永続的な緊急事態: 「重大」がホワイトノイズになるとき

永続的な緊急事態: 「重大」がホワイトノイズになるとき

組織が昨秋、まだパッチを適用していない Citrix NetScaler ADC またはゲートウェイを実行していた場合、単にリスクを負っているだけではありません。あなたは積極的に災害を招いていたのです。 「Citrix Bleed」として広く知られる、クリティカルなゼロデイに対する CISA の緊急アラート CVE-2023-4966 は、リスク管理における理論的な演習ではありませんでした [1、2]。これは厳しい警告であり、パッチ適用を遅らせた人々のネットワークに攻撃者が「すでに侵入」していることを直接裏付けるものでした。 CISA 緊急指令 23-02 によって義務付けられている、連邦機関がパッチを適用する期限である 2023 年 10 月 27 日が近づいてきました [3]。多大なリソースと専任のセキュリティチームを擁する連邦政府機関がそのような目標を達成するという課題に直面した場合、他のすべての機関に対する計り知れないプレッシャーが浮き彫りになります。

これは単なる 1 つの厄介なバグの問題ではありません。これは、デジタル時代における「重要インフラ」の重要性をシステム全体が把握できていないことに関するものです。 NetScaler アプライアンスは、建物の正面玄関、セキュリティ チェックポイント、HVAC システムをすべて 1 つにまとめたデジタル版です。これらは境界に位置し、認証、負荷分散、トラフィック管理を処理します。このようなデバイスでの RCE (リモート コード実行) は単なる侵害ではありません。それはシステム全体の乗っ取りであり、マスターキーが敵に直接渡されます。私たちが話しているのは、攻撃者が簡単に内部ネットワークに侵入したり、機密データを窃取したり、外科的精度でランサムウェアを展開したりできる種類のアクセスについてです。 CVE-2023-4966 が「積極的に悪用された」という事実は、現在 CISA の KEV カタログに登録されており、プロアクティブな防御の窓口が急速に閉ざされたことを意味します [1]。組織はもはや攻撃を防ぐことができませんでした。彼らは進行中の事件を軽減していた。

新しい境界としてのブラウザ: Chrome の終わりのない脆弱性サイクル

そして、ネットワーク境界だけが攻撃されていると思っていたとき、Google は定期的に別の爆弾を発表します。それは、Chrome で積極的に悪用されたゼロデイです。たとえば、V8 タイプの重大な混乱欠陥である CVE-2024-4947 は、今年 パッチが適用された、積極的に悪用されている脆弱性の 1 つにすぎません [4]。これはまぐれではありません。それは一貫したパターンです。新しいパッチはそれぞれ、「すぐに更新してください」という緊急の嘆願を伴うことが多く、異なる、しかし同様に陰湿な侵害のベクトルを浮き彫りにします。 NetScaler が門を守る一方、Chrome はすべての従業員のポケット、すべてのワークステーション、すべてのクラウドベースの仮想デスクトップに遍在するエントリ ポイントです。

私たちは何年もの間、エンドポイントのセキュリティを重視してきましたが、Chrome のゼロデイのスピードがあまりにも速いため、追いつくのに常に苦労しているように感じます。これらの脆弱性はそれぞれ、ドライブバイ攻撃、悪意のある Web サイト、またはユーザーのマシン上で任意のコードを実行できる侵害された広告ネットワークの可能性を示しています。そこから、資格情報の盗難、横方向の移動、またはより高度なマルウェアの展開に至るまでは、ほんのわずかです。 「世界で最も人気のある Web ブラウザ」は、ひいては世界で最も人気のある攻撃対象領域でもあります。

コントロールという幻想: なぜ私たちは後れをとり続けるのか

では、ここでの共通点は何でしょうか?これらは単に「重大な」脆弱性であるというだけではありません。それは、彼らの発見と悪用の、予測可能な、ほとんど儀式的な性質です。私たちは永続的な緊急事態に陥っており、「緊急パッチ適用」が例外ではなくデフォルトの運用モードになっています。

なぜ？

1. 複雑さの負債: NetScaler と Chrome はどちらも信じられないほど複雑なソフトウェアです。 NetScaler は、無数の機能と統合を備えており、広大な攻撃対象領域を提供します。 Chrome は、JavaScript エンジン (V8)、レンダリング エンジン、および継続的な機能追加を備えており、セキュリティ研究者と攻撃者の同様の移動の標的となっています。複雑さはバグを生み、バグは必然的に脆弱性につながります。
2. 攻撃者の利点: 国民国家と洗練された犯罪グループは、一般公開を待っていません。彼らはこれらの欠陥を積極的に探しており、多くの場合、重要なリソースを使用しています。ゼロデイは一度発見されるとゴールデンチケットとなり、パッチが強制適用されるまでひっそりと悪用されます。これらが 積極的に悪用されているという事実は、攻撃者がすでに時代の先を行っていることを意味します。
3. パッチ適用の麻痺: NetScaler などの重要なインフラストラクチャの場合、パッチ適用は多くの場合、ダウンタイム、慎重な計画、および複数のチーム間の調整を意味します。大企業では、これは官僚的な悪夢となる可能性があります。 Chrome の場合、これはよりシンプルですが、ユーザーのコンプライアンスまたは堅牢な一元管理に依存します。 「設定したらあとは忘れる」という考え方、あるいはさらに悪いことに、「次の四半期に取り掛かる」というアプローチは、妥協を生みます。 NetScaler に対する CISA の期限が過ぎたことは、この惰性をはっきりと思い出させます。
4. 後付けのセキュリティ: さまざまなレトリックにもかかわらず、セキュリティは依然としてコスト センター、イノベーションの障害、または侵害の「後」に解決すべき問題とみなされていることが多すぎます。プロアクティブな脅威ハンティング、堅牢な脆弱性管理、継続的なセキュリティ教育への投資は、インシデント後の事後対応のスクランブルに比べれば、見劣りすることがよくあります。

パッチを超えて: 戦略的見直しの呼びかけ

単に組織に「すぐにパッチを当てろ」と言うだけでは、深い水の中で苦労している人に「もっと泳げ」と言うようなものです。それは必要ですが、根本的な問題には対処しません。セキュリティへの取り組み方を根本的に変える必要があります。

• 妥協を前提とする: 古い境界防御モデルは終わりました。 NetScaler が「侵害された」と仮定します。ユーザーの Chrome ブラウザが悪用されると仮定します。堅牢なネットワーク セグメンテーション、最小限の権限によるアクセス、異常なアクティビティの継続的な監視を実装します。脅威ハンティングは贅沢ではありません。それは必需品です。 NetScaler からの異常な送信接続、新しいユーザー アカウント、予期しないプロセスの実行など、微妙な兆候を探してください。
• 可能な限りすべてを自動化する: Chrome などのエンドポイントのパッチ管理は完全に自動化され、強制される必要があります。 NetScaler のような重要なインフラストラクチャの場合、プロセスはより複雑ですが、合理化、テスト、リハーサルが必要です。セキュリティ更新のためのダウンタイムは計画し、ビジネスのコストとして受け入れる必要があり、絶対に回避する必要はありません。
• 予防だけでなく回復力に投資する: インシデント対応計画は徹底的にテストする必要があります。侵害をすぐに検出できますか?封じ込めることができるでしょうか？身代金を支払わずに回復できますか?これらは、予防が必然的に失敗する場合に重要な問題です。
• ベンダーからのより良い要求: Google がパッチを適用している間、Chrome の膨大な量のゼロデイは、より詳細なアーキテクチャのレビューと、おそらくより積極的な内部バグ報奨金プログラムの必要性を示唆しています。 Citrix のような重要なインフラストラクチャ ベンダーにとって、期待はさらに高まるはずです。彼らの製品は文字通り企業運営の根幹です。

現実には、これらは単独の事件ではありません。これらは、継続的かつ高度な攻撃にさらされているデジタル エコシステムの症状です。 「重大」アラートは今後も届きます。問題は、あなたの組織が「いつ」標的にされるかではなく、「いつ」、そして事後対応のスクランブルを超えて真に回復力のある防御を構築したかどうかです。 NetScaler の CISA 期限が過ぎてもセキュリティ戦略が活性化されなかった場合は、真剣に再評価する時期が来ています。

ソース

[1] CISA の悪用された既知の脆弱性カタログ — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Citrix NetScaler ADC および Citrix NetScaler Gateway の脆弱性 (CVE-2023-4966) を悪用する脅威アクター — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] 緊急指令 23-02: Citrix NetScaler ADC およびゲートウェイの脆弱性を軽減する — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] デスクトップ用安定チャネル更新 (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] CVE-2023-4966 および CVE-2023-4967 に関する Citrix NetScaler ADC および Citrix NetScaler Gateway のセキュリティ情報 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967