Zero-days and Zero Oversight: A Tale of two Tech Realities
ຈິນຕະນາການທີມງານ SOC ຂອງທ່ານ, ຕາບອດ, ແນມເບິ່ງການແຈ້ງເຕືອນສີແດງກະພິບ. ມັນແມ່ນ 3 ໂມງເຊົ້າຂອງເດືອນຕຸລາ 2023, ແລະຂ່າວບໍ່ດີ: ສອງມື້ສູນທີ່ສໍາຄັນໃນ Citrix NetScaler ADC ແລະ Gateway ຂອງທ່ານ, ຖືກຂູດຮີດຢ່າງຈິງຈັງ, ເປີດໃຊ້ Remote Code Execution (RCE), ໂດຍມີ malware ແບບກຳນົດເອງສັງເກດເຫັນຢູ່ໃນປ່າ. ລາຍການ CISA Known Exploited Vulnerabilities (KEV) ຫາກໍເພີ່ມພວກມັນ [1, 2, 3, 4]. ນີ້ບໍ່ແມ່ນໄພຂົ່ມຂູ່ທາງທິດສະດີ; ມັນເປັນເຫດການສາກົນທີ່ສຳຄັນທີ່ສົ່ງຜົນກະທົບຕໍ່ພື້ນຖານໂຄງລ່າງວິສາຫະກິດທີ່ສຳຄັນໃນທົ່ວພາກລັດ, ການເງິນ, ການສຶກສາ, ແລະກົດໝາຍໃນອາເມລິກາເໜືອແລະເອີຣົບ. ໃນຂະນະທີ່ທີມງານຂອງທ່ານ ກຳ ລັງປັ່ນປ່ວນເພື່ອບັນຈຸເລືອດ, ແກ້ໄຂຢ່າງໂກດແຄ້ນ, ແລະການລິເລີ່ມການສືບສວນດ້ານນິຕິສາດກ່ຽວກັບສິ່ງທີ່ອາດຈະເປັນການລະເມີດທີ່ຮ້າຍແຮງ, ຫົວຂໍ້ອື່ນຫຼຸດລົງ: ປະທານາທິບໍດີ Trump ໄດ້ຮັບປະກັນ "ຄວາມສະຫມັກໃຈ" ກັບບໍລິສັດເຕັກໂນໂລຢີຊັ້ນນໍາສໍາລັບການພັດທະນາ AI, ອຸດສາຫະກໍາທີ່ຫມັ້ນສັນຍາກັບຕໍາຫຼວດຕົນເອງ [5].
ການຕິດກັນແມ່ນບໍ່ກົງກັນຢ່າງຈະແຈ້ງ. ໃນອີກດ້ານຫນຶ່ງ, ພວກເຮົາປະເຊີນກັບຄວາມເປັນຈິງທີ່ໂຫດຮ້າຍ, ປະຕິເສດບໍ່ໄດ້ຂອງສະພາບແວດລ້ອມດິຈິຕອນໃນປະຈຸບັນຂອງພວກເຮົາ: ການສູ້ຮົບຢ່າງຕໍ່ເນື່ອງ, ມີສະເຕກສູງຕໍ່ກັບສັດຕູທີ່ຊັບຊ້ອນທີ່ຂຸດຄົ້ນຈຸດອ່ອນພື້ນຖານໃນໂຄງສ້າງພື້ນຖານທີ່ສະຫນັບສະຫນູນໂລກທີ່ທັນສະໄຫມຂອງພວກເຮົາ. ໃນທາງກົງກັນຂ້າມ, ທັດສະນະທາງດ້ານການເມືອງທີ່ຊີ້ໃຫ້ເຫັນວ່າອະນາຄົດຂອງການຫັນປ່ຽນທີ່ສຸດ, ແຕ່ມີຄວາມບໍ່ແນ່ນອນຢ່າງເລິກເຊິ່ງ, ເຕັກໂນໂລຢີສາມາດຖືກຄຸ້ມຄອງຢ່າງປອດໄພໂດຍອຸດສາຫະກໍາດຽວກັນທີ່ຕໍ່ສູ້ກັບຄວາມປອດໄພຂັ້ນພື້ນຖານແລະການຄຸ້ມຄອງຕົນເອງທີ່ມີຈັນຍາບັນ.
ໄພພິບັດ Citrix: ອາການຂອງການເນົ່າເປື່ອຍທີ່ເລິກເຊິ່ງ
ຂໍໃຫ້ຈະແຈ້ງ: Citrix zero-days, ເຊັ່ນ CVE-2023-4966 (ເອີ້ນວ່າ Citrix Bleed) ແລະ CVE-2023-3519, ບໍ່ພຽງແຕ່ "ຊ່ອງໂຫວ່ອື່ນ." ພວກເຂົາເປັນຕົວແທນຂອງວິກິດການອັນຮີບດ່ວນໃນສູນຂໍ້ມູນ, ແຄມເປນການໂຈມຕີໂດຍກົງ, ຢ່າງຕໍ່ເນື່ອງທີ່ຕ້ອງການການຕອບໂຕ້ແບບທັນທີ, ທັງຫມົດໃນມື [1, 2, 3, 4]. ການປະຕິບັດລະຫັດໄລຍະໄກໃນ ADC ຫຼື Gateway ແມ່ນເທົ່າກັບດິຈິຕອນຂອງຈຸດເຂົ້າເຖິງທີ່ສໍາຄັນທີ່ປ່ອຍອອກມາ. ນີ້ບໍ່ພຽງແຕ່ກ່ຽວກັບການ patching; ມັນກ່ຽວກັບຄວາມອ່ອນແອທາງດ້ານລະບົບຂອງສະຖາປັດຕະຍະກໍາວິສາຫະກິດຂອງພວກເຮົາ.
ເປັນເວລາຫຼາຍປີ, ພວກເຮົາໄດ້ສ້າງລະບົບເຊື່ອມຕໍ່ກັນທີ່ຊັບຊ້ອນ, ສ່ວນຫຼາຍແມ່ນອີງໃສ່ຜູ້ຂາຍທີ່ສຳຄັນຈຳນວນໜຶ່ງສຳລັບໂຄງສ້າງພື້ນຖານຫຼັກ. Citrix, ເຊັ່ນດຽວກັນກັບຄົນອື່ນຈໍານວນຫຼາຍ, ສະຫນອງການບໍລິການທີ່ຈໍາເປັນ, ແຕ່ກັບຈຸດສູນກາງນັ້ນມີຄວາມສ່ຽງອັນໃຫຍ່ຫຼວງ. ເມື່ອອົງປະກອບພື້ນຖານເຊັ່ນ NetScaler ຖືກທໍາລາຍໃນລະດັບສູນມື້, ຜົນກະທົບຂອງ ripple ແມ່ນຮ້າຍກາດ. ມັນເປີດເຜີຍຂໍ້ບົກຜ່ອງທີ່ເກີດຈາກການອີງໃສ່ຄວາມລົ້ມເຫຼວຂອງຈຸດດຽວ, ບໍ່ວ່າມັນຈະແຂງແຮງປານໃດ * ຄວນຈະເປັນ. ຄໍາສັ່ງ "patch ທັນທີ", ໃນຂະນະທີ່ມີຄວາມຈໍາເປັນ, ມີຄວາມຮູ້ສຶກຄືກັບການແກ້ໄຂ superficial ສໍາລັບບັນຫາລະບົບ. ມັນບໍ່ໄດ້ແກ້ໄຂບັນຫາພື້ນຖານ: ຄວາມສັບສົນທີ່ເຮັດໃຫ້ເກີດຄວາມອ່ອນແອ, ຄວາມໄວຂອງການປັບປຸງຄວາມປອດໄພທີ່ຊ້າລົງຈາກຜູ້ຂາຍບາງຄົນ, ແລະກົນລະຍຸດການປ້ອງກັນໃນຄວາມເລິກທີ່ບໍ່ພຽງພໍທີ່ມັກຈະລົ້ມເຫລວເມື່ອ perimeter ຖືກລະເມີດຢູ່ໃນຈຸດສໍາຄັນທີ່ສຸດ.
ນີ້ບໍ່ພຽງແຕ່ເປັນບັນຫາດ້ານວິຊາການ; ມັນເປັນຄວາມຝັນຮ້າຍຕໍ່ເນື່ອງທາງທຸລະກິດ. ການລະເມີດຂໍ້ມູນ, ການຂັດຂວາງການປະຕິບັດງານ, ການປັບໄຫມລະບຽບການ, ຄວາມເສຍຫາຍຊື່ສຽງ - ຄ່າໃຊ້ຈ່າຍແມ່ນດາລາສາດ. ແລະເພື່ອຫຍັງ? ເພື່ອແລ່ນເຄືອຂ່າຍຢ່າງມີປະສິດທິພາບບໍ? ພວກເຮົາກໍາລັງຈ່າຍຄ່າລາຄາທີ່ສູງສໍາລັບຄວາມສະດວກສະບາຍແລະປະສິດທິພາບທີ່ຮັບຮູ້, ລາຄາທີ່ວັດແທກໃນຄືນທີ່ບໍ່ນອນຫລັບສໍາລັບ CTOs ແລະທີມງານຄວາມປອດໄພ, ແລະເປັນໄປໄດ້, ໃນການທໍາລາຍຄວາມໄວ້ວາງໃຈຂອງປະຊາຊົນ. ຄວາມຈິງທີ່ວ່າສິ່ງເຫຼົ່ານີ້ຖືກ * ຂູດຮີດຢ່າງຈິງຈັງ* 00-days, ໂດຍໃຊ້ * malware ແບບກຳນົດເອງ*, ບອກພວກເຮົາວ່າສິ່ງເຫຼົ່ານີ້ບໍ່ແມ່ນ script kiddies. ເຫຼົ່ານີ້ແມ່ນມີຊັບພະຍາກອນທີ່ດີ, ຜູ້ຂົ່ມຂູ່ຕໍ່ເນື່ອງທີ່ແນໃສ່ຊັບສິນທີ່ມີຄຸນຄ່າສູງ [3]. ຖ້າພວກເຮົາບໍ່ສາມາດຮັບປະກັນຊັ້ນພື້ນຖານຂອງໂລກດິຈິຕອນທີ່ມີຢູ່ແລ້ວຂອງພວກເຮົາ, ພວກເຮົາມີຄວາມຫວັງອັນໃດສໍາລັບອະນາຄົດທີ່ສັບສົນຫຼາຍ?
AI's Wild West: ຄວາມເຊື່ອຫມັ້ນຕົນເອງເພື່ອກໍານົດຄວາມປອດໄພ
ແລະເວົ້າກ່ຽວກັບອະນາຄົດນັ້ນ, ໃຫ້ພວກເຮົາ pivot ກັບ AI "ການຕໍາຫຼວດຕົນເອງ" ຂໍ້ຕົກລົງ. ການປະກາດຂອງປະທານາທິບໍດີ Trump, ໃນຂະນະທີ່ມີຄວາມສໍາຄັນທາງດ້ານການເມືອງ, ແມ່ນຕົວຢ່າງຂອງປື້ມແບບຮຽນຂອງຄວາມຮັບຜິດຊອບຂ້າງຄຽງ [5]. "ຄວາມສະໝັກໃຈ" ແລະ "ການຕຳຫລວດຕົນເອງ" ແມ່ນຄຳສັບທີ່ຄວນກະຕຸ້ນໃຫ້ເກີດຄວາມວິຕົກກັງວົນຕໍ່ກັບຜູ້ທີ່ໄດ້ເບິ່ງການດຳເນີນງານຂອງອຸດສາຫະກຳເທັກໂນໂລຢີໃນໄລຍະສອງທົດສະວັດທີ່ຜ່ານມາ. ພວກເຮົາເຄີຍສັງເກດຮູບແບບນີ້ມາກ່ອນ, ບໍ່ແມ່ນບໍ? ບໍລິສັດສື່ມວນຊົນສັງຄົມ "ສະຫມັກໃຈ" ນະໂຍບາຍການເວົ້າກຽດຊັງ, ເຄື່ອງຈັກຊອກຫາ "ຄວບຄຸມຕົນເອງ" ຄວາມເປັນສ່ວນຕົວຂອງຂໍ້ມູນ, ແລະຮ້ານ app "ເອກະລາດ" ຮັບປະກັນການແຂ່ງຂັນທີ່ຍຸດຕິທໍາ. ບັນທຶກການຕິດຕາມແມ່ນ, ເຮັດໃຫ້ມັນອ່ອນໂຍນ, ຂີ້ຮ້າຍ.
ຄວາມຄິດທີ່ວ່າບໍລິສັດທີ່ແຂ່ງຂັນກັນເພື່ອພັດທະນາແລະນໍາໃຊ້ລະບົບ AI ທີ່ມີປະສິດທິພາບ - ລະບົບທີ່ມີທ່າແຮງໃນການປ່ຽນແປງເສດຖະກິດ, ມີອິດທິພົນຕໍ່ການເລືອກຕັ້ງ, ແລະແມ້ກະທັ້ງການສ້າງຮູບແບບໃຫມ່ຂອງຄວາມສ່ຽງຕໍ່ສັງຄົມ - ສາມາດເຊື່ອຖືໄດ້ເພື່ອກໍານົດແລະບັງຄັບໃຊ້ຄໍາແນະນໍາດ້ານຈັນຍາບັນແລະຄວາມປອດໄພຂອງຕົນເອງແມ່ນໂງ່ທີ່ສຸດ, ແລະບໍ່ມີຄວາມຮັບຜິດຊອບທີ່ຮ້າຍແຮງທີ່ສຸດ. ເຫຼົ່ານີ້ແມ່ນບໍລິສັດທີ່ຂັບເຄື່ອນໂດຍກໍາໄລແລະການຄອບຄອງຕະຫຼາດ. ຫນ້າທີ່ຕົ້ນຕໍຂອງພວກເຂົາແມ່ນຜູ້ຖືຫຸ້ນ, ບໍ່ແມ່ນແນວຄວາມຄິດທີ່ບໍ່ມີຕົວຕົນຂອງຄວາມດີຂອງສາທາລະນະຫຼື AI ດ້ານຈັນຍາບັນ.
"ຂໍ້ຕົກລົງ" ນີ້ແມ່ນໄຊຊະນະທາງດ້ານການເມືອງສໍາລັບການບໍລິຫານ, ອະນຸຍາດໃຫ້ພວກເຂົາອ້າງເອົາການດໍາເນີນການກ່ຽວກັບ AI ໂດຍບໍ່ມີທຸລະກິດທີ່ສັບສົນຂອງນິຕິກໍາຕົວຈິງຫຼືການຄວບຄຸມການຄວບຄຸມ. ມັນຍັງເປັນການຊະນະອັນໃຫຍ່ຫຼວງສໍາລັບ Big Tech, ຊື້ເວລາແລະອິດສະລະພາບໃຫ້ເຂົາເຈົ້າຈາກກົດລະບຽບທີ່ອາດມີພາລະທີ່ອາດເຮັດໃຫ້ການປະດິດສ້າງຂອງພວກເຂົາຊ້າລົງຫຼືຜົນກະທົບຕໍ່ເສັ້ນທາງລຸ່ມຂອງພວກເຂົາ. ແຕ່ສໍາລັບສ່ວນທີ່ເຫຼືອຂອງພວກເຮົາ - ສໍາລັບຜູ້ຊ່ຽວຊານດ້ານເຕັກໂນໂລຢີກໍ່ສ້າງລະບົບເຫຼົ່ານີ້, ສໍາລັບທຸລະກິດທີ່ຈະອີງໃສ່ພວກມັນ, ແລະສໍາລັບສັງຄົມໃນຂະຫນາດໃຫຍ່ - ມັນເປັນແບບຢ່າງທີ່ເປັນອັນຕະລາຍ. ມັນສະແດງເຖິງວິທີການທີ່ມັກໃນການປົກຄອງ AI ທີ່ໃຫ້ຄວາມສຳຄັນຕໍ່ການເປັນເອກະລາດຂອງບໍລິສັດຫຼາຍກວ່າຄວາມປອດໄພ ແລະຄວາມຮັບຜິດຊອບຂອງສາທາລະນະ.
The Disconnect: ການສ້າງພື້ນຖານທີ່ບໍ່ໝັ້ນຄົງ
ນີ້ແມ່ນຄວາມຈິງທີ່ບໍ່ສະບາຍ: ພວກເຮົາພ້ອມໆກັນບໍ່ໄດ້ຮັບປະກັນປະຈຸບັນຂອງພວກເຮົາແລະເປັນອັນຕະລາຍຕໍ່ອະນາຄົດຂອງພວກເຮົາ. ພວກເຮົາກໍາລັງສ້າງລະບົບ AI ທີ່ມີຄວາມຊັບຊ້ອນຫຼາຍກວ່າເກົ່າບົນພື້ນຖານຂອງຄວາມບໍ່ສະຖຽນລະພາບທາງດ້ານດິຈິຕອລ, ບ່ອນທີ່ໂຄງສ້າງພື້ນຖານທີ່ສໍາຄັນຖືກທໍາລາຍຢ່າງເປັນປົກກະຕິໂດຍສັດຕູທີ່ຊັບຊ້ອນ. ຜູ້ນໍາອຸດສາຫະກໍາດຽວກັນທີ່ເບິ່ງຄືວ່າບໍ່ສາມາດປ້ອງກັນບໍ່ໃຫ້ຜະລິດຕະພັນຂອງພວກເຂົາກາຍເປັນການໂຈມຕີທົ່ວໂລກໃນປັດຈຸບັນໄດ້ຖືກຮ້ອງຂໍໃຫ້ "ຕໍາຫຼວດຕົນເອງ" ຜົນກະທົບຕໍ່ຈັນຍາບັນແລະຄວາມປອດໄພຂອງປັນຍາປະດິດທົ່ວໄປ.
ນີ້ບໍ່ພຽງແຕ່ເປັນການຕັດການເຊື່ອມຕໍ່; ມັນເປັນຊ່ອງຫວ່າງອັນເລິກເຊິ່ງ. ໃນຂະນະທີ່ CTOs ແລະວິສະວະກໍານໍາພາ, ພວກເຮົາຖືກຈັບຢູ່ກາງ. ພວກເຮົາຖືກມອບຫມາຍໃຫ້ແກ້ໄຂໄພຂົ່ມຂູ່ທີ່ມີຢູ່ທັນທີທັນໃດເຊັ່ນ Citrix zero-days, ໃນຂະນະທີ່ພ້ອມໆກັນໄດ້ຖືກບອກໃຫ້ກຽມພ້ອມສໍາລັບອະນາຄົດທີ່ຂັບເຄື່ອນດ້ວຍ AI ເຊິ່ງກົດລະບຽບຖືກສ້າງຂື້ນໃນຂະນະທີ່ພວກເຮົາໄປ, ສ່ວນໃຫຍ່ໂດຍຜູ້ຫຼິ້ນເອງ.
ຂໍ້ຕົກລົງ AI ດ້ວຍຄວາມສະໝັກໃຈບໍ່ແມ່ນການແກ້ໄຂ; ມັນເປັນຍຸດທະສາດຊັກຊ້າ. ມັນເລື່ອນຄວາມຮັບຜິດຊອບ, ຮັບປະກັນວ່າເມື່ອການລະເມີດດ້ານຈັນຍາບັນ, ຄວາມລໍາອຽງ, ຫຼືແມ້ກະທັ້ງຄວາມລົ້ມເຫຼວທີ່ຮ້າຍແຮງຂອງ AI ເກີດຂື້ນ, ສາທາລະນະຈະຖືກປະໄວ້ສົງໄສວ່າເປັນຫຍັງບໍ່ມີການຄວບຄຸມທີ່ເຂັ້ມແຂງ, ເປັນເອກະລາດຕັ້ງແຕ່ເລີ່ມຕົ້ນ. ແລະເມື່ອຄວາມລົ້ມເຫລວເຫຼົ່ານັ້ນເກີດຂຶ້ນ, ພວກມັນຈະບໍ່ເປັນທິດສະດີ. ພວກເຂົາຈະເປັນຈິງແລະຄວາມເສຍຫາຍເທົ່າກັບ RCE ໃນ NetScaler ຂອງທ່ານ, ພຽງແຕ່ມີຜົນສະທ້ອນທາງດ້ານສັງຄົມທີ່ກວ້າງກວ່າ.
ພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ຮຽກຮ້ອງໃຫ້ມີຫຼາຍ. ພວກເຮົາຕ້ອງການຄວາມປອດໄພທີ່ແຂງແຮງ, ຕັ້ງໜ້າຈາກຜູ້ຂາຍຂອງພວກເຮົາ, ບໍ່ພຽງແຕ່ການສ້ອມແປງທີ່ມີປະຕິກິລິຍາຫຼັງຈາກຄວາມເປັນຈິງ. ແລະພວກເຮົາຕ້ອງການກົດລະບຽບທີ່ເປັນເອກະລາດຢ່າງແທ້ຈິງສໍາລັບ AI, ບໍ່ພຽງແຕ່ຂໍ້ຕົກລົງການຈັບມືລະຫວ່າງນັກການເມືອງແລະບໍລິສັດ. ເພາະວ່າຖ້າພວກເຮົາບໍ່ສາມາດຮັບປະກັນໂຄງລ່າງພື້ນຖານຂອງພວກເຮົາໄດ້, ພວກເຮົາຈະເຊື່ອໝັ້ນຜູ້ສະຖາປະນິກແນວໃດທີ່ຈະສ້າງອາລະຍະທໍາລຸ້ນຕໍ່ໄປຢ່າງມີຄວາມຮັບຜິດຊອບ? ຄໍາຕອບ, ສໍາລັບໃນປັດຈຸບັນ, ແມ່ນພວກເຮົາບໍ່ສາມາດ.
ແຫຼ່ງຂໍ້ມູນ
[1] CISA ເພີ່ມ Citrix NetScaler ADC ແລະ Gateway Vulnerability (CVE-2023-4966) ໃຫ້ກັບ Catalog ຊ່ອງໂຫວ່ທີ່ຖືກຂູດຮີດທີ່ຮູ້ຈັກ — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] Citrix Security Bulletin ສໍາລັບ CVE-2023-4966 ແລະ CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve6262023 [3] Mandiant: UNC4841 Exploits Citrix NetScaler ADC ແລະ Gateway Zero-Day (CVE-2023-4966) — https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA ເພີ່ມ Citrix NetScaler ADC ແລະ Gateway Vulnerability (CVE-2023-3519) ໃຫ້ກັບ Catalog ຊ່ອງໂຫວ່ທີ່ຖືກຂູດຮີດທີ່ຮູ້ຈັກ — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] ການປັບປຸງສົດ: Trump ເຊັນຂໍ້ຕົກລົງສະຫມັກໃຈກັບຜູ້ນໍາ AI ສໍາລັບເຕັກໂນໂລຢີ ... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026