נול-טעג און נול איבערבליק: אַ מעשה פון צוויי טעק ריאַלאַטיז

ימאַדזשאַן דיין SOC מאַנשאַפֿט, בלערי-ייד, סטערינג אין אַ פלאַשינג רויט פלינק. עס איז 3:00 אין אקטאבער 2023, און די נייַעס איז נישט גוט: צוויי קריטיש נול-טעג אין דיין Citrix NetScaler ADC און Gateway, אַקטיוולי עקספּלויטאַד, וואָס אַלאַוז רימאָוט קאָוד עקסעקוטיאָן (RCE), מיט מנהג מאַלוואַרע באמערקט אין די ווילד. די CISA באַוווסט עקספּלאָיטעד וואַלנעראַביליטיז (KEV) קאַטאַלאָג פּונקט צוגעגעבן זיי [1, 2, 3, 4]. דאָס איז נישט אַ טעאָרעטיש סאַקאָנע; דאָס איז אַ באַטייטיק, אינטערנאַציאָנאַלע אינצידענט וואָס ימפּאַקטינג קריטיש פאַרנעמונג ינפראַסטראַקטשער אַריבער רעגירונג, פינאַנצן, בילדונג און לעגאַל סעקטאָרס אין צפון אַמעריקע און אייראָפּע. בשעת דיין טימז זענען קראַמבלינג צו אַנטהאַלטן די בלידינג, פּאַטטשינג ופגעקאָכט און ינישיייטיד פאָרענסיק ינוועסטאַגיישאַנז אין וואָס קען זיין אַ קאַטאַסטראָפיק בריטש, אן אנדער כעדליין טראפנס: פרעזידענט טראַמפּ האט סיקיורד אַ "וואַלאַנטערי העסקעם" מיט שפּיץ טעק פירמס פֿאַר אַי אַנטוויקלונג, פּראַמאַסינג ינדאַסטרי זעלבסט-פּאַליסינג [5].

די קאָמבינאַציע איז גאָר ומלעגאַל. אויף איין האַנט, מיר קאַנפראַנט די ברוטאַל, ומלייקנדלעך פאַקט פון אונדזער קראַנט דיגיטאַל סוויווע: אַ קעסיידערדיק, הויך-סטייקס שלאַכט קעגן סאַפיסטאַקייטיד קעגנערס וואָס עקספּלויטינג פונדאַמענטאַל וויקנאַסאַז אין די זייער ינפראַסטראַקטשער וואָס אַנדערפּינס אונדזער מאָדערן וועלט. אויף די אנדערע, אַ פּאָליטיש ספּעקטאַקל סאַגדזשעסטינג אַז די צוקונפֿט פון די מערסט טראַנספאָרמאַטיוו, אָבער טיף ומזיכער, טעכנאָלאָגיע קענען זיין בעשאָלעם געראטן דורך דער זעלביקער אינדוסטריע וואָס קאַנסיסטאַנטלי סטראַגאַליז מיט יקערדיק זיכערהייט און עטישע זעלבסט-גאַווערנאַנס.

# # די סיטריקס קאטאסטראפע : א סימפטאם פון טיפער ראט

זאל ס זיין קלאָר: די סיטריקס נול-טעג, אַזאַ ווי CVE-2023-4966 (באקאנט ווי Citrix Bleed) און CVE-2023-3519, זענען נישט בלויז "אן אנדער וואַלנעראַביליטי." זיי רעפּראַזענץ אַ דרינגלעך קריזיס אין די דאַטן צענטער, אַ דירעקט, אָנגאָינג באַפאַלן קאמפאניע וואָס פאדערט באַלדיק, אַלע-הענט-אויף-דעק ענטפער [1, 2, 3, 4]. רימאָוט קאָוד דורכפירונג אויף אַן אַדק אָדער גאַטעווייַ איז די דיגיטאַל עקוויוואַלענט פון אַ קריטיש אַקסעס פונט לינקס יקספּאָוזד. דאָס איז ניט נאָר וועגן פּאַטטשינג; עס איז וועגן די סיסטעמיק פראַגילאַטי פון אונדזער פאַרנעמונג אַרקאַטעקטשער.

פֿאַר יאָרן, מיר האָבן געבויט קאָמפּלעקס, ינטערקאַנעקטיד סיסטעמען, אָפט פאַרלאָזנ אויף אַ האַנדפול פון קריטיש ווענדאָרס פֿאַר האַרץ ינפראַסטראַקטשער. סיטריקס, ווי פילע אנדערע, גיט יקערדיק באַדינונגס, אָבער מיט דעם סענטראַליטי קומט גוואַלדיק ריזיקירן. ווען אַ פונדאַמענטאַל קאָמפּאָנענט ווי NetScaler איז קאַמפּראַמייזד אין די נול-טאָג מדרגה, די ריפּאַל ווירקונג איז דעוואַסטייטינג. עס יקספּאָוזיז די טאָכיק פלאָ אין רילייינג אויף אַ איין פונט פון דורכפאַל, קיין ענין ווי שטאַרק עס ס * געמיינט * צו זיין. די "לאַטע מיד" דירעקטיוו, כאָטש נייטיק, פילז ווי אַ אויבנאויפיקער סגולע פֿאַר אַ סיסטעמיק אַרויסגעבן. עס טוט נישט אַדרעס די אַנדערלייינג פּראָבלעמס: די קאַמפּלעקסיטי וואָס ברידז וואַלנעראַביליטיז, די פּאַמעלעך גאַנג פון זיכערהייט דערהייַנטיקונגען פון עטלעכע ווענדאָרס און די אָפט-ניט גענוגיק פאַרטיידיקונג-אין-טיפקייַט סטראַטעגיעס וואָס פאַרלאָזן ווען די פּערימעטער איז בריטשט אין זיין מערסט קריטיש פונט.

דאָס איז נישט בלויז אַ טעכניש פּראָבלעם; עס איז אַ געשעפט קאַנטיניויישאַן נייטמער. דאַטן בריטשיז, אַפּעריישאַנאַל דיסראַפּשאַן, רעגולאַטאָרי פינעס, רעפּיאַטיישאַנאַל שעדיקן - די קאָס זענען אַסטראַנאַמיקאַל. און פֿאַר וואָס? צו לויפן אַ נעץ יפישאַנטלי? מיר צאָלן אַ אַראָפאַנג פּרייַז פֿאַר קאַנוויניאַנס און באמערקט עפעקטיווקייַט, אַ פּרייַז געמאסטן אין שלאָף נעכט פֿאַר CTOs און זיכערהייט טימז, און פּאַטענטשאַלי אין די יראָוזשאַן פון ציבור צוטרוי. דער פאַקט אַז דאָס זענען * אַקטיוולי עקספּלויטאַד * נול טעג, ניצן * מנהג מאַלוואַרע *, דערציילט אונדז אַז דאָס זענען נישט שריפט קידיז. דאס זענען געזונט-ריסאָרסיז, פּערסיסטענט סאַקאָנע אַקטערז טאַרגאַטינג הויך-ווערט אַסעץ [3]. אויב מיר קענען נישט באַוואָרענען די פונדאַמענטאַל לייַערס פון אונדזער יגזיסטינג דיגיטאַל וועלט, וואָס האָפֿן מיר האָבן פֿאַר די עקספּאָונענשאַלי מער קאָמפּליצירט צוקונפֿט?

AI ס ווילד מערב: צוטרוי זיך-אינטערעס צו דיקטירן זיכערקייַט

און אויב מיר רעדן וועגן דער צוקונפֿט, לאָמיר זיך ווענדן צו די AI "זיך-פּאַליסינג" העסקעם. פרעזידענט טראַמפּ ס מעלדן, כאָטש פּאָליטיש באַטייַטיק, איז אַ לערנבוך ביישפּיל פון סיידסטעפּינג אַקאַונטאַביליטי [5]. "וואַלאַנטערי" און "זיך-פּאַליסינג" זענען טערמינען וואָס זאָל אָנצינדן מורא אין ווער עס יז וואס האט וואָטשט די טעק אינדוסטריע אַרבעטן אין די לעצטע צוויי יאָרצענדלינג. מיר האָבן שוין באמערקט דעם מוסטער פריער, צי ניט? סאציאל מעדיע קאָמפּאַניעס "וואַלאַנטעראַלי" פּאַליסינג האַס רייד, זוכן ענדזשאַנז "זיך-רעגיאַלייטינג" דאַטן פּריוואַטקייט, און אַפּ סטאָרז "ינדיפּענדאַנטלי" ינשורינג שיין פאַרמעסט. די שפּור רעקאָרד איז, צו לייגן עס מיילדלי, אַביסמאַל.

דער געדאַנק אַז די זייער קאָמפּאַניעס וואָס רייסינג צו אַנטוויקלען און צעוויקלען שטאַרק אַי סיסטעמען - סיסטעמען מיט די פּאָטענציעל צו ריפאָרמירן עקאָנאָמיעס, השפּעה ילעקשאַנז און אפילו שאַפֿן נייַע פארמען פון געזעלשאַפטלעך ריזיקירן - קענען זיין טראַסטיד צו שטעלן און דורכפירן זייער אייגענע עטישע און זיכערקייַט גיידליינז איז נאַיוו אין בעסטער, און דיינדזשעראַסלי יראַספּאַנסאַבאַל אין ערגסט. דאָס זענען קאָרפּעריישאַנז געטריבן דורך נוץ און מאַרק דאַמאַנאַנס. זייער ערשטיק פידושיערי פליכט איז צו שערכאָולדערז, נישט צו די אַבסטראַקט באַגריף פון ציבור גוט אָדער עטישע אַי.

דער "אָפּמאַך" איז אַ פּאָליטיש געווינען פֿאַר די אַדמיניסטראַציע, אַלאַוינג זיי צו פאָדערן קאַמף אויף אַי אָן די מעסי געשעפט פון פאַקטיש געסעצ - געבונג אָדער רעגולאַטאָרי פאַרזע. עס איז אויך אַ מאַסיוו געווינען פֿאַר ביג טעק, בייינג זיי צייט און פרייהייט פון פּאַטענטשאַלי בערדאַנסאַם רעגיאַליישאַנז וואָס קען פּאַמעלעך זייער כידעש אָדער פּראַל אויף זייער דנאָ שורה. אָבער פֿאַר די רעשט פון אונדז - פֿאַר די טעק פּראָפעססיאָנאַלס וואָס בויען די סיסטעמען, פֿאַר די געשעפטן וואָס וועט פאַרלאָזנ זיך אויף זיי, און פֿאַר געזעלשאַפט אין גרויס - דאָס איז אַ געפערלעך פּרעסידענט. עס סיגנאַלז אַ בילכער צוגאַנג צו אַי גאַווערנאַנס וואָס פּרייאָראַטייז פֿירמע זעלבסט-פאַרוואַלטונג איבער ציבור זיכערקייַט און אַקאַונטאַביליטי.

די דיסקאַנעקט: בנין אויף אַנסטייבאַל יסודות

דאָ איז דער ומבאַקוועם אמת: מיר זענען סיימאַלטייניאַסלי פיילינג צו באַוואָרענען אונדזער פאָרשטעלן און דיינדזשעראַסלי מיסמאַנידזשינג אונדזער צוקונפֿט. מיר בויען טאָמיד מער סאַפיסטאַקייטיד אַי סיסטעמען אויף אַ יסוד פון דיגיטאַל ינסטאַביליטי, ווו קריטיש ינפראַסטראַקטשער איז רוטינלי קאַמפּראַמייזד דורך סאַפיסטאַקייטיד קעגנערס. די זעלבע ינדאַסטרי פירער וואָס קענען נישט ויסקומען צו פאַרהיטן זייער פּראָדוקטן צו ווערן גלאבאלע אַטאַק וועקטאָרס זענען איצט געבעטן צו "זיך-פּאָליציי" די עטישע און זיכערקייַט ימפּלאַקיישאַנז פון אַלגעמיין קינסטלעך סייכל.

דאָס איז ניט נאָר אַ דיסקאַנעקט; עס איז אַ טיף ריס. ווי CTOs און ינזשעניעריע פירט, מיר זענען געכאפט אין די מיטל. מיר זענען טאַסקט מיט פּאַטטשינג די באַלדיק, עקסיסטענטשאַל טרעץ ווי די סיטריקס נול-טעג, און סיימאַלטייניאַסלי געזאָגט צו גרייטן זיך פֿאַר אַ אַי-געטריבן צוקונפֿט, ווו די כּללים זענען קאַמפּרייזד ווי מיר גיין צוזאמען, לאַרגעלי דורך די פּלייַערס זיך.

די וואַלאַנטערי אַי העסקעם איז נישט אַ לייזונג; עס איז אַ פאַרהאַלטן טאַקטיק. עס פּאָוסטפּאָונד אַקאַונטאַביליטי, און ינשורינג אַז ווען די באַשערט עטישע בריטשיז, בייאַסיז אָדער אפילו קאַטאַסטראָפיק פייליערז פון AI פאַלן, דער ציבור וועט זיין געחידושט וואָס עס איז נישט געווען אַ שטאַרק, פרייַ פאַרזע פון ​​די אָנהייב. און ווען די פייליערז פּאַסירן, זיי וועלן נישט זיין טעאָרעטיש. זיי וועלן זיין ווי פאַקטיש און ווי דאַמידזשינג ווי אַ RCE אויף דיין NetScaler, נאָר מיט פּאַטענטשאַלי פיל מער סאָסיעטאַל ימפּלאַקיישאַנז.

מיר דארפן פאדערן מער. מיר דאַרפֿן שטאַרק, פּראָואַקטיוו זיכערהייט פון אונדזער ווענדאָרס, ניט נאָר ריאַקטיוו פּאַטשאַז נאָך דעם פאַקט. און מיר דאַרפֿן עכט, אומאָפּהענגיק רעגולירן פֿאַר אַי, ניט נאָר אַ האַנדשייק העסקעם צווישן פּאַלאַטישאַנז און קאָרפּעריישאַנז. ווייַל אויב מיר קענען נישט אפילו באַוואָרענען אונדזער האַרץ ינפראַסטראַקטשער, ווי קענען מיר עפשער צוטרוי די אַרקאַטעקץ צו בויען די ווייַטער דור פון ציוויליזאַציע ריספּאַנסאַבלי? דער ענטפער, פֿאַר איצט, איז מיר קענען נישט.

# קוואלן

[1] CISA לייגט Citrix NetScaler ADC און Gateway וואַלנעראַביליטי (CVE-2023-4966) צו באַוווסט עקספּלאָיטעד וואַלנעראַביליטיז קאַטאַלאָג - https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] Citrix Security Bulletin פֿאַר CVE-2023-4966 און CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234cve20234cve-and-citrix [3] מאַנדיאַנט: UNC4841 עקספּלאָיץ Citrix NetScaler ADC און Gateway Zero-Day (CVE-2023-4966) - https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA לייגט Citrix NetScaler ADC און Gateway וואַלנעראַביליטי (CVE-2023-3519) צו באַוווסט עקספּלאָיטעד וואַלנעראַביליטיז קאַטאַלאָג - https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] לייוו דערהייַנטיקונגען: טראַמפּ סענדז וואַלאַנטערי העסקעם מיט אַי פירער פֿאַר טעק ... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026