Тэг өдөр ба тэг хяналт: Хоёр технологийн бодит байдлын үлгэр
Таны SOC багийг нүд нь бүрэлзэж, анивчих улаан дохио руу ширтэж байна гэж төсөөлөөд үз дээ. 2023 оны 10-р сарын 03:00 цаг болж байгаа бөгөөд мэдээ тийм ч таатай биш байна: таны Citrix NetScaler ADC болон Gateway-д хоёр чухал тэг өдөр байна. Энэ нь идэвхтэй ашиглагдаж, алсын кодыг гүйцэтгэх (RCE) -ийг идэвхжүүлж, зэрлэг байгальд тусгай хортой программыг ажигласан. CISA-ийн Мэдэгдэж буй ашиглалтын эмзэг байдлын (KEV) каталог нь эдгээрийг нэмсэн [1, 2, 3, 4]. Энэ бол онолын аюул биш; Энэ бол Хойд Америк болон Европын засгийн газар, санхүү, боловсрол, хууль эрх зүйн салбар дахь аж ахуйн нэгжийн чухал дэд бүтцэд нөлөөлж буй олон улсын хэмжээний чухал үйл явдал юм. Танай багууд цус алдалтыг зогсоохоор чармайж, улайран нөхөж, гамшгийн зөрчил байж болох талаар шүүх эмнэлгийн мөрдөн байцаалтын ажиллагааг эхлүүлж байх хооронд Ерөнхийлөгч Трамп шилдэг технологийн компаниудтай хиймэл оюун ухааныг хөгжүүлэх талаар “сайн дурын тохиролцоо”-нд хүрч, салбарын өөрийгөө хянах амлалт өгсөн [5].
Зэрэгцээ байдал нь огт нийцэхгүй байна. Нэг талаас, бид өнөөгийн дижитал орчны харгис хэрцгий, үгүйсгэх аргагүй бодит байдалтай тулгарч байна: манай орчин үеийн ертөнцийг үндэслэж буй дэд бүтцийн үндсэн сул талуудыг ашиглаж буй боловсронгуй дайснуудын эсрэг байнгын, өндөр эрсдэлтэй тэмцэл. Нөгөөтэйгүүр, хамгийн хувирамтгай, гэхдээ туйлын эргэлзээтэй технологийн ирээдүйг аюулгүй байдлын үндсэн зарчим, ёс суртахууны өөрөө удирдах ёсны асуудалтай тууштай тэмцдэг салбар аюулгүйгээр удирдаж болохыг харуулж буй улс төрийн үзэгдэл.
Citrix сүйрэл: Илүү гүн ялзрах шинж тэмдэг
Тодорхой хэлье: CVE-2023-4966 (Citrix Bleed гэгддэг) болон CVE-2023-3519 зэрэг Citrix тэг өдрүүд нь зөвхөн "өөр нэг эмзэг байдал" биш юм. Эдгээр нь өгөгдлийн төвийн яаралтай хямралыг илэрхийлдэг бөгөөд шууд, тасралтгүй довтолгооны кампанит ажил бөгөөд нэн даруй, бүх талын хариу арга хэмжээ авахыг шаарддаг [1, 2, 3, 4]. ADC эсвэл Gateway дээр алсын зайнаас код гүйцэтгэх нь нээлттэй үлдсэн чухал хандалтын цэгийн дижитал тэнцүү юм. Энэ нь зөвхөн засварын тухай биш юм; Энэ нь манай байгууллагын архитектурын тогтолцооны эмзэг байдлын тухай юм.
Олон жилийн турш бид үндсэн дэд бүтцэд чухал ач холбогдолтой цөөн хэдэн үйлдвэрлэгчдэд түшиглэн нарийн төвөгтэй, харилцан уялдаатай системийг барьсан. Citrix нь бусад олон хүмүүсийн нэгэн адил чухал үйлчилгээ үзүүлдэг боловч төвлөрсөн байдал нь асар их эрсдэлтэй байдаг. NetScaler гэх мэт үндсэн бүрэлдэхүүн хэсэг нь тэг өдрийн түвшинд эвдэрсэн үед долгионы нөлөө нь аймшигтай юм. Энэ нь хэчнээн бат бөх байх ёстой байсан ч нэг л бүтэлгүйтлийн цэг дээр найдах төрөлхийн дутагдлыг илчилдэг. "Шууд нөхөх" заавар нь шаардлагатай хэдий ч системийн асуудлыг арилгах өнгөцхөн арга мэт санагддаг. Энэ нь үндсэн асуудлуудыг шийддэггүй: эмзэг байдлыг бий болгодог нарийн төвөгтэй байдал, зарим үйлдвэрлэгчдийн аюулгүй байдлын шинэчлэлтийн удаашрал, периметрийг хамгийн чухал цэгт нь зөрчихөд бүтэлгүйтдэг гүн гүнзгий хамгаалалтын стратеги.
Энэ бол зөвхөн техникийн асуудал биш; Энэ бол бизнесийн тасралтгүй байдлын хар дарсан зүүд юм. Мэдээллийн зөрчил, үйл ажиллагааны тасалдал, зохицуулалтын торгууль, нэр хүндэд хохирол учруулах - зардал нь одон орны тоо юм. Тэгээд юуны төлөө? Сүлжээг үр ашигтай ажиллуулахын тулд? Бид тав тухтай байдал, үр ашигтай байдлын төлөө өндөр үнийг төлж байна, энэ үнэ нь техникийн ерөнхий менежерүүд болон аюулгүй байдлын багуудад нойргүй хонох, магадгүй олон нийтийн итгэлийг алдахад хүргэдэг. Эдгээрийг идэвхтэй ашигладаг тэг өдөр, захиалгат хортой программ ашигладаг нь эдгээр нь скрипт хүүхдүүд биш гэдгийг бидэнд харуулж байна. Эдгээр нь өндөр үнэ цэнэтэй хөрөнгийг чиглүүлдэг, нөөц сайтай, байнгын аюул заналхийлэгчид юм [3]. Хэрэв бид одоо байгаа дижитал ертөнцийнхөө суурь давхаргыг баталгаажуулж чадахгүй бол экспоненциалаар илүү төвөгтэй ирээдүйд бидэнд ямар найдвар байна вэ?
AI-ийн зэрлэг Баруун: Аюулгүй байдлыг хангахын тулд хувийн ашиг сонирхолд итгэх нь
Ирээдүйн тухай ярихдаа хиймэл оюун ухааны "өөрийгөө хянах" хэлэлцээрт анхаарлаа хандуулцгаая. Ерөнхийлөгч Трампын мэдэгдэл нь хэдийгээр улс төрийн ач холбогдолтой ч хариуцлагын тогтолцооноос зайлсхийж буйн сурах бичгийн жишээ юм [5]. "Сайн дурын" болон "өөрийгөө цагдаа" гэдэг нь сүүлийн хорин жилийн хугацаанд технологийн салбарын үйл ажиллагааг харсан хэн бүхэнд айдас төрүүлэх ёстой нэр томъёо юм. Бид энэ хэв маягийг өмнө нь ажиглаж байсан, тийм үү? Сошиал медиа компаниуд үзэн ядсан яриаг "сайн дураараа", хайлтын системүүд мэдээллийн нууцлалыг "өөрийгөө зохицуулах", апп дэлгүүрүүд нь "бие даасан байдлаар" шударга өрсөлдөөнийг баталгаажуулдаг. Түүхийн амжилт нь зөөлрүүлбэл гашуун юм.
Эдийн засгийг өөрчлөх, сонгуульд нөлөөлөх, тэр байтугай нийгмийн эрсдэлийн шинэ хэлбэрийг бий болгох чадвартай хүчирхэг хиймэл оюун ухааны системийг хөгжүүлж, ашиглахаар уралдаж буй компаниуд өөрсдийн ёс зүй, аюулгүй байдлын удирдамжийг тогтоож, мөрдүүлнэ гэдэгт итгэж болно гэсэн санаа нь хамгийн сайндаа гэнэн, хамгийн муудаа бол аюултай хариуцлагагүй явдал юм. Эдгээр нь ашиг, зах зээлийн ноёрхлоор удирддаг корпорациуд юм. Тэдний итгэлийн үндсэн үүрэг бол нийтийн сайн сайхны болон ёс зүйн хиймэл оюун ухаан гэсэн хийсвэр ойлголт биш харин хувьцаа эзэмшигчдийн өмнө байдаг.
Энэхүү "зөвшилцөл" нь засаг захиргааны хувьд улс төрийн ялалт бөгөөд тэдэнд бодит хууль тогтоомж, зохицуулалтын хяналт шалгалтгүйгээр хиймэл оюун ухаантай холбоотой арга хэмжээ авахыг шаардах боломжийг олгодог. Энэ нь мөн Big Tech-ийн хувьд асар их ялалт бөгөөд тэдэнд цаг хугацаа, инновацийг удаашруулж, ашиг орлогод нь нөлөөлж болзошгүй дарамттай зохицуулалтаас ангид байх болно. Гэхдээ бидний бусад хүмүүсийн хувьд - эдгээр системийг бий болгож буй технологийн мэргэжилтнүүд, тэдгээрт найдах бизнес эрхлэгчид, бүхэлдээ нийгэмд энэ нь аюултай жишиг юм. Энэ нь олон нийтийн аюулгүй байдал, хариуцлагаас илүү компанийн бие даасан байдлыг чухалчилдаг хиймэл оюун ухааны засаглалыг илүүд үздэг хандлагыг харуулж байна.
Салгах: Тогтворгүй суурь дээр тулгуурлах
Энд эвгүй үнэн байна: бид нэгэн зэрэг өнөөгөө баталгаажуулж чадахгүй, ирээдүйгээ аюултайгаар буруу удирдаж байна. Нарийвчилсан дайснууд чухал дэд бүтцийг байнга эвдэж байдаг дижитал тогтворгүй байдлын суурин дээр бид улам боловсронгуй хиймэл оюун ухааны системийг барьж байна. Бүтээгдэхүүнээ дэлхийн халдлага болохоос сэргийлж чадахгүй байгаа салбарын тэргүүлэгчдээс одоо ерөнхий хиймэл оюун ухааны ёс зүй, аюулгүй байдлын үр дагаврыг "өөрийгөө цагдаа" хийхийг шаардаж байна.
Энэ бол зүгээр л салгах биш; энэ бол гүнзгий цоорхой юм. Техникийн ерөнхий менежерүүд болон инженерүүд тэргүүлж байгаа тул бид дунд нь баригдсан. Бидэнд Citrix 0-days гэх мэт яаралтай, оршин тогтнох аюул заналхийллийг арилгах үүрэг хүлээсэн бөгөөд үүний зэрэгцээ дүрмүүдийг тоглогчид өөрсдөө бүрдүүлдэг хиймэл оюун ухаанд суурилсан ирээдүйд бэлтгэхийг нэгэн зэрэг хэлж байна.
Сайн дурын хиймэл оюун ухааны хэлэлцээр нь шийдэл биш юм; энэ бол хойшлуулах тактик юм. Энэ нь хариуцлагыг хойшлуулж, хиймэл оюун ухаанд зайлшгүй ёс суртахууны зөрчил, өрөөсгөл хандлага, тэр ч байтугай гамшигт бүтэлгүйтэл тохиолдоход олон нийт яагаад анхнаасаа хатуу, бие даасан хяналт байгаагүй юм бэ гэж гайхах болно. Мөн эдгээр бүтэлгүйтэлүүд тохиолдоход онолын хувьд байхгүй болно. Эдгээр нь таны NetScaler дээрх RCE шиг бодит бөгөөд хор хөнөөлтэй байх бөгөөд зөвхөн нийгэмд илүү өргөн хүрээтэй үр дагавартай байх болно.
Бид илүү ихийг шаардах хэрэгтэй. Бидэнд зөвхөн реактив засварууд биш үйлдвэрлэгчдийнхээ бат бөх, идэвхтэй хамгаалалт хэрэгтэй. Улс төрчид болон корпорациудын хооронд гар барих гэрээ биш харин хиймэл оюун ухаанд бие даасан, жинхэнэ зохицуулалт хэрэгтэй. Учир нь бид үндсэн дэд бүтцээ баталгаажуулж чадахгүй юм бол дараачийн үеийн соёл иргэншлийг хариуцлагатайгаар бүтээнэ гэж архитекторуудад яаж итгэх юм бэ? Хариулт нь одоогоор бид чадахгүй.
Эх сурвалж
[1] CISA нь Citrix NetScaler ADC болон Gateway-ийн эмзэг байдлыг (CVE-2023-4966) Мэдэгдэж байгаа ашиглалтын эмзэг байдлын каталогид нэмсэн — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] CVE-2023-4966 болон CVE-2023-4967-д зориулсан Citrix Security Bulletin — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967 [3] Mandiant: UNC4841 нь Citrix NetScaler ADC болон Gateway Zero-Day (CVE-2023-4966) -ийг ашигладаг - https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA нь Citrix NetScaler ADC болон Gateway-ийн эмзэг байдлыг (CVE-2023-3519) Мэдэгдэж буй ашиглалтын эмзэг байдлын каталогид нэмсэн — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] Шууд мэдээ: Трамп хиймэл оюун ухааны удирдагчидтай технологийн чиглэлээр сайн дурын гэрээнд гарын үсэг зурав ... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026