Нуль-көннәр һәм күзәтчелек нуль: Ике техник чынбарлык турында әкият
Сезнең SOC командагызны күз алдыгызга китерегез, кара күзле, ялтырап торган кызыл уяулыкка карап. 2023 елның октябрендә көндезге 3, һәм яңалыклар яхшы түгел: Citrix NetScaler ADC һәм Gateway'да ике критик нуль көне, актив кулланыла, Ерак Кодны башкару (RCE) мөмкинлеген бирә, кырда махсус программа тәэминаты. CISA билгеле эксплуатацияләнгән көчсезлекләр (KEV) каталогы аларны өстәде [1, 2, 3, 4]. Бу теоретик куркыныч түгел; бу мөһим, халыкара вакыйга, Төньяк Америка һәм Европада хакимият, финанс, мәгариф, хокук өлкәләре буенча предприятия инфраструктурасына тәэсир итә. Сезнең командалар кан җибәрергә тырышалар, ачуланып, катастрофик бозу булырга мөмкин булган суд-тикшерү эшләрен башлап җибәргәндә, тагын бер баш исем төшә: Президент Трамп ЯИ үсеше өчен югары технология фирмалары белән "ирекле килешү" төзеде, тармакның үз-үзен полицияләвен вәгъдә итте [5].
Сюжет позициясе бер-берсенә туры килми. Бер яктан, без хәзерге санлы мохитебезнең рәхимсез, бәхәссез чынбарлыгына каршы торабыз: хәзерге дөньябызның нигезе булган инфраструктурадагы төп кимчелекләрне кулланган катлаулы дошманнарга каршы даими, югары дәрәҗәдәге көрәш. Икенче яктан, иң үзгәрүчән, ләкин бик билгесез, технологиянең киләчәге төп куркынычсызлык һәм этик үзидарә белән эзлекле көрәшүче шул ук тармак белән куркынычсыз идарә ителергә мөмкинлеген күрсәтүче политик тамаша.
itитрик катастрофасы: тирән черү симптомы
Аңлашыйк: Citrix нуль көннәре, мәсәлән, CVE-2023-4966 (Citrix Bleed дип атала) һәм CVE-2023-3519, "бүтән зәгыйфьлек" түгел. Алар мәгълүмат үзәгендәге ашыгыч кризисны күрсәтәләр, турыдан-туры һөҗүм кампаниясе, тиз арада, кулдан-кулга җавап таләп итәләр [1, 2, 3, 4]. ADC яки Gateway'та ерак кодны башкару - критик керү ноктасының санлы эквиваленты. Бу ямау турында гына түгел; бу безнең предприятия архитектурасының системалы зәгыйфьлеге турында.
Еллар дәвамында без катлаулы, үзара бәйләнгән системалар төзедек, еш кына төп инфраструктура өчен бик аз критик сатучыларга таянабыз. Citrix, башкалар кебек үк, мөһим хезмәтләр күрсәтә, ләкин шул үзәклек белән зур куркыныч туа. NetScaler кебек төп компонент нуль көн дәрәҗәсендә бозылгач, эффект зур зыян китерә. Ул бер генә уңышсызлык ноктасына таяну өчен хас булган кимчелекне фаш итә, нинди генә көчле булырга тиеш *. "Пач шунда ук" директивасы, кирәк булганда, системалы проблема өчен өстән ясалган чара кебек тоела. Бу төп проблемаларны чишми: зәгыйфьлекне тудырган катлаулылык, кайбер сатучылардан куркынычсызлык яңартуларының әкрен темплары, һәм периметр иң критик пунктта бозылганда уңышсыз булган оборона-тирән стратегияләр.
Бу техник проблема гына түгел; бу бизнесның өзлексез төше. Мәгълүматны бозу, оператив өзелү, норматив штрафлар, абруйлы зыян - чыгымнар астрономик. Нәрсә өчен? Челтәрне эффектив эшләргә? Без уңайлыклар һәм сизелгән эффективлык өчен бик югары бәя түлибез, КТО һәм куркынычсызлык отрядлары өчен йокысыз төннәрдә үлчәнгән бәя, һәм, потенциаль рәвештә, җәмәгать ышаныч эрозиясендә. Боларның * актив кулланылулары * нуль-көннәр, * махсус программа тәэминаты * кулланып, бу скрипт уенчыклары түгеллеген күрсәтә. Болар - яхшы кыйммәтле активларны максат итеп куйган, дәвамлы куркыныч актерлар. Әгәр дә без булган санлы дөньяның төп катламнарын саклый алмыйбыз икән, экспоненциаль катлаулырак киләчәккә нинди өметебез бар?
ЯИ Көнбатыш Көнбатыш: Куркынычсызлыкны күрсәтү өчен үз-үзеңә кызыксыну
Thatәм бу киләчәк турында сөйләгәндә, әйдәгез ЯИ "үз-үзен полицияләү" килешүенә игътибар итик. Президент Трамп игъланы, политик яктан мөһим булса да, җаваплылыктан читләшү өчен дәреслек мисалы булып тора [5]. "Ирекле" һәм "үз-үзеңне полицияләү" - бу соңгы ике дистә елда технология индустриясен караган һәркемдә курку уята торган терминнар. Моңа кадәр без бу үрнәкне күзәткән идек, шулай бит? Социаль медиа компанияләре нәфрәт сүзен "үз теләге белән" полицияли, эзләү системалары "үз-үзен көйләү" мәгълүмат хосусыйлыгын, кушымталар кибетләрен "мөстәкыйль" гадел көндәшлекне тәэмин итә. Трек язмасы, йомшак итеп әйткәндә, абыстай.
Көчле ЯИ системаларын үстерү һәм урнаштыру өчен йөгергән компанияләр - икътисадны үзгәртеп кору, сайлауларга йогынты ясау, һәм хәтта яңа җәмгыять куркынычын булдыру потенциалы булган системалар - үзләренең этик һәм куркынычсызлык кагыйдәләрен билгеләү һәм үтәү өчен ышанычлы булырга мөмкин, иң яхшысы - куркыныч, җавапсыз. Бу табыш һәм базар өстенлеге белән идарә итүче корпорацияләр. Аларның төп фидуциар бурычы - акционерлар алдында, җәмәгать яхшы яки этик ЯИ абстракт төшенчәсенә түгел.
Бу "килешү" администрация өчен сәяси җиңү, аларга ЯИда гамәлдәге законнар яисә норматив күзәтчелексез тәртипсез эш таләп итәргә мөмкинлек бирә. Бу шулай ук Зур Техника өчен зур җиңү, аларга вакыт һәм ирек сатып алу, аларның инновацияләрен акрынайтырга яки түбән сызыкларына йогынты ясарга мөмкин. Ләкин калганнарыбыз өчен - бу системаларны төзүче технология белгечләре өчен, аларга таяначак бизнес өчен һәм гомумән җәмгыять өчен - бу куркыныч прецедент. Бу җәмәгать куркынычсызлыгы һәм җаваплылыгы өстендә корпоратив автономиягә өстенлек биргән ЯИ белән идарә итүгә өстенлекле караш.
Аеру: тотрыксыз нигезләр төзү
Менә уңайсыз хакыйкать: без бер үк вакытта хәзерге заманны тәэмин итә алмыйбыз һәм киләчәгебезне куркыныч белән идарә итмибез. Без санлы тотрыксызлык нигезендә тагын да катлаулырак ЯИ системаларын төзибез, монда критик инфраструктура регуляр рәвештә көндәшләр тарафыннан бозыла. Productsз продуктларының глобаль һөҗүм векторларына әйләнүен тыя алмаган шул ук тармак җитәкчеләреннән хәзер гомуми ясалма интеллектның этик һәм куркынычсызлык нәтиҗәләрен "үз-үзен полицияләү" сорала.
Бу өзелү генә түгел; бу бик зур аерма. КТО һәм инженерлык әйдәп барганда, без уртага эләгәбез. Безгә Citrix нуль көннәре кебек тиз, экзистенциаль куркынычларны ябу бурычы куелды, шул ук вакытта ЯИ йөртүче киләчәккә әзерләнергә кушылалар, кагыйдәләр барганда, күбесенчә уенчылар үзләре.
Ирекле ЯИ килешүе чишелеш түгел; бу тоткарлау тактикасы. Ул җаваплылыкны кичектерә, котылгысыз этик бозулар, икейөзлелек, хәтта катастрофик уңышсызлыклар килеп чыкканда, халык ни өчен баштан ук нык, бәйсез күзәтчелек булмаганы турында уйланыр. Thoseәм бу уңышсызлыклар булганда, алар теоретик булмас. Алар сезнең NetScaler'тагы RCE кебек реаль һәм зарарлы булачак, потенциаль киң җәмгыять нәтиҗәләре белән.
Безгә күбрәк таләп итәргә кирәк. Безгә сатучылардан нык, актив куркынычсызлык кирәк, факттан соң реактив таклар гына түгел. Безгә ЯИ өчен чын, мөстәкыйль көйләү кирәк, сәясәтчеләр һәм корпорацияләр арасында кул чабу килешүе генә түгел. Чөнки без үзебезнең төп инфраструктураны тәэмин итә алмасак, архитекторларга киләсе буын цивилизациясен җаваплы итеп төзү өчен ничек ышанырга? Nowавап, хәзерге вакытта, без булдыра алмыйбыз.
Чыганаклар
[1] CISA Citrix NetScaler ADC һәм Gateway Vulnerability (CVE-2023-4966) билгеле эксплуатацияләнгән көчсезлекләр каталогына өсти - https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] CVE-2023-4966 һәм CVE-2023-4967 өчен Citrix Куркынычсызлык Бюллетене - https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966 [3] Mandiant: UNC4841 Citrix NetScaler ADC һәм Gateway Zero-Day (CVE-2023-4966) куллана - https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA Citrix NetScaler ADC һәм Gateway Vulnerability (CVE-2023-3519) билгеле эксплуатацияләнгән көчсезлекләр каталогына өсти - https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] Тере яңартулар: Трамп технологияләр өчен ЯИ лидерлары белән ирекле килешүгә кул куя ... - https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026