நிரந்தரமான அவசர நிலை: "முக்கியமானது" வெள்ளை இரைச்சலாக மாறும்போது

நிரந்தர அவசர நிலை: "முக்கியமானது" வெள்ளை இரைச்சலாக மாறும்போது

கடந்த இலையுதிர்காலத்தில் உங்கள் நிறுவனம் இன்னும் இணைக்கப்படாத Citrix NetScaler ADCs அல்லது Gateways ஐ இயக்கிக்கொண்டிருந்தால், நீங்கள் ஆபத்தை எடுக்கவில்லை; நீங்கள் பேரழிவை தீவிரமாக அழைத்தீர்கள். "Citrix Bleed" என்று பரவலாக அறியப்படும் CVE-2023-4966 என்ற முக்கியமான பூஜ்ஜிய நாளுக்கான CISA இன் அவசர எச்சரிக்கையானது இடர் மேலாண்மையில் ஒரு கோட்பாட்டுப் பயிற்சி அல்ல [1, 2]. இது ஒரு அப்பட்டமான எச்சரிக்கை, தாக்குதலைத் தாமதப்படுத்தியவர்களின் நெட்வொர்க்குகளுக்குள் ஏற்கனவே தாக்குபவர்கள் இருந்தார்கள் என்பதற்கான நேரடி உறுதிப்படுத்தல். அக்டோபர் 27, 2023, CISA அவசரகால உத்தரவு 23-02 ஆல் ஃபெடரல் ஏஜென்சிகள் பேட்ச் செய்வதற்கான காலக்கெடு வந்து விட்டது [3]. கூட்டாட்சி நிறுவனங்கள், அவற்றின் கணிசமான வளங்கள் மற்றும் அர்ப்பணிப்புள்ள பாதுகாப்புக் குழுக்களுடன், அத்தகைய இலக்குகளைச் சந்திப்பதில் சவால்களை எதிர்கொண்டால், அது மற்ற அனைவருக்கும் பெரும் அழுத்தத்தை எடுத்துக்காட்டுகிறது.

இது ஒரு மோசமான, மோசமான பிழையைப் பற்றியது அல்ல. இது டிஜிட்டல் யுகத்தில் "முக்கியமான உள்கட்டமைப்பின்" ஈர்ப்பைப் புரிந்துகொள்வதில் முறையான தோல்வியைப் பற்றியது. NetScaler உபகரணங்கள் என்பது உங்கள் கட்டிடத்தின் பிரதான நுழைவாயில், பாதுகாப்பு சோதனைச் சாவடி மற்றும் HVAC அமைப்பு ஆகியவற்றின் டிஜிட்டல் சமமானவை. அவர்கள் சுற்றளவில் அமர்ந்து, அங்கீகாரம், சுமை சமநிலை மற்றும் போக்குவரத்து மேலாண்மை ஆகியவற்றைக் கையாளுகின்றனர். அத்தகைய சாதனத்தில் RCE (ரிமோட் கோட் எக்ஸிகியூஷன்) ஒரு மீறல் அல்ல; இது ஒரு முழு அமைப்பு கையகப்படுத்தல், ஒரு முதன்மை சாவி நேரடியாக எதிரியிடம் ஒப்படைக்கப்பட்டது. தாக்குபவர்களை உள் நெட்வொர்க்குகளில் சிரமமின்றி சுழற்றவும், முக்கியமான தரவை வெளியேற்றவும் அல்லது அறுவை சிகிச்சை துல்லியத்துடன் ransomware ஐப் பயன்படுத்தவும் அனுமதிக்கும் அணுகலைப் பற்றி நாங்கள் பேசுகிறோம். CVE-2023-4966 ஆனது சுறுசுறுப்பாகப் பயன்படுத்தப்பட்டது, இப்போது CISA இன் KEV அட்டவணையில் பொறிக்கப்பட்டுள்ளது, இதன் பொருள் செயலில் பாதுகாப்புக்கான சாளரம் விரைவாக மூடப்பட்டது [1]. நிறுவனங்கள் தாக்குதலைத் தடுக்கவில்லை; அவர்கள் நடந்துகொண்டிருக்கும் ஒரு சம்பவத்தைத் தணித்துக் கொண்டிருந்தார்கள்.

புதிய சுற்றளவாக உலாவி: Chrome இன் முடிவில்லா பாதிப்பு சுழற்சி

உங்கள் நெட்வொர்க் சுற்றளவு மட்டுமே முற்றுகைக்கு உட்பட்டது என்று நீங்கள் நினைத்தபோது, ​​Google தொடர்ந்து மற்றொரு வெடிகுண்டுகளை அறிவிக்கிறது: Chrome இல் பூஜ்ஜிய நாட்களை தீவிரமாகப் பயன்படுத்துகிறது. உதாரணமாக, CVE-2024-4947, ஒரு முக்கியமான V8 வகை குழப்பக் குறைபாடானது, இந்த ஆண்டு [4] இணைக்கப்பட்ட பல தீவிரமாகப் பயன்படுத்தப்பட்ட பாதிப்புகளில் ஒன்றாகும். இது ஒரு ஃப்ளூக் அல்ல; இது ஒரு நிலையான முறை. ஒவ்வொரு புதிய இணைப்பும், அடிக்கடி "உடனடியாக புதுப்பிக்க வேண்டும்" என்ற அவசர வேண்டுகோளுடன், வேறுபட்ட, அதே சமயம் நயவஞ்சகமான, சமரசத்தின் திசையன்களை எடுத்துக்காட்டுகிறது. NetScaler வாயில்களை பாதுகாக்கும் போது, ​​Chrome என்பது ஒவ்வொரு பணியாளரின் பாக்கெட்டிலும், ஒவ்வொரு பணிநிலையத்திலும் மற்றும் ஒவ்வொரு கிளவுட் அடிப்படையிலான மெய்நிகர் டெஸ்க்டாப்பிலும் எங்கும் நிறைந்த நுழைவுப் புள்ளியாகும்.

பல ஆண்டுகளாக, இறுதிப்புள்ளி பாதுகாப்பை நாங்கள் வலியுறுத்தி வருகிறோம், ஆனால் Chrome பூஜ்ஜிய நாட்களின் சுத்த வேகம், நாங்கள் தொடர்ந்து போராடுவதைப் போன்ற உணர்வை ஏற்படுத்துகிறது. இந்த பாதிப்புகள் ஒவ்வொன்றும் சாத்தியமான டிரைவ்-பை அட்டாக், தீங்கிழைக்கும் இணையதளம் அல்லது பயனரின் கணினியில் தன்னிச்சையான குறியீட்டை இயக்கும் திறன் கொண்ட சமரசம் செய்யப்பட்ட விளம்பர நெட்வொர்க் ஆகியவற்றைக் குறிக்கிறது. அங்கிருந்து, நற்சான்றிதழ் திருட்டு, பக்கவாட்டு இயக்கம் அல்லது அதிநவீன தீம்பொருளைப் பயன்படுத்துவதற்கான ஒரு குறுகிய ஹாப். "உலகின் மிகவும் பிரபலமான இணைய உலாவி", நீட்டிப்பாக, உலகின் மிகவும் பிரபலமான தாக்குதல் மேற்பரப்பு ஆகும்.

கட்டுப்பாட்டின் மாயை: நாம் ஏன் பின்வாங்குகிறோம்

எனவே, இங்கே பொதுவான நூல் என்ன? இவை "முக்கியமான" பாதிப்புகள் என்பது மட்டுமல்ல. இது அவர்களின் கண்டுபிடிப்பு மற்றும் சுரண்டலின் யூகிக்கக்கூடிய, கிட்டத்தட்ட சடங்கு இயல்பு. ஒரு நிரந்தரமான அவசரநிலையில் நாங்கள் சிக்கியுள்ளோம், அங்கு "அவசர பேட்ச்சிங்" என்பது விதிவிலக்காக இல்லாமல் இயல்புநிலை செயல்பாட்டு பயன்முறையாக மாறியுள்ளது.

ஏன்?

1. சிக்கலான கடன்: NetScaler மற்றும் Chrome இரண்டும் நம்பமுடியாத சிக்கலான மென்பொருள். NetScaler, அதன் எண்ணற்ற அம்சங்கள் மற்றும் ஒருங்கிணைப்புகளுடன், ஒரு பரந்த தாக்குதல் மேற்பரப்பை வழங்குகிறது. குரோம், அதன் ஜாவாஸ்கிரிப்ட் எஞ்சின் (வி8), ரெண்டரிங் எஞ்சின் மற்றும் நிலையான அம்சச் சேர்த்தல்களுடன், பாதுகாப்பு ஆராய்ச்சியாளர்கள் மற்றும் தாக்குபவர்களுக்கு ஒரே மாதிரியாக நகரும் இலக்காக உள்ளது. சிக்கலானது பிழைகளை வளர்க்கிறது, மற்றும் பிழைகள் தவிர்க்க முடியாமல், பாதிப்புகளுக்கு வழிவகுக்கும்.
2. தாக்குபவர்களின் நன்மை: தேசிய அரசுகள் மற்றும் அதிநவீன குற்றவியல் குழுக்கள் பொது வெளிப்பாடுகளுக்காக காத்திருக்கவில்லை. அவர்கள் இந்த குறைபாடுகளை தீவிரமாக வேட்டையாடுகிறார்கள், பெரும்பாலும் குறிப்பிடத்தக்க ஆதாரங்களுடன். கண்டுபிடிக்கப்பட்டதும், பூஜ்ஜிய நாள் என்பது தங்கச் சீட்டு, ஒரு இணைப்பு அவர்களின் கையை வலுப்படுத்தும் வரை அமைதியாக சுரண்டப்படும். இவை சுறுசுறுப்பாக சுரண்டப்படுகின்றன என்பதன் அர்த்தம், எதிரிகள் ஏற்கனவே வளைவை விட முன்னால் இருக்கிறார்கள்.
3. ஒட்டுதல் முடக்கம்: நெட்ஸ்கேலர் போன்ற முக்கியமான உள்கட்டமைப்பிற்கு, பேட்ச்சிங் என்பது பெரும்பாலும் வேலையில்லா நேரம், கவனமாக திட்டமிடல் மற்றும் பல குழுக்களில் ஒருங்கிணைப்பு. பெரிய நிறுவனங்களில், இது ஒரு அதிகாரத்துவக் கனவாக இருக்கலாம். Chrome ஐப் பொறுத்தவரை, இது எளிமையானது, ஆனால் இன்னும் பயனர் இணக்கம் அல்லது வலுவான மையப்படுத்தப்பட்ட நிர்வாகத்தை நம்பியுள்ளது. "அதை அமைத்து மறந்து விடுங்கள்" அல்லது அதைவிட மோசமாக, "அடுத்த காலாண்டில் நாங்கள் அதைப் பெறுவோம்" என்ற அணுகுமுறை சமரசத்திற்கான ஒரு செய்முறையாகும். NetScaler க்கான CISA காலக்கெடு, இப்போது நிறைவேற்றப்பட்டது, இந்த செயலற்ற தன்மையின் அப்பட்டமான நினைவூட்டலாகும்.
4. பாதுகாப்பு ஒரு பின் சிந்தனையாக: எல்லா சொல்லாடல்களும் இருந்தபோதிலும், பாதுகாப்பு என்பது ஒரு செலவு மையமாக, புதுமைக்கு ஒரு தடையாக அல்லது மீறலுக்குப் பிறகு தீர்க்கப்பட வேண்டிய ஒரு சிக்கலாகவே பார்க்கப்படுகிறது. செயலில் அச்சுறுத்தல் வேட்டையாடுதல், வலுவான பாதிப்பு மேலாண்மை மற்றும் தொடர்ச்சியான பாதுகாப்புக் கல்வி ஆகியவற்றில் முதலீடு செய்வது, சம்பவத்திற்குப் பிந்தைய எதிர்வினையுடன் ஒப்பிடுகையில் பெரும்பாலும் மங்குகிறது.

இணைப்புக்கு அப்பால்: மூலோபாய மாற்றத்திற்கான அழைப்பு

ஒரு நிறுவனத்தை "உடனடியாக ஒட்டவும்" என்று சொல்வது, ஆழமான நீரில் போராடும் ஒருவரை "கடினமாக நீந்த" சொல்வது போன்றது. இது அவசியம், ஆனால் அது அடிப்படை சிக்கலை தீர்க்காது. பாதுகாப்பை நாம் எவ்வாறு அணுகுகிறோம் என்பதில் எங்களுக்கு ஒரு அடிப்படை மாற்றம் தேவை.

• சமரசம் என்று வைத்துக் கொள்ளுங்கள்: பழைய சுற்றளவு பாதுகாப்பு மாதிரி இறந்து விட்டது. உங்கள் NetScaler * மீறப்பட்டதாகக் கருதுங்கள். உங்கள் பயனர்களின் Chrome உலாவிகள் சுரண்டப்படும். வலுவான நெட்வொர்க் பிரிவு, குறைந்தபட்ச சலுகை அணுகல் மற்றும் ஒழுங்கற்ற செயல்பாட்டிற்கான தொடர்ச்சியான கண்காணிப்பு ஆகியவற்றை செயல்படுத்தவும். அச்சுறுத்தல் வேட்டை ஆடம்பரம் அல்ல; அது ஒரு தேவை. நுட்பமான அறிகுறிகளைத் தேடுங்கள்: உங்கள் NetScaler இலிருந்து அசாதாரண வெளிச்செல்லும் இணைப்புகள், புதிய பயனர் கணக்குகள், எதிர்பாராத செயல்முறை செயல்படுத்தல்.
• சாத்தியமான அனைத்தையும் தானியங்குபடுத்து: Chrome போன்ற இறுதிப்புள்ளிகளுக்கான பேட்ச் மேலாண்மை முழுமையாக தானியங்கு மற்றும் செயல்படுத்தப்பட வேண்டும். நெட்ஸ்கேலர் போன்ற முக்கியமான உள்கட்டமைப்பிற்கு, மிகவும் சிக்கலானதாக இருக்கும்போது, ​​செயல்முறையை நெறிப்படுத்தவும், சோதிக்கவும், ஒத்திகை பார்க்கவும் வேண்டும். பாதுகாப்பு புதுப்பிப்புகளுக்கான வேலையில்லா நேரம் திட்டமிடப்பட்டு வணிகம் செய்வதற்கான செலவாக ஏற்றுக்கொள்ளப்பட வேண்டும், எல்லா செலவிலும் தவிர்க்கப்படக்கூடாது.
• தடுப்பு மட்டுமல்ல, மீள்தன்மையில் முதலீடு செய்யுங்கள்: சம்பவ மறுமொழித் திட்டங்கள் போர்-சோதனை செய்யப்பட வேண்டும். மீறலை விரைவாகக் கண்டறிய முடியுமா? உங்களால் அதை அடக்க முடியுமா? மீட்கும் தொகையை செலுத்தாமல் மீட்க முடியுமா? தடுப்பு தவிர்க்க முடியாமல் தோல்வியடையும் போது இவை முக்கியமான கேள்விகள்.
• விற்பனையாளர்களிடமிருந்து சிறந்த கோரிக்கை: கூகிள் பேட்ச் செய்யும் போது, ​​Chrome இல் உள்ள பூஜ்ஜிய நாட்களின் சுத்த அளவு ஆழமான கட்டடக்கலை மதிப்பாய்வுகளின் அவசியத்தையும் ஒருவேளை மிகவும் தீவிரமான உள் பிழைத் திட்டத்திற்கான தேவையையும் பரிந்துரைக்கிறது. சிட்ரிக்ஸ் போன்ற முக்கியமான உள்கட்டமைப்பு விற்பனையாளர்களுக்கு, எதிர்பார்ப்பு இன்னும் அதிகமாக இருக்க வேண்டும். அவர்களின் தயாரிப்புகள் உண்மையில் நிறுவன நடவடிக்கைகளின் முதுகெலும்பு ஆகும்.

உண்மை என்னவென்றால், இவை தனிமைப்படுத்தப்பட்ட சம்பவங்கள் அல்ல. அவை நிலையான, அதிநவீன தாக்குதலுக்கு உட்பட்ட டிஜிட்டல் சுற்றுச்சூழல் அமைப்பின் அறிகுறிகளாகும். "முக்கியமான" எச்சரிக்கைகள் தொடர்ந்து வரும். உங்கள் நிறுவனம் குறிவைக்கப்படுமா என்பது கேள்வி அல்ல, ஆனால் எப்போது, மற்றும் நீங்கள் உண்மையிலேயே நெகிழ்ச்சியான பாதுகாப்பை உருவாக்க வினைத்திறன் சண்டையைத் தாண்டி நகர்ந்தீர்களா என்பதுதான். NetScaler க்கான CISA காலக்கெடு உங்கள் பாதுகாப்பு உத்தியை மேம்படுத்தவில்லை என்றால், தீவிர மறுமதிப்பீட்டிற்கான நேரம் இது.

ஆதாரங்கள்

[1] CISA அறியப்பட்ட சுரண்டப்பட்ட பாதிப்புகள் பட்டியல் — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] சிட்ரிக்ஸ் நெட்ஸ்கேலர் ஏடிசி மற்றும் சிட்ரிக்ஸ் நெட்ஸ்கேலர் கேட்வே பாதிப்பு (CVE-2023-4966) ஆகியவற்றைப் பயன்படுத்தும் அச்சுறுத்தல் நடிகர்கள் — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] அவசரகால உத்தரவு 23-02: Citrix NetScaler ADC மற்றும் Gateway Vulnerability - https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] டெஸ்க்டாப்பிற்கான நிலையான சேனல் புதுப்பிப்பு (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] CVE-2023-4966 மற்றும் CVE-2023-4967 க்கான Citrix NetScaler ADC மற்றும் Citrix NetScaler Gateway Security Bulletin — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967