نۆل كۈن ۋە نۆل نازارەت: ئىككى تېخنىكا رېئاللىقى توغرىسىدىكى ھېكايە

نۆل كۈن ۋە نۆل نازارەت: ئىككى تېخنىكا رېئاللىقى توغرىسىدىكى ھېكايە

SOC گۇرۇپپىڭىزنى تەسەۋۋۇر قىلىپ بېقىڭ ، كۆزلىرى قىزىرىپ ، چاقناپ تۇرغان قىزىل ئاگاھلاندۇرۇشقا تىكىلىپ تۇراتتى. ئۇ 2023-يىلى 10-ئايدىكى سەھەر سائەت 3 دە ، خەۋەرلەر ياخشى ئەمەس: Citrix NetScaler ADC ۋە Gateway دىكى ئىككى ھالقىلىق نۆل كۈن ، ئاكتىپلىق بىلەن پايدىلىنىپ ، يىراقتىن كود ئىجرا قىلىش (RCE) نى قوزغىتىپ ، ياۋايى ھايۋانلاردا كۆزىتىلگەن يۇمشاق دېتاللار بار. CISA داڭلىق پارتىلىغان ئاجىزلىق (KEV) مۇندەرىجىسى ئۇلارنى قوشتى [1, 2, 3, 4]. بۇ نەزەرىيەۋى تەھدىت ئەمەس. بۇ شىمالىي ئامېرىكا ۋە ياۋروپادىكى ھۆكۈمەت ، پۇل-مۇئامىلە ، مائارىپ ۋە قانۇن ساھەلىرىدىكى ھالقىلىق كارخانا ئۇل ئەسلىھەلىرىگە تەسىر كۆرسىتىدىغان مۇھىم ، خەلقئارالىق ۋەقە. گۇرۇپپىڭىزدىكىلەر قاننى كونترول قىلىش ، قاتتىق ئاچچىقلىنىش ۋە ئاپەت خاراكتېرلىك قانۇنغا خىلاپلىق قىلىش مۇمكىنچىلىكى بارلىقى توغرىسىدا ئەدلىيەلىك تەكشۈرۈشنى باشلاش بىلەن بىر ۋاقىتتا ، يەنە بىر تېما تۆۋەنلىدى: پرېزىدېنت ترامپ سۈنئىي ئەقىلنى تەرەققىي قىلدۇرۇشتىكى يۇقىرى پەن-تېخنىكا شىركەتلىرى بىلەن «ئۆز ئىختىيارلىقى بىلەن كېلىشىم» ھاسىل قىلىپ ، كەسىپنىڭ ئۆز-ئۆزىنى ساقلىشىغا ۋەدە بەردى [5].

جىپسىلاشتۇرۇش روشەن ماسلاشمايدۇ. بىر تەرەپتىن ، بىز ھازىرقى رەقەملىك مۇھىتىمىزنىڭ رەھىمسىز ، ئىنكار قىلغىلى بولمايدىغان رېئاللىقىغا دۇچ كېلىمىز: زامانىۋى دۇنيايىمىزنىڭ ئاساسى بولغان ئۇل ئەسلىھەلەردىكى ئاساسىي ئاجىزلىقلاردىن پايدىلانغان مۇرەككەپ رەقىبلەرگە قارشى توختىماي ، يۇقىرى سوممىلىق جەڭ. يەنە بىر نۇقتىدىن ئېيتقاندا ، بىر سىياسىي تاماشا شۇنى ئىسپاتلايدۇكى ، كەلگۈسىدە ئەڭ ئۆزگىرىشچان ، ئەمما چوڭقۇر ئېنىقسىز بولغان تېخنىكىنى ئاساسىي بىخەتەرلىك ۋە ئەخلاق بىلەن ئۆز-ئۆزىنى باشقۇرۇش بىلەن ئىزچىل كۈرەش قىلىۋاتقان ئوخشاش كەسىپ بىلەن بىخەتەر باشقۇرغىلى بولىدۇ.

Citrix ئاپەت: چوڭقۇر چىرىشنىڭ ئالامىتى

ئېنىق قىلىپ قويايلى: Citrix نۆل كۈن ، مەسىلەن CVE-2023-4966 (Citrix Bleed دەپ ئاتىلىدۇ) ۋە CVE-2023-3519 ، پەقەت «باشقا بىر ئاجىزلىق» ئەمەس. ئۇلار سانلىق مەلۇمات مەركىزىدىكى جىددىي كرىزىسقا ۋەكىللىك قىلىدۇ ، بىۋاسىتە ، داۋاملىشىۋاتقان ھۇجۇم ھەرىكىتى ، دەرھال قول تۇتۇشۇپ ئىنكاس قايتۇرۇشنى تەلەپ قىلىدۇ [1, 2, 3, 4]. ADC ياكى كىرىش ئېغىزىدا يىراقتىن كود ئىجرا قىلىش ئاشكارىلانغان ھالقىلىق زىيارەت نۇقتىسىنىڭ رەقەملىك باراۋەرلىكى. بۇ پەقەت ياماق ياساشلا ئەمەس. ئۇ كارخانا بىناكارلىقىمىزنىڭ سىستېمىلىق ئاجىزلىقىغا مۇناسىۋەتلىك.

كۆپ يىللاردىن بۇيان ، بىز مۇرەككەپ ، ئۆز-ئارا مۇناسىۋەتلىك سىستېمىلارنى قۇردۇق ، كۆپىنچە يادرولۇق ئۇل ئەسلىھە ئۈچۈن ئاز ساندىكى ھالقىلىق ساتقۇچىلارغا تايىنىمىز. Citrix باشقا نۇرغۇن كىشىلەرگە ئوخشاش مۇھىم مۇلازىمەت بىلەن تەمىنلەيدۇ ، ئەمما بۇ مەركەز بىلەن غايەت زور خەتەر كېلىدۇ. NetScaler غا ئوخشاش نېگىزلىك تەركىب نۆل كۈنلۈك سەۋىيىدە بۇزۇلغاندا ، تەۋرىنىش ئۈنۈمى بۇزغۇنچىلىققا ئۇچرايدۇ. ئۇ ھەر قانچە مۇستەھكەم بولۇشىدىن قەتئىينەزەر ، بىرلا مەغلۇبىيەت نۇقتىسىغا تايىنىشتىكى ئۆزىگە خاس كەمتۈكلۈكنى ئاشكارىلايدۇ. «ياماق دەرھال» كۆرسەتمىسى زۆرۈر تېپىلغاندا ، سىستېمىلىق مەسىلىنىڭ يۈزەكى چارىسىدەك ھېس قىلىدۇ. ئۇ يوشۇرۇن مەسىلىلەرنى ھەل قىلمايدۇ: يوچۇقلارنى پەيدا قىلىدىغان مۇرەككەپلىك ، بىر قىسىم ساتقۇچىلارنىڭ بىخەتەرلىك يېڭىلاش سۈرئىتى ئاستا بولۇش ، شۇنداقلا ئەڭ ھالقىلىق نۇقتىدا بۇزۇلغاندا مەغلۇپ بولىدىغان مۇداپىئە يېتەرلىك چوڭقۇر ئىستراتېگىيىسى.

بۇ پەقەت تېخنىكىلىق مەسىلە ئەمەس. بۇ سودىنىڭ ئىزچىل داۋاملىشىشى. سانلىق مەلۇماتقا خىلاپلىق قىلىش ، مەشغۇلات قالايمىقانچىلىقى ، نازارەت قىلىپ باشقۇرۇش جەرىمانىسى ، ئىناۋىتى زىيان - خىراجەت ئاسترونومىيەلىك. نېمە ئۈچۈن؟ تورنى ئۈنۈملۈك يۈرگۈزۈش ئۈچۈن؟ بىز قۇلايلىق ۋە ھېس قىلىنغان ئۈنۈم ئۈچۈن تىك بەدەل تۆلەۋاتىمىز ، CTO ۋە بىخەتەرلىك ئەترەتلىرى ئۈچۈن ئۇيقۇسىز كېچىدە ئۆلچەنگەن باھا ، شۇنداقلا ئاممىنىڭ ئىشەنچىسى بۇزۇلۇشى مۇمكىن. بۇلارنىڭ * ئىختىيارىي يامان غەرەزلىك يۇمشاق دېتال * ئارقىلىق * ئاكتىپلىق بىلەن * نۆل كۈن ئىشلىتىلىشى بىزگە بۇلارنىڭ قوليازما چاقچاق ئەمەسلىكىنى كۆرسىتىپ بېرىدۇ. بۇلار يۇقىرى قىممەتلىك مۈلۈكنى نىشان قىلغان ياخشى ، ئىزچىل تەھدىد ئارتىسلىرىدۇر [3]. ئەگەر بىز ھازىرقى رەقەملىك دۇنيانىڭ ئاساسى قاتلىمىغا كاپالەتلىك قىلالمىساق ، ئۇچقاندەك مۇرەككەپ كەلگۈسى ئۈچۈن قانداق ئۈمىدلىرىمىز بار؟

سۈنئىي ئەقىلنىڭ ياۋا غەرب: بىخەتەرلىكنى بەلگىلەش ئۈچۈن شەخسىي مەنپەئەتكە ئىشىنىش

كەلگۈسىنى تىلغا ئالساق ، سۈنئىي ئەقىلنىڭ «ئۆزىنى ساقچى قىلىش» كېلىشىمىگە ئەھمىيەت بېرەيلى. پرېزىدېنت ترامپنىڭ بۇ باياناتى گەرچە سىياسىي جەھەتتە مۇھىم بولسىمۇ ، ئەمما مەسئۇلىيەتنى سۈرۈشتۈرۈشنىڭ دەرسلىك مىسالى [5]. «ئىختىيارىي» ۋە «ئۆز-ئۆزىنى ساقچى قىلىش» بولسا يېقىنقى 20 يىلدا تېخنىكا كەسپىنىڭ تىجارىتىنى كۆرگەن ھەر قانداق كىشىنىڭ ئەندىشىسىنى قوزغايدىغان ئاتالغۇلار. بىز بۇ ئەندىزىنى ئىلگىرى كۆرۈپ باققان ، شۇنداقمۇ؟ ئىجتىمائىي ئالاقە شىركەتلىرى ئۆچمەنلىك قىلىش ، ئىزدەش ماتورى «ئۆزلۈكىدىن تەڭشەش» سانلىق مەلۇمات مەخپىيەتلىكى ۋە ئەپ دۇكانلىرىنى «مۇستەقىل» ساقلايدۇ. ئىز قوغلاش خاتىرىسى ، مۇلايىملىق بىلەن ئېيتقاندا ، ناچار.

كۈچلۈك سۈنئىي ئەقىل سىستېمىسىنى تەرەققىي قىلدۇرۇش ۋە ئورۇنلاشتۇرۇش ئۈچۈن بەيگىگە چۈشكەن شىركەتلەرنىڭ ئۆزىلا ئىقتىسادنى قايتا قۇرۇش ، سايلامغا تەسىر كۆرسىتىش ، ھەتتا جەمئىيەتنىڭ يېڭى شەكىللىرىنى بارلىققا كەلتۈرۈش يوشۇرۇن كۈچى بار سىستېمىلارنى ئۆزلىرىنىڭ ئەخلاق ۋە بىخەتەرلىك يېتەكچىسىنى تۇرغۇزۇش ۋە يولغا قويۇشقا ئىشىنىشكە بولىدۇ ، بۇ ئەڭ ياخشىسى ساددىلىق ، ئەڭ ناچار بولغاندا خەتەرلىك مەسئۇلىيەتسىزلىك. بۇلار پايدا ۋە بازارنىڭ يېتەكچىلىكىدىكى شىركەتلەر. ئۇلارنىڭ ئاساسلىق ئىشەنچلىك مەجبۇرىيىتى پايچىكلارغا ، ئاممىۋى مەنپەئەت ياكى ئەخلاق سۈنئىي ئەقىلنىڭ ئابستراكت ئۇقۇمىغا ئەمەس.

بۇ «كېلىشىم» مەمۇرىي ئورگانلارنىڭ سىياسىي غەلبىسى بولۇپ ، ئۇلار ئەمەلىي قانۇن ياكى نازارەت قىلىپ باشقۇرۇشنىڭ قالايمىقان سودىسى بولماي تۇرۇپ سۈنئىي ئەقىلگە قارىتا ھەرىكەت تەلەپ قىلالايدۇ. بۇمۇ چوڭ تېخنىكا ئۈچۈن زور غەلبە ، ئۇلارغا ۋاقىت ۋە ئەركىنلىك سېتىۋېلىپ ، ئۇلارنىڭ يېڭىلىق يارىتىشنى ئاستىلىتىشى ياكى ئۇلارنىڭ ئاخىرقى سېپىگە تەسىر كۆرسىتىشى مۇمكىن. ئەمما بىز ئۈچۈن - بۇ سىستېمىلارنى بەرپا قىلىدىغان تېخنىكا خادىملىرى ، ئۇلارغا تايىنىدىغان كارخانىلار ۋە جەمئىيەت ئۈچۈن ئېيتقاندا ، بۇ خەتەرلىك ئۈلگە. ئۇ ئاممىۋى بىخەتەرلىك ۋە جاۋابكارلىقنى سۈرۈشتۈرۈشتىن كارخانا ئاپتونومىيىسىنى ئالدىنقى ئورۇنغا قويغان سۈنئىي ئەقىلنى باشقۇرۇشتىكى ئەۋزەل ئۇسۇلنىڭ سىگنالى.

ئۈزۈش: تۇراقسىز ئاساسلارنى قۇرۇش

مانا بۇ ئوڭايسىز ھەقىقەت: بىز بىرلا ۋاقىتتا بۈگۈنىمىزنى كاپالەتكە ئىگە قىلالماي ، كەلگۈمىزنى خەتەرلىك باشقۇرۇۋاتىمىز. بىز رەقەملىك مۇقىمسىزلىق ئاساسىدا تېخىمۇ مۇرەككەپ سۈنئىي ئەقىل سىستېمىسى بەرپا قىلىۋاتىمىز ، بۇ يەردە ھالقىلىق ئۇل ئەسلىھەلەر مۇرەككەپ رەقىبلەر تەرىپىدىن دائىم بۇزۇلۇپ كېتىدۇ. مەھسۇلاتلىرىنىڭ يەرشارى خاراكتېرلىك ھۇجۇمغا ئايلىنىپ قېلىشىنىڭ ئالدىنى ئالالمايدىغان ئوخشاش ساھە رەھبەرلىرىدىن ھازىر ئومۇمىي سۈنئىي ئىدراكنىڭ ئەخلاق ۋە بىخەتەرلىك تەسىرىنى «ئۆز-ئۆزىنى ساقچى» قىلىش تەلەپ قىلىنماقتا.

بۇ پەقەت ئۈزۈلۈپ قېلىشلا ئەمەس. بۇ چوڭقۇر پەرق. CTO ۋە قۇرۇلۇش يېتەكچىلىكىدە ، بىز ئوتتۇرىدا تۇتۇلدۇق. بىزگە Citrix نۆل كۈنگە ئوخشاش بىۋاسىتە ، مەۋجۇت تەھدىدلەرنى ياماش ۋەزىپىسى يۈكلەنگەن ، شۇنىڭ بىلەن بىر ۋاقىتتا ، بىز ماڭغان ۋاقىتتا قائىدە تۈزۈلگەن سۈنئىي ئەقىل ئارقىلىق ھەرىكەتلىنىدىغان كەلگۈسىگە تەييارلىق قىلىش تەلەپ قىلىنغان ، كۆپىنچە توپچىلارنىڭ ئۆزى.

ئىختىيارىي سۈنئىي ئەقىل كېلىشىمى ھەل قىلىش چارىسى ئەمەس. بۇ كېچىكتۈرۈش تاكتىكىسى. ئۇ جاۋابكارلىقنى كەينىگە سۈرۈپ ، مۇقەررەر ئەخلاققا خىلاپلىق قىلىش ، بىر تەرەپلىمە قاراش ، ھەتتا سۈنئىي ئەقىلنىڭ ئاپەت خاراكتېرلىك مەغلۇبىيىتى يۈز بەرگەندە ، ئامما نېمىشقا باشتىن-ئاخىر مۇستەھكەم ، مۇستەقىل نازارەت قىلىنمىغانلىقىنى ئويلاپ قالىدۇ. بۇ مەغلۇبىيەتلەر يۈز بەرگەندە ، ئۇلار نەزەرىيەۋى بولمايدۇ. ئۇلار NetScaler دىكى RCE غا ئوخشاش ھەقىقىي ۋە زىيانلىق بولىدۇ ، پەقەت جەمئىيەتنىڭ تەسىرى تېخىمۇ كەڭ.

بىز تېخىمۇ كۆپ تەلەپ قىلىشىمىز كېرەك. بىز ساتقۇچىلاردىن كۈچلۈك ، تەشەببۇسكارلىق بىلەن بىخەتەرلىككە موھتاج ، ئەمەلىيەتتىن كېيىن رېئاكتىپ ياماقلا ئەمەس. بىز سۈنئىي ئەقىل ئۈچۈن ھەقىقىي ، مۇستەقىل تەڭشەشكە موھتاج ، سىياسەتچىلەر بىلەن شىركەتلەر ئارا قول ئېلىشىپ كۆرۈشۈشلا ئەمەس. چۈنكى بىز ئۆزىمىزنىڭ يادرولۇق ئۇل ئەسلىھەلىرىمىزنىمۇ كاپالەتلەندۈرەلمىسەك ، بىناكارلارنىڭ كېيىنكى ئەۋلاد مەدەنىيەتنى مەسئۇلىيەتچانلىق بىلەن بەرپا قىلىشىغا قانداقمۇ ئىشىنىمىز؟ بۇنىڭ جاۋابى ھازىرچە بىز قىلالمايمىز.

مەنبە

[1] مۇستەقىل دۆلەتلەر بىرلەشمىسى Citrix NetScaler ADC ۋە دەرۋازا ئاجىزلىقى (CVE-2023-4966) نى داڭلىق پارتىلىغان ئاجىزلار كاتالوگىغا قوشتى - https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability- نامەلۇم [2] CVE-2023-4966 ۋە CVE-2023-4967 نىڭ Citrix بىخەتەرلىك ئاخباراتى - https://support.citrix.com/article/CTX579459/ [3] ماندىئان: UNC4841 Citrix NetScaler ADC ۋە دەرۋازا نۆل كۈنى (CVE-2023-4966) - https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] مۇستەقىل دۆلەتلەر بىرلەشمىسى Citrix NetScaler ADC ۋە دەرۋازا ئاجىزلىقى (CVE-2023-3519) نى داڭلىق پارتىلىغان ئاجىزلار كاتالوگىغا قوشتى - https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability- نامەلۇم [5] نەق مەيدان يېڭىلاش: تىرامپ سۈنئىي ئەقىل رەھبەرلىرى بىلەن تېخنىكا ئۈچۈن ئۆز ئىختىيارلىقى بىلەن كېلىشىم ئىمزالىدى ... -