Pastāvīgais ārkārtas stāvoklis: kad "kritiskais" kļūst par balto troksni
Ja jūsu organizācija pagājušajā rudenī joprojām darbojās bez ielāpiem Citrix NetScaler ADC vai vārtejas, jūs ne tikai riskējat; jūs aktīvi aicinājāt uz katastrofu. CISA steidzamais brīdinājums par kritisko nulles dienu, CVE-2023-4966, plaši pazīstams kā "Citrix Bleed", nebija teorētisks riska pārvaldības uzdevums [1, 2]. Tas bija spilgts brīdinājums, tiešs apstiprinājums tam, ka uzbrucēji jau atradās to personu tīklos, kuri aizkavēja ielāpu. 2023. gada 27. oktobris, termiņš federālajām aģentūrām, kas jāveic ielāpu veikšanai, kā noteikts CISA ārkārtas situāciju direktīvā 23-02, ir pienācis un pagājis [3]. Ja federālās struktūras ar saviem ievērojamajiem resursiem un īpašām drošības komandām saskārās ar izaicinājumiem, lai sasniegtu šādus mērķus, tas norāda uz milzīgo spiedienu uz visiem pārējiem.
Šeit nav runa tikai par vienu nepatīkamu kļūdu. Tas ir par sistēmisku nespēju uztvert "kritiskās infrastruktūras" nopietnību digitālajā laikmetā. NetScaler ierīces ir jūsu ēkas galvenās ieejas, drošības pārbaudes punkta un HVAC sistēmas digitālais ekvivalents. Viņi sēž pie perimetra, apstrādā autentifikāciju, slodzes līdzsvarošanu un satiksmes pārvaldību. RCE (Remote Code Execution) šādā ierīcē nav tikai pārkāpums; tā ir pilnīga sistēmas pārņemšana, galvenā atslēga, kas tiek nodota tieši pretiniekam. Mēs runājam par piekļuves veidu, kas ļauj uzbrucējiem bez piepūles iekļūt iekšējos tīklos, izfiltrēt sensitīvus datus vai ķirurģiski precīzi izvietot izspiedējprogrammatūru. Tas, ka CVE-2023-4966 tika aktīvi izmantots, tagad iekļauts CISA KEV katalogā, nozīmē, ka proaktīvas aizsardzības logs ātri aizvērās [1]. Organizācijas vairs nenovērsa uzbrukumu; viņi mazināja notiekošo incidentu.
Pārlūkprogramma kā jaunais perimetrs: Chrome bezgalīgais ievainojamības cikls
Un tieši tad, kad uzskatījāt, ka jūsu tīkla perimetrs ir vienīgais, kas tiek aplenkts, Google regulāri paziņo par vēl vienu sprādzienu: aktīvi izmantotas nulles dienas pārlūkā Chrome. Piemēram, CVE-2024-4947, kritisks V8 tipa neskaidrības trūkums, bija tikai viena no vairākām aktīvi izmantotajām ievainojamībām, kas tika izlabotas šogad [4]. Tas nav nejaušība; tas ir konsekvents modelis. Katrs jauns ielāps, ko bieži pavada steidzams lūgums "nekavējoties atjaunināt", izceļ citu, tomēr tikpat mānīgu kompromisa vektoru. Kamēr NetScaler sargā vārtus, pārlūks Chrome ir visuresošs ieejas punkts ikviena darbinieka kabatā, katrā darbstacijā un ikvienā mākoņa virtuālajā darbvirsmā.
Gadiem ilgi mēs esam uzsvēruši galapunkta drošību, taču milzīgais Chrome nulles dienu ātrums rada sajūtu, ka mēs pastāvīgi cīnāmies, lai neatpaliktu. Katra no šīm ievainojamībām ir potenciāls uzbrukums, ļaunprātīga vietne vai uzlauzts reklāmu tīkls, kas var izpildīt patvaļīgu kodu lietotāja datorā. No turienes tas ir īss lēciens līdz akreditācijas datu zādzībai, pārvietošanai uz sāniem vai sarežģītākas ļaunprātīgas programmatūras izvietošanai. "Pasaules populārākā tīmekļa pārlūkprogramma" pēc paplašinājuma ir arī pasaulē populārākā uzbrukuma virsma.
Kontroles ilūzija: kāpēc mēs pastāvīgi atpaliekam
Tātad, kāds šeit ir kopīgs pavediens? Tas nav tikai tas, ka šīs ir "kritiskās" ievainojamības. Tas ir viņu atklāšanas un izmantošanas paredzamais, gandrīz rituālistiskais raksturs. Mēs esam nokļuvuši mūžīgā ārkārtas stāvoklī, kur "steidzama ielāpēšana" ir kļuvusi par noklusējuma darbības režīmu, nevis izņēmumu.
Kāpēc?
1. Sarežģītības parāds: gan NetScaler, gan Chrome ir neticami sarežģītas programmatūras daļas. NetScaler ar neskaitāmām funkcijām un integrācijām piedāvā plašu uzbrukuma virsmu. Chrome ar JavaScript dzinēju (V8), renderēšanas dzinēju un pastāvīgiem funkciju papildinājumiem ir kustīgs mērķis gan drošības pētniekiem, gan uzbrucējiem. Sarežģītība rada kļūdas, un kļūdas neizbēgami rada ievainojamības. 2. Uzbrucēja priekšrocība: nacionālās valstis un sarežģītas noziedzīgas grupas negaida publiskošanu. Viņi aktīvi meklē šos trūkumus, bieži vien ar ievērojamiem resursiem. Kad nulles diena ir atrasta, tā ir zelta biļete, ko izmanto klusi, līdz plāksteris piespiež viņu roku. Fakts, ka tie tiek aktīvi izmantoti, nozīmē, ka pretinieki jau ir līknes priekšā. 3. Labojuma paralīze: kritiskai infrastruktūrai, piemēram, NetScaler, ielāpu veikšana bieži nozīmē dīkstāvi, rūpīgu plānošanu un vairāku komandu koordināciju. Lielos uzņēmumos tas var būt birokrātisks murgs. Pārlūkā Chrome tas ir vienkāršāk, taču tas joprojām ir atkarīgs no lietotāja atbilstības vai spēcīgas centralizētas pārvaldības. Mentalitāte "nosaki un aizmirsti" vai, vēl ļaunāk, pieeja "pie tā tiksim nākamajā ceturksnī" ir kompromisa recepte. CISA termiņš NetScaler, kas tagad ir pagājis, ir spilgts atgādinājums par šo inerci. 4. Drošība kā pārdomas: neskatoties uz visu retoriku, drošība joprojām pārāk bieži tiek uzskatīta par izmaksu centru, kavēkli inovācijām vai problēmu, kas jāatrisina pēc pārkāpuma. Ieguldījumi proaktīvā draudu meklēšanā, stingrā ievainojamību pārvaldībā un nepārtrauktā drošības izglītībā bieži vien ir bāla salīdzinājumā ar reaktīvo sadursmi pēc incidenta.
Ārpus ielāpa: aicinājums veikt stratēģisku kapitālremontu
Vienkārši pateikt organizācijai "nekavējoties salabot" ir tas pats, kas likt kādam, kas cīnās dziļā ūdenī, "peldēt grūtāk". Tas ir nepieciešams, taču tas neatrisina pamata problēmu. Mums ir vajadzīgas fundamentālas izmaiņas attiecībā uz pieeju drošībai.
- Pieņemt kompromisu: vecais perimetra aizsardzības modelis ir miris. Pieņemsim, ka jūsu NetScaler ir pārkāpts. Pieņemsim, ka jūsu lietotāju pārlūkprogrammas Chrome tiks izmantotas. Ieviesiet spēcīgu tīkla segmentāciju, vismazāko privilēģiju piekļuvi un nepārtrauktu anomālu darbību uzraudzību. Draudu medības nav greznība; tā ir nepieciešamība. Meklējiet smalkās pazīmes: neparasti izejoši savienojumi no jūsu NetScaler, jauni lietotāju konti, neparedzēta procesa izpilde.
- Automatizējiet visu iespējamo: tādu galapunktu kā Chrome ielāpu pārvaldībai jābūt pilnībā automatizētai un ieviestai. Kritiskās infrastruktūras, piemēram, NetScaler, gadījumā, lai gan process ir sarežģītāks, tas ir jāracionalizē, jāpārbauda un jāatkārto. Dīkstāves laiks drošības atjauninājumiem ir jāplāno un jāpieņem kā uzņēmējdarbības izmaksas, nevis jāizvairās par katru cenu.
- Ieguldiet noturībā, ne tikai novēršanā. Negadījumu reaģēšanas plāni ir jāpārbauda kaujas apstākļos. Vai varat ātri atklāt pārkāpumu? Vai varat to saturēt? Vai jūs varat atgūties, nemaksājot izpirkuma maksu? Šie ir jautājumi, kas ir svarīgi, ja profilakse neizbēgami neizdodas.
- Pieprasiet labāk no piegādātājiem: kamēr Google veic labojumus, milzīgais nulles dienu skaits pārlūkā Chrome liecina par nepieciešamību pēc dziļākas arhitektūras pārskatīšanas un, iespējams, agresīvākas iekšējās kļūdu novēršanas programmas. Attiecībā uz kritiskās infrastruktūras pārdevējiem, piemēram, Citrix, cerībām vajadzētu būt vēl lielākām. Viņu produkti burtiski ir uzņēmuma darbības pamats.
Realitāte ir tāda, ka tie nav atsevišķi gadījumi. Tie ir digitālās ekosistēmas simptomi, kas tiek pakļauti pastāvīgam, sarežģītam uzbrukumam. "Kritiskie" brīdinājumi turpinās nākt. Jautājums nav par to, vai jūsu organizācija tiks mērķēta, bet gan kad un vai esat pārspējis reaktīvo cīņu, lai izveidotu patiesi noturīgu aizsardzību. Ja NetScaler nokavētais CISA termiņš neveicināja jūsu drošības stratēģiju, ir pienācis laiks veikt nopietnu atkārtotu novērtēšanu.
Avoti
[1] CISA zināmo izmantoto ievainojamību katalogs — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Draudu dalībnieki, kas izmanto Citrix NetScaler ADC un Citrix NetScaler vārtejas ievainojamību (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] Ārkārtas direktīva 23-02: Citrix NetScaler ADC un vārtejas ievainojamības mazināšana — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Stabila kanāla atjauninājums darbvirsmai (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC un Citrix NetScaler Gateway drošības biļetens CVE-2023-4966 un CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967