Байнгын онц байдал: "Шүүмжлэл" нь цагаан шуугиан болж хувирах үед
Хэрэв танай байгууллага өнгөрсөн намар шинэчлэгдээгүй Citrix NetScaler ADCs эсвэл Gateways ажиллуулж байсан бол та зүгээр л эрсдэлд ороогүй; Та гамшигт идэвхтэй урьж байсан. "Citrix Bleed" гэгддэг CVE-2023-4966 чухал тэг өдрийн тухай CISA-ийн яаралтай сэрэмжлүүлэг нь эрсдэлийн удирдлагын онолын дасгал биш байсан [1, 2]. Энэ нь хатуу анхааруулга байсан бөгөөд халдагчид нөхөөсийг хойшлуулсан хүмүүсийн сүлжээнд *аль хэдийн дотогш орчихсон» гэсэн шууд баталгаа байлаа. 2023 оны 10-р сарын 27-ны өдөр буюу CISA-ын Онцгой байдлын 23-02 дугаар тушаалаар тогтоосон холбооны агентлагуудад засвар хийх эцсийн хугацаа ирж, дууссан [3]. Холбооны байгууллагууд асар их нөөц бололцоотой, аюулгүй байдлын тусгай багтай ийм зорилтыг биелүүлэхэд бэрхшээлтэй тулгарсан бол энэ нь бусад бүх хүмүүст асар их дарамт учруулж байгааг харуулж байна.
Энэ бол зүгээр нэг муу алдааны тухай биш юм. Энэ нь дижитал эрин зуунд "чухал дэд бүтцийн" хүндийн хүчийг ойлгох системийн алдааны тухай юм. NetScaler төхөөрөмжүүд нь таны барилгын үндсэн орц, аюулгүй байдлын хяналтын цэг, HVAC системтэй ижил дижитал төхөөрөмж юм. Тэд периметр дээр сууж, баталгаажуулалт, ачааллыг тэнцвэржүүлэх, замын хөдөлгөөний зохицуулалтыг зохицуулдаг. Ийм төхөөрөмж дээрх RCE (Remote Code Execution) нь зүгээр нэг зөрчил биш юм; Энэ нь системийг бүрэн эзэмшиж, дайсандаа шууд өгсөн мастер түлхүүр юм. Бид халдагчид дотоод сүлжээнд хялбархан нэвтэрч, нууц мэдээллийг задлах эсвэл ransomware-г мэс заслын нарийвчлалтайгаар байршуулах боломжийг олгодог хандалтын талаар ярьж байна. CVE-2023-4966-г идэвхтэй ашигласан, одоо CISA-ийн KEV каталогид оруулсан байгаа нь идэвхтэй хамгаалалтын цонх хурдан хаагдсан гэсэн үг [1]. Байгууллагууд халдлагаас урьдчилан сэргийлэхээ больсон; тэд үргэлжилж буй үйл явдлыг зөөлрүүлж байв.
Хөтөч бол шинэ периметр: Chrome-ын төгсгөлгүй эмзэг байдлын мөчлөг
Таныг сүлжээний периметрийг бүслэлтэнд байгаа цорын ганц зүйл гэж бодож байх үед Google өөр нэг тэсрэх бөмбөгийг тогтмол зарладаг: Chrome-д 0-өдрийг идэвхтэй ашигласан. Жишээлбэл, CVE-2024-4947, V8 төрлийн төөрөгдлийн чухал дутагдал нь энэ жил засварлагдсан, идэвхтэй ашигласан хэд хэдэн эмзэг байдлын зөвхөн нэг нь байсан [4]. Энэ бол санамсаргүй тохиолдол биш; энэ нь тогтвортой загвар юм. "Яаралтай шинэчлээрэй" гэсэн яаралтай гуйлт дагалддаг шинэ нөхөөс бүр нь өөр өөр боловч нэгэн адил нууцлагдмал, буулт хийх векторыг онцолж өгдөг. NetScaler хаалгыг хамгаалдаг бол Chrome нь ажилтан бүрийн халаас, ажлын станц, үүлд суурилсан виртуал ширээний компьютерийн хаа сайгүй нэвтрэх цэг юм.
Олон жилийн турш бид төгсгөлийн цэгийн аюулгүй байдлыг онцолж ирсэн боловч Chrome-ын тэг өдрийн хурд нь биднийг гүйцэлдүүлэхийн тулд байнга тэмцэж байгаа мэт сэтгэгдэл төрүүлдэг. Эдгээр эмзэг байдал бүр нь хэрэглэгчийн машин дээр дурын кодыг ажиллуулах чадвартай, халдлага, хортой вэбсайт эсвэл эвдэрсэн зар сурталчилгааны сүлжээг илэрхийлдэг. Тэндээс итгэмжлэл хулгайлах, хажуу тийш шилжих эсвэл илүү боловсронгуй хортой програмыг байрлуулахад богинохон хугацаа орно. "Дэлхийн хамгийн алдартай вэб хөтөч" нь мөн өргөтгөлөөр дэлхийн хамгийн алдартай халдлагын гадаргуу юм.
Хяналтын хуурмаг: Бид яагаад хоцрогдсон хэвээр байна вэ?
Тэгэхээр энд нийтлэг зүйл юу вэ? Эдгээр нь зөвхөн "чухал" сул талууд биш юм. Энэ нь тэдний нээлт, мөлжлөгийн урьдчилан таамаглахуйц, бараг зан үйлийн шинж чанар юм. Бид "яаралтай нөхөөс" нь онцгой тохиолдол биш харин үндсэн ажиллагааны горим болсон мөнхийн онц байдалд баригдсан.
Яагаад?
- Төвөгтэй байдлын өр: NetScaler болон Chrome хоёулаа үнэхээр нарийн төвөгтэй програм хангамж юм. NetScaler нь тоо томшгүй олон функц, интеграцчилал бүхий довтолгооны өргөн хүрээг хамардаг. Chrome нь JavaScript хөдөлгүүр (V8), рэндэрлэх хөдөлгүүр, байнгын нэмэлтүүдтэй бөгөөд аюулгүй байдлын судлаачид болон халдагчдын хувьд хөдөлж буй зорилт юм. Нарийн төвөгтэй байдал нь алдаануудыг үүсгэдэг бөгөөд алдаа нь зайлшгүй эмзэг байдалд хүргэдэг.
- Халдлага үйлдэгчийн давуу тал: Үндэстний мужууд болон нарийн гэмт хэргийн бүлэглэлүүд олон нийтэд ил тод мэдээлэгдэхийг хүлээдэггүй. Тэд эдгээр дутагдлуудыг идэвхтэй хайж байдаг бөгөөд ихэвчлэн ихээхэн нөөцтэй байдаг. Нэгэнт олдвол тэг өдөр нь алтан тасалбар бөгөөд нөхөөс нь гараа тултал чимээгүйхэн ашигладаг. Эдгээр нь идэвхтэй мөлжлөгт байгаа нь дайснууд аль хэдийн муруйгаас түрүүлж байна гэсэн үг.
- Саажилтыг нөхөх: NetScaler зэрэг чухал дэд бүтцийн хувьд нөхөөс хийх нь ихэвчлэн сул зогсолт, нарийн төлөвлөлт, олон баг хоорондын зохицуулалт гэсэн үг юм. Томоохон аж ахуйн нэгжүүдэд энэ нь хүнд суртлын хар дарсан зүүд байж болно. Chrome-ын хувьд энэ нь илүү хялбар боловч хэрэглэгчийн дагаж мөрдөх чадвар эсвэл төвлөрсөн удирдлагад тулгуурладаг. "Үүнийг тавиад март" гэсэн сэтгэлгээ, эсвэл бүр дордвол "дараагийн улиралд хүрнэ" гэсэн хандлага нь буулт хийх жор юм. NetScaler-д зориулсан CISA-ийн эцсийн хугацаа, одоо өнгөрч байгаа нь энэ инерцийн тухай хатуу сануулга юм.
- Аюулгүй байдал гэдэг нь хожим бодол: Хэдий олон хэл ам дагуулсан ч аюулгүй байдал нь зардлын төв, инновацийг нэвтрүүлэхэд саад тотгор учруулдаг, эсвэл зөрчлийн дараа * шийдэгдэх асуудал гэж хэтэрхий их үздэг. Идэвхтэй аюул заналыг агнах, эмзэг байдлын найдвартай менежмент, аюулгүй байдлын тасралтгүй боловсролд оруулсан хөрөнгө оруулалт нь ослын дараах идэвхтэй тэмцэлтэй харьцуулахад бүдэг бадаг.
Нөхөөс цааш: Стратегийн шинэчлэл хийх уриалга
Байгууллагадаа "нэн даруй нөхөөсэй" гэж хэлэх нь усны гүнд тэмцэж буй хэн нэгэнд "илүү их сэлж" гэж хэлэхтэй адил юм. Энэ нь зайлшгүй шаардлагатай, гэхдээ энэ нь үндсэн асуудлыг шийдэж чадахгүй. Аюулгүй байдлын арга барилд бид үндсэн өөрчлөлт хийх хэрэгтэй.
- ** Буулт гэж үзье:** Хуучин периметрийн хамгаалалтын загвар нь үхсэн. Таны NetScaler * эвдэрсэн гэж бодъё. Таны хэрэглэгчдийн Chrome хөтчүүдийг ашиглах болно гэж бодъё. Сүлжээний найдвартай сегментчилэл, хамгийн бага давуу эрхээр нэвтрэх, хэвийн бус үйл ажиллагааг тасралтгүй хянах. Агнаж заналхийлэх нь тансаг зүйл биш юм; энэ нь зайлшгүй юм. Нарийн шинж тэмдгүүдийг хайж олоорой: таны NetScaler-аас гарах ер бусын холболтууд, шинэ хэрэглэгчийн бүртгэлүүд, үйл явцын гэнэтийн гүйцэтгэл.
- Боломжтой бүхнийг автоматжуулах: Chrome зэрэг төгсгөлийн цэгүүдийн засварын менежментийг бүрэн автоматжуулж, хэрэгжүүлэх ёстой. NetScaler гэх мэт чухал дэд бүтцийн хувьд илүү төвөгтэй боловч үйл явцыг оновчтой болгох, турших, давтах шаардлагатай. Аюулгүй байдлын шинэчлэлтийн зогсолтыг ямар ч үнээр хамаагүй зайлсхийхгүйгээр төлөвлөж, бизнес хийх зардал гэж хүлээн зөвшөөрөх ёстой.
- ** Урьдчилан сэргийлэх бус харин дасан зохицох чадварт хөрөнгө оруулах:** Гэнэтийн ослын хариу арга хэмжээний төлөвлөгөөг тулалдаанд туршиж үзэх шаардлагатай. Та зөрчлийг хурдан илрүүлж чадах уу? Та үүнийг багтааж чадах уу? Та золиос төлөхгүйгээр сэргэж чадах уу? Урьдчилан сэргийлэх нь гарцаагүй бүтэлгүйтсэн үед эдгээр асуултууд чухал байдаг.
- ** Борлуулагчдаас илүү сайн зүйлийг шаардах:** Google засвар хийж байгаа ч Chrome-д 0 хоногийн хугацаа зарцуулагдаж байгаа нь илүү гүнзгий архитектурын үнэлгээ, магадгүй илүү түрэмгий дотоод алдааны урамшууллын хөтөлбөр шаардлагатай байгааг харуулж байна. Citrix гэх мэт чухал дэд бүтцийн үйлдвэрлэгчдийн хувьд хүлээлт илүү өндөр байх ёстой. Тэдний бүтээгдэхүүн нь шууд утгаараа аж ахуйн нэгжийн үйл ажиллагааны гол тулгуур юм.
Бодит байдал нь эдгээр нь тусдаа тохиолдлууд биш юм. Эдгээр нь дижитал экосистемийн байнгын, боловсронгуй халдлагын шинж тэмдэг юм. "Чухал" сэрэмжлүүлэг ирсээр байх болно. Асуулт нь хэрэв танай байгууллагыг онилсон эсэхэд биш, харин хэзээ, та үнэхээр тэсвэртэй хамгаалалтыг бий болгохын тулд идэвхтэй тэмцлээс хальж чадсан эсэх юм. Хэрэв NetScaler-д зориулсан CISA-ийн эцсийн хугацаа таны аюулгүй байдлын стратегийг идэвхжүүлээгүй бол дахин нухацтай үнэлэх цаг болжээ.
Эх сурвалж
[1] CISA Мэдэгдэж байгаа ашиглалтын эмзэг байдлын каталог — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Citrix NetScaler ADC болон Citrix NetScaler Gateway-ийн эмзэг байдлыг (CVE-2023-4966) ашиглаж буй аюул заналхийлсэн жүжигчид — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] Онцгой байдлын заавар 23-02: Citrix NetScaler ADC болон Gateway-ийн эмзэг байдлыг бууруулах — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-ner [4] Ширээний компьютерт зориулсан тогтвортой сувгийн шинэчлэл (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] CVE-2023-4966 болон CVE-2023-4967-д зориулсан Citrix NetScaler ADC болон Citrix NetScaler Gateway Security Bulletin — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967