وضعیت اضطراری دائمی: زمانی که "بحرانی" به نویز سفید تبدیل می شود

وضعیت اضطراری دائمی: وقتی "بحرانی" به نویز سفید تبدیل می شود

اگر سازمان شما هنوز در پاییز گذشته از ADCها یا دروازه های Citrix NetScaler وصله نشده استفاده می کرد، شما فقط ریسک نمی کردید. شما فعالانه دعوت به فاجعه می کردید. هشدار فوری CISA برای روز بحرانی صفر، CVE-2023-4966، که به طور گسترده به عنوان "Citrix Bleed" شناخته می شود، یک تمرین نظری در مدیریت ریسک نبود [1، 2]. این یک هشدار جدی بود، تاییدی مستقیم بر اینکه مهاجمان از قبل در داخل شبکه های کسانی بودند که وصله کردن را به تعویق انداختند. 27 اکتبر 2023، آخرین مهلت سازمان‌های فدرال برای وصله، که توسط دستورالعمل اضطراری CISA 23-02 مقرر شده بود، آمده و رفته است [3]. اگر نهادهای فدرال، با منابع قابل توجه و تیم های امنیتی اختصاص داده شده خود، برای رسیدن به چنین اهدافی با چالش هایی مواجه شدند، فشار بسیار زیاد بر دیگران را نشان می دهد.

این فقط مربوط به یک باگ تک و بد نیست. این در مورد شکست سیستماتیک در درک گرانش "زیرساخت های حیاتی" در عصر دیجیتال است. لوازم NetScaler معادل دیجیتال ورودی اصلی ساختمان شما، ایست بازرسی امنیتی و سیستم تهویه مطبوع هستند که همگی در یک واحد قرار گرفته اند. آنها در اطراف می نشینند و احراز هویت، تعادل بار و مدیریت ترافیک را مدیریت می کنند. RCE (اجرای کد از راه دور) در چنین دستگاهی فقط یک نقض نیست. این یک تصاحب کامل سیستم است، یک کلید اصلی که مستقیماً در اختیار دشمن قرار می گیرد. ما در مورد نوع دسترسی صحبت می کنیم که به مهاجمان اجازه می دهد بدون زحمت به شبکه های داخلی بپیوندند، داده های حساس را استخراج کنند یا باج افزار را با دقت جراحی مستقر کنند. این واقعیت که CVE-2023-4966 به طور فعال مورد بهره برداری قرار گرفت، که اکنون در کاتالوگ KEV CISA گنجانده شده است، به این معنی است که پنجره دفاع پیشگیرانه به سرعت بسته می شود [1]. سازمان‌ها دیگر از حمله جلوگیری نمی‌کردند. آنها در حال کاهش یک حادثه در حال انجام بودند.

مرورگر به عنوان محیط جدید: چرخه آسیب پذیری بی پایان Chrome

و درست زمانی که فکر می‌کردید محیط شبکه شما تنها چیزی است که در محاصره است، Google مرتباً بمب دیگری را اعلام می‌کند: به طور فعال صفر روز در کروم مورد سوء استفاده قرار می‌گیرد. به عنوان مثال، CVE-2024-4947، یک نقص مهم سردرگمی نوع V8، تنها یکی از چندین آسیب‌پذیری مورد سوء استفاده فعال بود که امسال وصله شد [4]. این یک تصادف نیست. این یک الگوی ثابت است. هر وصله جدید، که اغلب با درخواست فوری برای "به روز رسانی فوری" همراه است، بردار متفاوت و در عین حال به همان اندازه موذیانه سازش را برجسته می کند. در حالی که NetScaler از دروازه‌ها محافظت می‌کند، Chrome نقطه ورود همه‌جا در جیب هر کارمند، در هر ایستگاه کاری و در هر دسکتاپ مجازی مبتنی بر ابر است.

برای سال‌ها، ما بر امنیت نقطه پایانی تاکید کرده‌ایم، اما سرعت بالای صفر روز کروم باعث می‌شود این احساس را داشته باشیم که دائماً در تلاش برای ادامه دادن هستیم. هر یک از این آسیب‌پذیری‌ها نشان‌دهنده یک حمله بالقوه درایو، یک وب‌سایت مخرب، یا یک شبکه تبلیغاتی در معرض خطر است که قادر به اجرای کد دلخواه بر روی ماشین کاربر است. از آنجا، این یک جهش کوتاه به سرقت اعتبار، جابجایی جانبی، یا استقرار بدافزارهای پیچیده تر است. «محبوب‌ترین مرورگر وب جهان» نیز به‌طور گسترده، محبوب‌ترین سطح حمله جهان است.

توهم کنترل: چرا ما به عقب می رویم

بنابراین، موضوع مشترک در اینجا چیست؟ فقط این نیست که اینها آسیب پذیری های "بحرانی" هستند. این ماهیت قابل پیش بینی و تقریباً تشریفاتی کشف و بهره برداری آنهاست. ما در یک وضعیت اضطراری دائمی گرفتار شده‌ایم، که در آن «وصله فوری» به جای یک استثنا، به حالت عملیاتی پیش‌فرض تبدیل شده است.

چرا؟

** بدهی پیچیدگی: ** هر دو NetScaler و Chrome نرم افزارهای فوق العاده پیچیده ای هستند. NetScaler با ویژگی‌ها و ادغام‌های بی‌شمار خود، سطح حمله گسترده‌ای را ارائه می‌کند. کروم، با موتور جاوا اسکریپت (V8)، موتور رندر و افزودن ویژگی های ثابت، یک هدف متحرک برای محققان امنیتی و مهاجمان است. پیچیدگی باعث ایجاد اشکال می شود و باگ ها به ناچار منجر به آسیب پذیری می شوند.
مزیت مهاجم: دولت های ملی و گروه های جنایتکار پیچیده منتظر افشای عمومی نیستند. آنها به طور فعال به دنبال این معایب هستند، اغلب با منابع قابل توجهی. زمانی که روز صفر پیدا شد، یک بلیط طلایی است که بی سر و صدا مورد سوء استفاده قرار می گیرد تا زمانی که یک وصله دست آنها را مجبور کند. این واقعیت که اینها فعالانه مورد بهره برداری قرار می گیرند به این معنی است که دشمنان در حال حاضر از منحنی جلوتر هستند.
Patching Paralysis: برای زیرساخت های حیاتی مانند NetScaler، وصله کردن اغلب به معنای از کار افتادن، برنامه ریزی دقیق و هماهنگی بین چندین تیم است. در شرکت های بزرگ، این می تواند یک کابوس بوروکراتیک باشد. برای Chrome، ساده‌تر است، اما همچنان به انطباق کاربر یا مدیریت متمرکز قوی متکی است. ذهنیت «تنظیم کن و فراموشش کن» یا بدتر از آن، رویکرد «سه ماهه آینده به آن خواهیم رسید»، دستوری برای سازش است. مهلت CISA برای NetScaler که اکنون به پایان رسیده است، یادآور اینرسی است.
امنیت به عنوان یک فکر بعدی: علیرغم همه لفاظی ها، امنیت هنوز هم اغلب به عنوان یک مرکز هزینه، مانعی برای نوآوری یا مشکلی که پس از* نقض حل می شود دیده می شود. سرمایه‌گذاری در شکار پیشگیرانه تهدید، مدیریت آسیب‌پذیری قوی، و آموزش مداوم امنیتی اغلب در مقایسه با تقلا واکنشی پس از حادثه کمرنگ می‌شود.

فراتر از پچ: فراخوانی برای بازنگری استراتژیک

صرفاً گفتن به یک سازمان که «فوراً وصله» انجام دهد، مانند این است که به کسی که در آب های عمیق تلاش می کند بگوییم «سخت تر شنا کن». لازم است، اما مشکل اساسی را برطرف نمی کند. ما به یک تغییر اساسی در نحوه برخورد با امنیت نیاز داریم.

مصالحه را فرض کنید: مدل دفاع محیطی قدیمی مرده است. فرض کنید NetScaler شما *شکن شده است. فرض کنید مرورگرهای کروم کاربران شما * مورد سوء استفاده قرار خواهند گرفت. تقسیم بندی قوی شبکه، دسترسی به حداقل امتیاز و نظارت مستمر برای فعالیت های غیرعادی را اجرا کنید. شکار تهدید یک تجمل نیست. این یک ضرورت است به دنبال نشانه‌های ظریف باشید: اتصالات خروجی غیرمعمول از NetScaler، حساب‌های کاربری جدید، اجرای فرآیند غیرمنتظره.
همه چیز ممکن را خودکار کنید: مدیریت وصله برای نقاط پایانی مانند Chrome باید کاملاً خودکار و اجرا شود. برای زیرساخت های حیاتی مانند NetScaler، در حالی که پیچیده تر است، فرآیند باید ساده، آزمایش و تکرار شود. زمان از کار افتادن به‌روزرسانی‌های امنیتی باید برنامه‌ریزی شود و به عنوان هزینه انجام تجارت پذیرفته شود، نه اینکه به هر قیمتی از آن اجتناب شود.
** روی تاب آوری سرمایه گذاری کنید، نه فقط پیشگیری:** طرح های واکنش به حوادث باید آزمایش شوند. آیا می توانید به سرعت نقض را تشخیص دهید؟ آیا می توانید آن را نگه دارید؟ آیا می توانید بدون پرداخت باج ریکاوری کنید؟ اینها سوالاتی هستند که در مواقعی که پیشگیری ناگزیر با شکست مواجه می شود اهمیت پیدا می کند.
تقاضای بهتر از فروشندگان: در حالی که Google در حال اصلاح است، حجم عظیم صفر روز در کروم نشان دهنده نیاز به بررسی های عمیق تر معماری و شاید یک برنامه پاداش باگ داخلی تهاجمی تر است. برای فروشندگان زیرساخت های حیاتی مانند Citrix، انتظار باید حتی بالاتر باشد. محصولات آنها به معنای واقعی کلمه ستون فقرات عملیات سازمانی هستند.

واقعیت این است که اینها حوادث مجزا نیستند. آنها علائم یک اکوسیستم دیجیتال تحت حمله مداوم و پیچیده هستند. هشدارهای "بحرانی" همچنان در راه است. سوال آیا سازمان شما هدف قرار خواهد گرفت، نیست، بلکه چه زمانی، و اینکه آیا شما فراتر از تقلای واکنشی برای ایجاد یک دفاع واقعا انعطاف پذیر حرکت کرده اید یا خیر، نیست. اگر مهلت گذرانده شده CISA برای NetScaler استراتژی امنیتی شما را تقویت نکرد، وقت آن است که یک ارزیابی مجدد جدی انجام دهید.

منابع

[1] کاتالوگ آسیب پذیری های مورد سوء استفاده شناخته شده CISA — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] عوامل تهدید کننده که از Citrix NetScaler ADC و Citrix NetScaler Gateway آسیب پذیری استفاده می کنند (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] دستورالعمل اضطراری 23-02: کاهش آسیب پذیری Citrix NetScaler ADC و Gateway — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] به‌روزرسانی کانال پایدار برای دسک‌تاپ (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC و Citrix NetScaler Gateway Security Bulletin برای CVE-2023-4966 و CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967