде се ради о системском неуспеху да се схвати тежина „критичне инфраструктуре“ у дигиталном добу. НетСцалер уређаји су дигитални еквивалент главног улаза у вашу зграду, безбедносног контролног пункта и ХВАЦ система спојени у једно. Они седе на периметру, рукујући аутентификацијом, балансирањем оптерећења и управљањем саобраћајем. РЦЕ (Ремоте Цоде Екецутион) на таквом уређају није само кршење; то је потпуно преузимање система, главни кључ који се предаје директно противнику. Говоримо о врсти приступа која омогућава нападачима да се без напора окрећу ка интерним мрежама, ексфилтрирају осетљиве податке или хируршки прецизно примењују рансомваре. Чињеница да је ЦВЕ-2023-4966 био активно експлоатисан, сада садржан у ЦИСА-ином КЕВ каталогу, значи да се прозор за проактивну одбрану брзо затворио [1]. Организације више нису спречавале напад; они су ублажавали инцидент који је у току.
Прегледач као нови периметар: Цхроме-ов бескрајни циклус рањивости
И баш када сте помислили да је ваш мрежни периметар једина ствар под опсадом, Гоогле редовно најављује још једну бомбу: активно експлоатисан нулти дан у Цхроме-у. На пример, ЦВЕ-2024-4947, критична грешка конфузије типа В8, била је само једна од неколико активно искоришћених рањивости закрпљених ове године [4]. Ово није случајност; то је доследан образац. Свака нова закрпа, често праћена хитним захтевом да се „одмах ажурира“, истиче другачији, али подједнако подмукао вектор компромиса. Док НетСцалер чува капије, Цхроме је свеприсутна улазна тачка у џепу сваког запосленог, на свакој радној станици и на свакој виртуелној радној површини заснованој на облаку.
Годинама смо наглашавали безбедност крајњих тачака, али сама брзина Цхроме-а нула дана чини да се осећамо као да се стално боримо да будемо у току. Свака од ових рањивости представља потенцијални „дриве-би” напад, злонамерну веб локацију или компромитовану огласну мрежу која је способна да изврши произвољни код на машини корисника. Одатле је кратак скок до крађе акредитива, бочног померања или примене софистициранијег малвера. „Најпопуларнији веб претраживач на свету“ је такође, по проширењу, најпопуларнија површина за нападе на свету.
Илузија контроле: Зашто стално заостајемо
Дакле, која је заједничка нит овде? Не ради се само о томе да су то „критичне“ рањивости. То је предвидљива, готово ритуална природа њиховог откривања и експлоатације. Ухваћени смо у сталном ванредном стању, где је „хитно закрпе“ постало подразумевани оперативни режим, а не изузетак.
Зашто?
- Дуг сложености: И НетСцалер и Цхроме су невероватно сложени делови софтвера. НетСцалер, са својим безброј карактеристика и интеграција, представља огромну површину напада. Цхроме, са својим ЈаваСцрипт мотором (В8), машином за рендеровање и сталним додацима функција, је покретна мета како за истраживаче безбедности тако и за нападаче. Сложеност рађа грешке, а грешке неизбежно доводе до рањивости.
- Предност нападача: Националне државе и софистициране криминалне групе не чекају на јавно откривање. Они активно траже ове недостатке, често са значајним ресурсима. Једном пронађен, нулти дан је златна карта, која се тихо искоришћава све док их закрпа не примора. Чињеница да се они активно искориштавају значи да су противници већ испред кривине.
- Патцхинг Паралисис: За критичну инфраструктуру као што је НетСцалер, закрпа често значи застој, пажљиво планирање и координацију између више тимова. У великим предузећима ово може бити бирократска ноћна мора. За Цхроме је једноставнији, али се и даље ослања на усклађеност корисника или робусно централизовано управљање. Менталитет „постави и заборави“, или још горе, приступ „доћи ћемо до тога у следећем кварталу“, рецепт је за компромис. ЦИСА рок за НетСцалер, који је сада прошао, је оштар подсетник на ову инерцију.
- Безбедност као накнадна мисао: Без обзира на сву реторику, безбедност се и даље пречесто посматра као центар трошкова, препрека иновацијама или проблем који треба решити након кршења. Улагање у проактивно тражење претњи, робусно управљање рањивостима и континуирано образовање о безбедности често бледи у поређењу са реактивним сукобима након инцидента.
Беионд тхе Патцх: позив на стратешку ревизију
Једноставно рећи организацији да „одмах закрпи“ је као да кажете некоме ко се бори у дубокој води да „плива јаче“. То је неопходно, али не решава основни проблем. Потребна нам је фундаментална промена у приступу безбедности.
- Претпоставите компромис: Стари модел одбране периметра је мртав. Претпоставимо да је ваш НетСцалер проваљен. Претпоставите да ће прегледачи Цхроме ваших корисника бити експлоатисани. Имплементирајте робусну сегментацију мреже, приступ са најмањим привилегијама и континуирано праћење аномалних активности. Лов на претње није луксуз; то је неопходност. Потражите суптилне знакове: необичне излазне везе са вашег НетСцалер-а, нови кориснички налози, неочекивано извршење процеса.
- Аутоматизујте све што је могуће: Управљање закрпама за крајње тачке као што је Цхроме треба да буде потпуно аутоматизовано и примењено. За критичну инфраструктуру као што је НетСцалер, иако је сложенији, процес треба поједноставити, тестирати и увежбати. Застоји због безбедносних ажурирања треба да буду планирани и прихваћени као трошак пословања, а не избегавани по сваку цену.
- Инвестирајте у отпорност, а не само у превенцију: Планови реаговања на инциденте морају бити тестирани у борби. Можете ли брзо открити кршење? Можете ли га задржати? Можете ли се опоравити без плаћања откупнине? Ово су питања која су важна када превенција неизбежно не успе.
- Захтевајте боље од добављача: Док Гоогле врши закрпе, сама количина нула дана у Цхроме-у указује на потребу за дубљим архитектонским прегледима и можда агресивнијим интерним програмом за награђивање грешака. За добављаче критичне инфраструктуре као што је Цитрик, очекивања би требало да буду још већа. Њихови производи су буквално окосница пословања предузећа.
Реалност је да ово нису изоловани инциденти. Они су симптоми дигиталног екосистема под сталним, софистицираним нападима. „Критична“ упозорења ће и даље стизати. Питање није ако ће ваша организација бити циљана, већ када и да ли сте прешли даље од реактивне борбе да бисте изградили заиста отпорну одбрану. Ако протекли ЦИСА рок за НетСцалер није подстакао вашу безбедносну стратегију, време је за озбиљну поновну процену.
Извори
[1] ЦИСА каталог познатих искоришћених рањивости — хттпс://ввв.циса.гов/кновн-екплоитед-вулнерабилитиес-цаталог [2] Актери претњи који искоришћавају рањивост Цитрик НетСцалер АДЦ и Цитрик НетСцалер Гатеваи (ЦВЕ-2023-4966) — хттпс://ввв.циса.гов/невс-евентс/алертс/2023/10/05/тхреат-ацторс-екплоитинг-цитрик-нетсцалер-адц-анд-цитрик-нетсцалер-гатеваи-вулнерабилити [3] Директива о хитним случајевима 23-02: Ублажите рањивост Цитрик НетСцалер АДЦ-а и гатеваи-а — хттпс://ввв.циса.гов/невс-евентс/дирецтивес/емергенци-дирецтиве-23-02-митигате-цитрик-нетсцалер-адц-анд-гатеваи-вулнерабилити [4] Ажурирање стабилног канала за рачунар (ЦВЕ-2024-4947) — хттпс://цхромерелеасес.гооглеблог.цом/2024/05/стабле-цханнел-упдате-фор-десктоп_13.хтмл [5] Цитрик НетСцалер АДЦ и Цитрик НетСцалер Гатеваи безбедносни билтен за ЦВЕ-2023-4966 и ЦВЕ-2023-4967 — хттпс://суппорт.цитрик.цом/артицле/ЦТКС579459/цитрик-нетсцалер-адц-анд-цитрик-нетсцалер-гатеваи-сецурити-буллетин-фор-цве20234966-анд-цве20234967