Մշտական ​​արտակարգ դրություն. երբ «կրիտիկականը» դառնում է սպիտակ աղմուկ

Արտակարգ դրություն. Երբ «կրիտիկականը» դառնում է սպիտակ աղմուկ

Եթե անցյալ աշնանը ձեր կազմակերպությունը դեռևս գործարկում էր չկարկատանային Citrix NetScaler ADC-ներ կամ Gateways, դուք պարզապես ռիսկի չէիք դիմում. դուք ակտիվորեն աղետ էիք հրավիրում: CISA-ի հրատապ ահազանգը կրիտիկական զրոյական օրվա համար՝ CVE-2023-4966, որը լայնորեն հայտնի է որպես «Citrix Bleed», ռիսկերի կառավարման տեսական վարժություն չէր [1, 2]: Դա խիստ նախազգուշացում էր, ուղղակի հաստատում, որ հարձակվողները արդեն ներսում էին նրանց ցանցերում, ովքեր հետաձգում էին կարկատումը: 2023 թվականի հոկտեմբերի 27-ը, դաշնային գործակալությունների կողմից կարկատելու վերջնաժամկետը, որը սահմանված է CISA Արտակարգ իրավիճակների 23-02 հրահանգով, եկել և անցել է [3]: Եթե ​​դաշնային կազմակերպությունները, իրենց զգալի ռեսուրսներով և նվիրված անվտանգության թիմերով, բախվեցին նման թիրախներին հանդիպելու մարտահրավերներին, դա ընդգծում է բոլորի վրա հսկայական ճնշումը:

Սա միայն մեկ, տհաճ սխալի մասին չէ: Խոսքը թվային դարաշրջանում «կրիտիկական ենթակառուցվածքի» ծանրության ընկալման համակարգային ձախողման մասին է: NetScaler սարքերը թվային համարժեքն են ձեր շենքի գլխավոր մուտքի, անվտանգության հսկիչ կետի և օդորակման և օդորակման համակարգի՝ բոլորը միացված: Նրանք նստած են շրջագծում՝ կարգավորելով նույնականացումը, բեռի հավասարակշռումը և երթևեկության կառավարումը: Նման սարքի վրա RCE (Remote Code Execution) պարզապես խախտում չէ. դա համակարգի ամբողջական գրավումն է, հիմնական բանալին ուղղակիորեն հակառակորդին հանձնված: Մենք խոսում ենք այն մուտքի մասին, որը հարձակվողներին թույլ է տալիս առանց ջանքերի կենտրոնանալ ներքին ցանցերի մեջ, գաղտնազերծել զգայուն տվյալներ կամ վիրահատական ​​ճշգրտությամբ տեղակայել փրկագին: Այն փաստը, որ CVE-2023-4966-ը ակտիվորեն շահագործվել է, որն այժմ ամրագրված է CISA-ի KEV կատալոգում, նշանակում է, որ ակտիվ պաշտպանության պատուհանն արագորեն փակվեց [1]: Կազմակերպություններն այլևս չէին կանխում հարձակումը. նրանք մեղմացնում էին շարունակվող միջադեպը։

Զննարկիչը որպես նոր պարագիծ. Chrome-ի անվերջ խոցելիության ցիկլը

Եվ հենց այն ժամանակ, երբ կարծում էիք, որ ձեր ցանցի պարագծը միակ բանն է, որը շրջափակված է, Google-ը պարբերաբար հայտարարում է ևս մեկ ռումբի մասին՝ ակտիվորեն շահագործվող զրոյական օրերը Chrome-ում: Օրինակ, CVE-2024-4947, V8 տիպի շփոթության կարևոր թերություն, ընդամենը մեկն էր ակտիվորեն շահագործվող մի քանի խոցելիություններից, որոնք կարկատվեցին այս տարի [4]: Սա պատահականություն չէ. դա հետևողական օրինաչափություն է: Յուրաքանչյուր նոր կարկատել, որը հաճախ ուղեկցվում է «անմիջապես թարմացնելու» հրատապ խնդրանքով, ընդգծում է փոխզիջման տարբեր, բայց նույնքան նենգ վեկտորը: Մինչ NetScaler-ը պաշտպանում է դարպասները, Chrome-ը ամենուրեք մուտքի կետն է յուրաքանչյուր աշխատակցի գրպանում, յուրաքանչյուր աշխատակայանում և ամպի վրա հիմնված յուրաքանչյուր վիրտուալ աշխատասեղանում:

Տարիներ շարունակ մենք շեշտը դնում ենք վերջնակետի անվտանգության վրա, սակայն Chrome-ի զրոյական օրերի զգալի արագությունն այնպիսի զգացողություն է առաջացնում, որ մենք անընդհատ պայքարում ենք հետևելու համար: Այս խոցելիություններից յուրաքանչյուրը ներկայացնում է պոտենցիալ վարորդական հարձակում, վնասակար կայք կամ վտանգված գովազդային ցանց, որը կարող է կամայական կոդ գործարկել օգտատիրոջ մեքենայի վրա: Այնտեղից դա կարճ թռիչք է դեպի հավատարմագրերի գողություն, կողային շարժում կամ ավելի բարդ չարամիտ ծրագրերի տեղակայում: «Աշխարհի ամենահայտնի վեբ զննարկիչը» նաև աշխարհի ամենահայտնի հարձակման մակերեսն է:

Վերահսկողության պատրանք. Ինչու ենք մենք շարունակում ետ մնալ

Այսպիսով, ո՞րն է այստեղ ընդհանուր թեման: Դա միայն այն չէ, որ դրանք «կրիտիկական» խոցելիություններ են: Դա նրանց հայտնաբերման և շահագործման կանխատեսելի, գրեթե ծիսական բնույթն է: Մենք հայտնվել ենք մշտական ​​արտակարգ դրության մեջ, որտեղ «հրատապ կարկատումը» դարձել է կանխադրված գործառնական ռեժիմ, այլ ոչ թե բացառություն:

Ինչո՞ւ։

1. Բարդության պարտք. Ե՛վ NetScaler-ը, և՛ Chrome-ը աներևակայելի բարդ ծրագրաշար են: NetScaler-ն իր անհամար հատկանիշներով և ինտեգրումներով ներկայացնում է հարձակման հսկայական մակերես: Chrome-ն իր JavaScript շարժիչով (V8), մատուցման շարժիչով և գործառույթների մշտական ​​հավելումներով շարժվող թիրախ է անվտանգության հետազոտողների և հարձակվողների համար: Բարդությունը վրիպակներ է ծնում, իսկ վրիպակները, անխուսափելիորեն, հանգեցնում են խոցելիության:
2. Հարձակվողի առավելությունը. Ազգային պետությունները և բարդ հանցավոր խմբերը չեն սպասում հրապարակային բացահայտումների: Նրանք ակտիվորեն փնտրում են այդ թերությունները, հաճախ զգալի ռեսուրսներով: Գտնվելուց հետո զրոյական օրը ոսկե տոմս է, որը անաղմուկ շահագործվում է այնքան ժամանակ, մինչև ինչ-որ կարկատան ստիպում է նրանց ձեռքը: Այն փաստը, որ դրանք ակտիվորեն շահագործվում են, նշանակում է, որ հակառակորդներն արդեն առաջ են ընկել կորից:
3. **Կաթվածի կարկատում. ** NetScaler-ի նման կարևոր ենթակառուցվածքի համար կարկատելը հաճախ նշանակում է պարապուրդ, մանրակրկիտ պլանավորում և համակարգում բազմաթիվ թիմերի միջև: Խոշոր ձեռնարկություններում դա կարող է լինել բյուրոկրատական ​​մղձավանջ: Chrome-ի համար այն ավելի պարզ է, բայց դեռևս հիմնված է օգտատերերի համապատասխանության կամ կայուն կենտրոնացված կառավարման վրա: «Ստացրեք այն և մոռացեք» մտածելակերպը, կամ ավելի վատ՝ «մեկ եռամսյակում կհասնենք դրան» մոտեցումը փոխզիջման բաղադրատոմս է: NetScaler-ի CISA վերջնաժամկետը, որն այժմ անցել է, այս իներցիայի վառ հիշեցումն է:
4. Անվտանգությունը որպես հետևանք. Չնայած բոլոր հռետորաբանությանը, անվտանգությունը դեռևս շատ հաճախ դիտվում է որպես ծախսերի կենտրոն, նորարարության խոչընդոտ կամ խնդիր, որը պետք է լուծվի * խախտումից հետո: Վտանգների ակտիվ որսի, խոցելիության կայուն կառավարման և անվտանգության շարունակական կրթության մեջ ներդրումները հաճախ գունատվում են միջադեպից հետո ռեակտիվ պայքարի համեմատ:

Կարկատանից այն կողմ. ռազմավարական հիմնանորոգման կոչ

Ուղղակի կազմակերպությանը «անմիջապես կարկատել» ասելը նման է խոր ջրերում պայքարողին ասելու «ավելի ուժեղ լողալ»: Դա անհրաժեշտ է, բայց դա չի լուծում հիմքում ընկած խնդիրը: Մեզ անհրաժեշտ է հիմնարար փոփոխություն այն հարցում, թե ինչպես ենք մենք մոտենում անվտանգությանը:

• Ենթադրենք փոխզիջում. Հին պարագծային պաշտպանության մոդելը մեռած է: Ենթադրենք, որ ձեր NetScaler ը խախտվել է: Ենթադրենք, որ ձեր օգտագործողների Chrome բրաուզերները *կշահագործվեն: Իրականացնել ցանցի կայուն սեգմենտավորում, նվազագույն արտոնությունների հասանելիություն և անոմալ գործունեության շարունակական մոնիտորինգ: Սպառնալիքների որսը շքեղություն չէ. դա անհրաժեշտություն է: Փնտրեք նուրբ նշանները՝ անսովոր ելքային կապեր ձեր NetScaler-ից, օգտվողների նոր հաշիվներ, գործընթացի անսպասելի կատարում:
• Ավտոմատացրեք հնարավոր ամեն ինչ. Chrome-ի նման վերջնակետերի կարկատակների կառավարումը պետք է ամբողջությամբ ավտոմատացված լինի և կիրառվի: NetScaler-ի նման կարևոր ենթակառուցվածքի համար, թեև ավելի բարդ է, գործընթացը պետք է պարզեցվի, փորձարկվի և փորձարկվի: Անվտանգության թարմացումների անգործությունը պետք է պլանավորվի և ընդունվի որպես բիզնես վարելու ծախս, ոչ թե ամեն գնով խուսափել:
• Ներդրումներ կատարեք ճկունության, ոչ միայն կանխարգելման մեջ. Միջադեպերի արձագանքման պլանները պետք է փորձարկվեն մարտական ​​փուլում: Կարո՞ղ եք արագ հայտնաբերել խախտումը: Կարող եք պարունակել այն: Կարո՞ղ եք վերականգնվել առանց փրկագին վճարելու: Սրանք այն հարցերն են, որոնք կարևոր են, երբ կանխարգելումն անխուսափելիորեն ձախողվում է:
• **Մատուցողներից ավելի լավ պահանջեք. Citrix-ի նման կրիտիկական ենթակառուցվածքների վաճառողների համար ակնկալիքները պետք է ավելի բարձր լինեն: Նրանց արտադրանքը բառացիորեն ձեռնարկության գործունեության հիմքն է:

Իրականությունն այն է, որ դրանք առանձին դեպքեր չեն: Դրանք թվային էկոհամակարգի ախտանիշներ են մշտական, բարդ հարձակման տակ: «Կրիտիկական» ահազանգերը շարունակվելու են։ Հարցն այն չէ, թե եթե ձեր կազմակերպությունը թիրախ կդառնա, այլ երբ և արդյոք դուք անցել եք ռեակտիվ պայքարից այն կողմ` իսկապես ճկուն պաշտպանություն կառուցելու համար: Եթե ​​CISA-ի անցած վերջնաժամկետը NetScaler-ի համար չի խթանել ձեր անվտանգության ռազմավարությունը, ապա ժամանակն է լուրջ վերագնահատման համար:

Աղբյուրներ

[1] CISA-ի հայտնի շահագործման խոցելի կատալոգ — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Վտանգավոր դերակատարներ, որոնք օգտագործում են Citrix NetScaler ADC-ն և Citrix NetScaler Gateway-ի խոցելիությունը (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] Արտակարգ իրավիճակների հրահանգ 23-02. Մեղմացնել Citrix NetScaler ADC-ն և Gateway-ի խոցելիությունը — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Կայուն ալիքի թարմացում աշխատասեղանի համար (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC և Citrix NetScaler Gateway անվտանգության տեղեկագիր CVE-2023-4966 և CVE-2023-4967-ի համար — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967