ສະຖານະການສຸກເສີນຕະຫຼອດໄປ: ເມື່ອ "ສໍາຄັນ" ກາຍເປັນສຽງສີຂາວ

ສະຖານະການສຸກເສີນຕະຫຼອດໄປ: ເມື່ອ "ວິກິດ" ກາຍເປັນສຽງສີຂາວ

ຖ້າອົງການຂອງເຈົ້າຍັງແລ່ນ Citrix NetScaler ADCs ຫຼື Gateways ທີ່ບໍ່ໄດ້ຮັບການປັບປຸງໃນລະດູໃບໄມ້ປົ່ງ, ເຈົ້າບໍ່ພຽງແຕ່ມີຄວາມສ່ຽງ; ທ່ານໄດ້ເຊີນໄພພິບັດຢ່າງຈິງຈັງ. ການແຈ້ງເຕືອນອັນຮີບດ່ວນຂອງ CISA ສໍາລັບສູນທີ່ສໍາຄັນ, CVE-2023-4966, ທີ່ຮູ້ຈັກກັນຢ່າງກວ້າງຂວາງວ່າ "Citrix Bleed," ບໍ່ແມ່ນການອອກກໍາລັງກາຍທາງທິດສະດີໃນການຄຸ້ມຄອງຄວາມສ່ຽງ [1, 2]. ມັນ​ເປັນ​ການ​ເຕືອນ​ໄພ​ຢ່າງ​ແຂງ​ແຮງ, ເປັນ​ການ​ຢືນ​ຢັນ​ໂດຍ​ກົງ​ວ່າ​ຜູ້​ໂຈມ​ຕີ​ໄດ້ * ຢູ່​ໃນ​ເຄືອ​ຂ່າຍ​ຂອງ​ຜູ້​ທີ່​ຊັກ​ຊ້າ patching ໄດ້​. ວັນທີ 27 ເດືອນຕຸລາປີ 2023, ເສັ້ນຕາຍສໍາລັບອົງການຂອງລັດຖະບານກາງເພື່ອແກ້ໄຂ, ບັງຄັບໂດຍ CISA Emergency Directive 23-02, ໄດ້ມາແລະຫມົດໄປ [3]. ຖ້າຫນ່ວຍງານຂອງລັດຖະບານກາງ, ດ້ວຍຊັບພະຍາກອນອັນໃຫຍ່ຫຼວງແລະທີມງານຄວາມປອດໄພທີ່ອຸທິດຕົນ, ປະເຊີນກັບສິ່ງທ້າທາຍທີ່ບັນລຸເປົ້າຫມາຍດັ່ງກ່າວ, ມັນຊີ້ໃຫ້ເຫັນຄວາມກົດດັນອັນໃຫຍ່ຫຼວງຕໍ່ທຸກໆຄົນ.

ນີ້ບໍ່ແມ່ນພຽງແຕ່ກ່ຽວກັບຂໍ້ບົກພ່ອງດຽວ, ຂີ້ຮ້າຍ. ນີ້ແມ່ນກ່ຽວກັບຄວາມລົ້ມເຫຼວຂອງລະບົບທີ່ຈະເຂົ້າໃຈແຮງໂນ້ມຖ່ວງຂອງ "ໂຄງສ້າງພື້ນຖານທີ່ສໍາຄັນ" ໃນຍຸກດິຈິຕອນ. ເຄື່ອງໃຊ້ NetScaler ແມ່ນທຽບເທົ່າດິຈິຕອນຂອງທາງເຂົ້າຫຼັກຂອງອາຄານຂອງເຈົ້າ, ດ່ານຄວາມປອດໄພ, ແລະລະບົບ HVAC ທັງໝົດຖືກມ້ວນເປັນອັນດຽວ. ພວກເຂົານັ່ງຢູ່ບໍລິເວນອ້ອມຮອບ, ຈັດການການກວດສອບຄວາມຖືກຕ້ອງ, ການດຸ່ນດ່ຽງການໂຫຼດ, ແລະການຄຸ້ມຄອງການຈະລາຈອນ. RCE (ການ​ປະ​ຕິ​ບັດ​ລະ​ຫັດ​ໄລ​ຍະ​ໄກ​) ໃນ​ອຸ​ປະ​ກອນ​ດັ່ງ​ກ່າວ​ບໍ່​ພຽງ​ແຕ່​ເປັນ​ການ​ລະ​ເມີດ​; ມັນ​ເປັນ​ການ​ຄອບ​ຄອງ​ລະ​ບົບ​ຢ່າງ​ເຕັມ​ທີ່, ເປັນ​ກະ​ແຈ​ແມ່​ບົດ​ໄດ້​ມອບ​ໂດຍ​ກົງ​ກັບ​ຜູ້​ປໍ​ລະ​ປັກ. ພວກເຮົາເວົ້າກ່ຽວກັບປະເພດຂອງການເຂົ້າເຖິງທີ່ອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີສາມາດ pivot ເຂົ້າໄປໃນເຄືອຂ່າຍພາຍໃນ, ສະກັດຂໍ້ມູນທີ່ລະອຽດອ່ອນ, ຫຼືນໍາໃຊ້ ransomware ດ້ວຍຄວາມແມ່ນຍໍາໃນການຜ່າຕັດ. ຄວາມຈິງທີ່ວ່າ CVE-2023-4966 ໄດ້ຖືກ * ຂູດຮີດຢ່າງຈິງຈັງ*, ປະຈຸບັນຖືກບັນຈຸຢູ່ໃນລາຍການ KEV ຂອງ CISA, ຫມາຍຄວາມວ່າປ່ອງຢ້ຽມສໍາລັບການປ້ອງກັນຢ່າງຫ້າວຫັນໄດ້ປິດຢ່າງໄວວາ [1]. ອົງການຈັດຕັ້ງບໍ່ໄດ້ປ້ອງກັນການໂຈມຕີ; ພວກເຂົາ ກຳ ລັງຫຼຸດຜ່ອນເຫດການທີ່ ກຳ ລັງ ດຳ ເນີນຢູ່.

ຕົວທ່ອງເວັບເປັນ Perimeter ໃຫມ່: ວົງຈອນຊ່ອງໂຫວ່ຂອງ Chrome

ແລະພຽງແຕ່ໃນເວລາທີ່ທ່ານຄິດວ່າ perimeter ເຄືອຂ່າຍຂອງທ່ານເປັນສິ່ງດຽວທີ່ຢູ່ພາຍໃຕ້ການປິດລ້ອມ, Google ປະກາດເປັນປະກະຕິ bombshell ອື່ນ: ການໃຊ້ຢ່າງຫ້າວຫັນເປັນສູນມື້ໃນ Chrome. ຕົວຢ່າງເຊັ່ນ, CVE-2024-4947, ເປັນຂໍ້ບົກພ່ອງຂອງຄວາມສັບສົນປະເພດ V8 ທີ່ສໍາຄັນ, ແມ່ນພຽງແຕ່ຫນຶ່ງໃນຊ່ອງໂຫວ່ທີ່ຖືກຂູດຮີດຢ່າງຫ້າວຫັນທີ່ຖືກປັບປຸງ * ໃນປີນີ້ * [4]. ນີ້ບໍ່ແມ່ນ fluke; ມັນເປັນຮູບແບບທີ່ສອດຄ່ອງ. ແຕ່ລະ patch ໃຫມ່, ມັກຈະມາພ້ອມກັບຄໍາຮ້ອງທຸກອັນຮີບດ່ວນເພື່ອ "ປັບປຸງທັນທີ," ຊີ້ໃຫ້ເຫັນ vector ຂອງການປະນີປະນອມທີ່ແຕກຕ່າງກັນ, ແຕ່ insidious ເທົ່າທຽມກັນ. ໃນຂະນະທີ່ NetScaler ປົກປ້ອງປະຕູ, Chrome ເປັນຈຸດເຂົ້າທີ່ທົ່ວທຸກແຫ່ງຢູ່ໃນຖົງຂອງພະນັກງານທຸກຄົນ, ໃນທຸກບ່ອນເຮັດວຽກ, ແລະໃນທຸກໆ desktop virtual ທີ່ອີງໃສ່ຄລາວ.

ເປັນເວລາຫຼາຍປີ, ພວກເຮົາໄດ້ເນັ້ນໃສ່ຄວາມປອດໄພຂອງຈຸດສິ້ນສຸດ, ແຕ່ຄວາມໄວຂອງ Chrome zero-days ເຮັດໃຫ້ມັນຮູ້ສຶກວ່າພວກເຮົາພະຍາຍາມຢ່າງຕໍ່ເນື່ອງເພື່ອສືບຕໍ່. ແຕ່ລະຊ່ອງໂຫວ່ເຫຼົ່ານີ້ເປັນຕົວແທນຂອງການໂຈມຕີທີ່ອາດເກີດຂຶ້ນ, ເວັບໄຊທ໌ທີ່ເປັນອັນຕະລາຍ, ຫຼືເຄືອຂ່າຍໂຄສະນາທີ່ຖືກທໍາລາຍສາມາດປະຕິບັດລະຫັດທີ່ຕົນເອງມັກໃນເຄື່ອງຂອງຜູ້ໃຊ້. ຈາກບ່ອນນັ້ນ, ມັນເປັນການເລື່ອນສັ້ນເພື່ອລັກຂໍ້ມູນການຢັ້ງຢືນ, ການເຄື່ອນໄຫວທາງຂ້າງ, ຫຼືການໃຊ້ malware ທີ່ມີຄວາມຊັບຊ້ອນຫຼາຍຂຶ້ນ. "ຕົວທ່ອງເວັບຂອງເວັບທີ່ນິຍົມທີ່ສຸດໃນໂລກ" ຍັງເປັນ, ໂດຍການຂະຫຍາຍ, ດ້ານການໂຈມຕີທີ່ນິຍົມທີ່ສຸດໃນໂລກ.

ພາບລວງຕາຂອງການຄວບຄຸມ: ເປັນຫຍັງພວກເຮົາຈຶ່ງລົ້ມລົງ

ດັ່ງນັ້ນ, ແມ່ນຫຍັງຄືຫົວຂໍ້ທົ່ວໄປຢູ່ທີ່ນີ້? ມັນບໍ່ແມ່ນພຽງແຕ່ວ່າເຫຼົ່ານີ້ແມ່ນ "ທີ່ສໍາຄັນ" ຊ່ອງໂຫວ່. ມັນ​ເປັນ​ການ​ຄາດ​ຄະ​ເນ​, ລັກ​ສະ​ນະ​ເກືອບ ritualistic ຂອງ​ການ​ຄົ້ນ​ພົບ​ແລະ​ການ​ຂຸດ​ຄົ້ນ​ຂອງ​ເຂົາ​ເຈົ້າ​. ພວກເຮົາຖືກຈັບຢູ່ໃນສະຖານະການສຸກເສີນຕະຫຼອດໄປ, ບ່ອນທີ່ "ການສ້ອມແປງດ່ວນ" ໄດ້ກາຍເປັນຮູບແບບການດໍາເນີນງານໃນຕອນຕົ້ນ, ແທນທີ່ຈະເປັນຂໍ້ຍົກເວັ້ນ.

ເປັນຫຍັງ?

1. ໜີ້ສິນຊັບຊ້ອນ: ທັງ NetScaler ແລະ Chrome ແມ່ນຊອບແວທີ່ສັບສົນຢ່າງບໍ່ໜ້າເຊື່ອ. NetScaler, ດ້ວຍຄຸນສົມບັດ ແລະການເຊື່ອມໂຍງອັນໃຫຍ່ຫຼວງຂອງມັນ, ນຳສະເໜີພື້ນທີ່ການໂຈມຕີທີ່ກວ້າງຂວາງ. Chrome, ດ້ວຍເຄື່ອງຈັກ JavaScript (V8), ເຄື່ອງຈັກສະແດງຜົນ, ແລະການເພີ່ມຄຸນສົມບັດຄົງທີ່, ແມ່ນເປົ້າຫມາຍທີ່ເຄື່ອນທີ່ສໍາລັບນັກຄົ້ນຄວ້າຄວາມປອດໄພແລະຜູ້ໂຈມຕີຄືກັນ. ຄວາມສັບສົນເຮັດໃຫ້ເກີດແມງໄມ້, ແລະແມງໄມ້, inevitably, ນໍາໄປສູ່ຄວາມອ່ອນແອ.
2. ຂໍ້ໄດ້ປຽບຂອງຜູ້ໂຈມຕີ: ປະເທດ-ລັດ ແລະກຸ່ມອາດຊະຍາກຳທີ່ທັນສະໄໝບໍ່ໄດ້ລໍຖ້າການເປີດເຜີຍຕໍ່ສາທາລະນະ. ພວກເຂົາເຈົ້າກໍາລັງລ່າສັດຢ່າງຈິງຈັງສໍາລັບຂໍ້ບົກພ່ອງເຫຼົ່ານີ້, ມັກຈະມີຊັບພະຍາກອນທີ່ສໍາຄັນ. ເມື່ອພົບເຫັນ, ສູນມື້ແມ່ນປີ້ທອງ, ຖືກຂູດຮີດຢ່າງງຽບໆຈົນກ່ວາແຜ່ນບັງຄັບມືຂອງພວກເຂົາ. ຄວາມຈິງທີ່ວ່າສິ່ງເຫຼົ່ານີ້ແມ່ນ * ຖືກຂູດຮີດຢ່າງຈິງຈັງ* ຫມາຍຄວາມວ່າສັດຕູແມ່ນຢູ່ກ່ອນເສັ້ນໂຄ້ງ.
3. Patching Paralysis: ສໍາລັບໂຄງສ້າງພື້ນຖານທີ່ສໍາຄັນເຊັ່ນ NetScaler, patching ມັກຈະຫມາຍເຖິງການຢຸດເຮັດວຽກ, ການວາງແຜນທີ່ລະມັດລະວັງ, ແລະການປະສານງານໃນຫຼາຍໆທີມ. ໃນວິສາຫະກິດຂະຫນາດໃຫຍ່, ນີ້ສາມາດເປັນຝັນຮ້າຍຂອງ bureaucratic. ສໍາລັບ Chrome, ມັນງ່າຍດາຍກວ່າ, ແຕ່ຍັງຄົງອີງໃສ່ການປະຕິບັດຕາມຜູ້ໃຊ້ຫຼືການຄຸ້ມຄອງສູນກາງທີ່ເຂັ້ມແຂງ. ຈິດໃຈ "ຕັ້ງມັນແລະລືມມັນ" ຫຼືຮ້າຍແຮງກວ່າເກົ່າ, ວິທີການ "ພວກເຮົາຈະເຂົ້າຫາມັນໃນໄຕມາດຕໍ່ໄປ", ແມ່ນສູດສໍາລັບການປະນີປະນອມ. ເສັ້ນຕາຍຂອງ CISA ສໍາລັບ NetScaler, ປະຈຸບັນໄດ້ຜ່ານໄປ, ເປັນການເຕືອນຢ່າງຈະແຈ້ງກ່ຽວກັບ inertia ນີ້.
4. ** ຄວາມປອດໄພເປັນການຄິດຫຼັງ:** ເຖິງວ່າຈະມີຄໍາເວົ້າທັງຫມົດ, ຄວາມປອດໄພຍັງມັກຈະເຫັນວ່າເປັນສູນກາງຄ່າໃຊ້ຈ່າຍ, ເປັນອຸປະສັກຕໍ່ການປະດິດສ້າງ, ຫຼືບັນຫາທີ່ຈະແກ້ໄຂ * ຫຼັງຈາກ * ການລະເມີດ. ການລົງທຶນໃນການລ່າສັດໄພຂົ່ມຂູ່ແບບຕັ້ງຫນ້າ, ການຄຸ້ມຄອງຄວາມສ່ຽງທີ່ເຂັ້ມແຂງ, ແລະການສຶກສາດ້ານຄວາມປອດໄພຢ່າງຕໍ່ເນື່ອງມັກຈະຈືດໆເມື່ອປຽບທຽບກັບການຂູດຮີດທີ່ມີປະຕິກິລິຍາຫຼັງຈາກເຫດການ.

Beyond the Patch: ການຮຽກຮ້ອງເພື່ອການປັບປຸງຍຸດທະສາດ

ພຽງແຕ່ບອກອົງການຈັດຕັ້ງໃຫ້ "ແກ້ໄຂທັນທີ" ແມ່ນຄ້າຍຄືການບອກຜູ້ທີ່ມີຄວາມຫຍຸ້ງຍາກໃນນ້ໍາເລິກໃຫ້ "ລອຍຍາກຂຶ້ນ." ມັນເປັນສິ່ງຈໍາເປັນ, ແຕ່ມັນບໍ່ໄດ້ແກ້ໄຂບັນຫາພື້ນຖານ. ພວກເຮົາຕ້ອງການການປ່ຽນແປງພື້ນຖານໃນວິທີທີ່ພວກເຮົາເຂົ້າຫາຄວາມປອດໄພ.

• ** ສົມມຸດການປະນີປະນອມ:** ຮູບແບບການປ້ອງກັນ perimeter ເກົ່າຕາຍແລ້ວ. ສົມມຸດວ່າ NetScaler * ຂອງເຈົ້າຖືກລະເມີດ. ສົມມຸດວ່າຕົວທ່ອງເວັບ Chrome ຂອງຜູ້ໃຊ້ຂອງທ່ານ ຈະ ຖືກຂູດຮີດ. ປະຕິບັດການແບ່ງສ່ວນເຄືອຂ່າຍທີ່ເຂັ້ມແຂງ, ການເຂົ້າເຖິງສິດທິພິເສດຫນ້ອຍ, ແລະການຕິດຕາມຢ່າງຕໍ່ເນື່ອງສໍາລັບກິດຈະກໍາຜິດປົກກະຕິ. ການລ່າສັດໄພຂົ່ມຂູ່ບໍ່ແມ່ນຄວາມຫລູຫລາ; ມັນເປັນຄວາມຈໍາເປັນ. ຊອກຫາສັນຍານທີ່ລະອຽດອ່ອນ: ການເຊື່ອມຕໍ່ຂາອອກທີ່ຜິດປົກກະຕິຈາກ NetScaler ຂອງທ່ານ, ບັນຊີຜູ້ໃຊ້ໃຫມ່, ການປະຕິບັດຂະບວນການທີ່ບໍ່ຄາດຄິດ.
• ** ອັດຕະໂນມັດທຸກຢ່າງທີ່ເປັນໄປໄດ້:** ການຈັດການ Patch ສໍາລັບຈຸດສິ້ນສຸດເຊັ່ນ Chrome ຄວນຈະເປັນອັດຕະໂນມັດຢ່າງເຕັມທີ່ແລະບັງຄັບໃຊ້. ສໍາລັບໂຄງສ້າງພື້ນຖານທີ່ສໍາຄັນເຊັ່ນ NetScaler, ໃນຂະນະທີ່ສະລັບສັບຊ້ອນຫຼາຍ, ຂະບວນການຕ້ອງໄດ້ຮັບການປັບປຸງ, ທົດສອບ, ແລະການຝຶກຊ້ອມ. ການຢຸດເວລາສໍາລັບການປັບປຸງຄວາມປອດໄພຄວນໄດ້ຮັບການວາງແຜນແລະຍອມຮັບເປັນຄ່າໃຊ້ຈ່າຍໃນການດໍາເນີນທຸລະກິດ, ບໍ່ໄດ້ຫຼີກເວັ້ນໃນຄ່າໃຊ້ຈ່າຍທັງຫມົດ.
• ** ລົງທຶນໃນຄວາມຢືດຢຸ່ນ, ບໍ່ພຽງແຕ່ການປ້ອງກັນ:** ແຜນການຕອບໂຕ້ເຫດການຈໍາເປັນຕ້ອງໄດ້ຮັບການທົດສອບການສູ້ຮົບ. ເຈົ້າສາມາດກວດພົບການລະເມີດໄດ້ໄວບໍ? ເຈົ້າສາມາດບັນຈຸມັນໄດ້ບໍ? ເຈົ້າສາມາດກູ້ໄດ້ໂດຍບໍ່ຕ້ອງຈ່າຍຄ່າໄຖ່ບໍ? ນີ້ແມ່ນ ຄຳ ຖາມທີ່ ສຳ ຄັນເມື່ອການປ້ອງກັນລົ້ມເຫລວ.
• ** ຄວາມຕ້ອງການທີ່ດີກວ່າຈາກຜູ້ຂາຍ:** ໃນຂະນະທີ່ Google ກໍາລັງແກ້ໄຂ, ປະລິມານຂອງສູນມື້ໃນ Chrome ຊີ້ໃຫ້ເຫັນເຖິງຄວາມຕ້ອງການສໍາລັບການທົບທວນຄືນທາງສະຖາປັດຕະຍະກໍາທີ່ເລິກເຊິ່ງກວ່າແລະບາງທີໂຄງການ bounty bug ພາຍໃນທີ່ຮຸກຮານຫຼາຍ. ສໍາລັບຜູ້ຂາຍພື້ນຖານໂຄງລ່າງທີ່ສໍາຄັນເຊັ່ນ Citrix, ຄວາມຄາດຫວັງຄວນຈະສູງກວ່າ. ຜະລິດຕະພັນຂອງພວກເຂົາແມ່ນກະດູກສັນຫຼັງຂອງການດໍາເນີນງານຂອງວິສາຫະກິດຢ່າງແທ້ຈິງ.

ຄວາມຈິງແລ້ວ, ນີ້ບໍ່ແມ່ນເຫດການທີ່ໂດດດ່ຽວ. ພວກເຂົາເປັນອາການຂອງລະບົບນິເວດດິຈິຕອນພາຍໃຕ້ການໂຈມຕີຄົງທີ່, ຊັບຊ້ອນ. ການແຈ້ງເຕືອນ "ສໍາຄັນ" ຈະສືບຕໍ່ມາ. ຄໍາຖາມບໍ່ແມ່ນ * ຖ້າ * ອົງການຈັດຕັ້ງຂອງເຈົ້າຈະຖືກເປົ້າຫມາຍ, ແຕ່ * ເມື່ອ *, ແລະວ່າເຈົ້າໄດ້ຍ້າຍອອກໄປນອກເຫນືອການໂຕ້ຖຽງກັນເພື່ອສ້າງການປ້ອງກັນທີ່ທົນທານຢ່າງແທ້ຈິງ. ຖ້າເສັ້ນຕາຍຂອງ CISA ທີ່ຜ່ານໄປສໍາລັບ NetScaler ບໍ່ໄດ້ເຮັດໃຫ້ຍຸດທະສາດຄວາມປອດໄພຂອງເຈົ້າ, ມັນແມ່ນເວລາສໍາລັບການປະເມີນຄືນຢ່າງຈິງຈັງ.

ແຫຼ່ງຂໍ້ມູນ

[1] CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] ນັກສະແດງໄພຂົ່ມຂູ່ທີ່ຂຸດຄົ້ນ Citrix NetScaler ADC ແລະ Citrix NetScaler Gateway Vulnerability (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] ຄຳສັ່ງສຸກເສີນ 23-02: ຫຼຸດຜ່ອນຄວາມອ່ອນແອຂອງ Citrix NetScaler ADC ແລະ Gateway Vulnerability — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] ອັບເດດຊ່ອງຄົງທີ່ສຳລັບເດັສທັອບ (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC ແລະ Citrix NetScaler Gateway Security Bulletin ສໍາລັບ CVE-2023-4966 ແລະ CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967