Zero-Days และ Zero Oversight: เรื่องราวของความเป็นจริงทางเทคโนโลยีสองประการ
ลองนึกภาพทีม SOC ของคุณที่มีตาพร่ามัว จ้องมองการแจ้งเตือนสีแดงที่กะพริบ เป็นเวลาตี 3 ในเดือนตุลาคม 2023 และข่าวไม่ดี: สองศูนย์วันสำคัญใน Citrix NetScaler ADC และเกตเวย์ของคุณ ถูกโจมตีอย่างแข็งขัน ทำให้เปิดใช้งาน Remote Code Execution (RCE) โดยมีมัลแวร์แบบกำหนดเองที่ตรวจพบในป่า แค็ตตาล็อก CISA Known Exploited Vulnerabilities (KEV) เพิ่งเพิ่ม [1, 2, 3, 4] นี่ไม่ใช่ภัยคุกคามทางทฤษฎี นี่เป็นเหตุการณ์สำคัญระดับนานาชาติที่ส่งผลกระทบต่อโครงสร้างพื้นฐานขององค์กรที่สำคัญทั่วทั้งภาครัฐ การเงิน การศึกษา และกฎหมายในอเมริกาเหนือและยุโรป ในขณะที่ทีมของคุณกำลังแย่งชิงเพื่อควบคุมการตกเลือด ทำการปะทุอย่างดุเดือด และเริ่มการสืบสวนทางนิติวิทยาศาสตร์เกี่ยวกับสิ่งที่อาจเป็นการละเมิดร้ายแรง หัวข้อข่าวอีกเรื่องหนึ่งก็ตกไป: ประธานาธิบดีทรัมป์ได้รับ "ข้อตกลงโดยสมัครใจ" กับบริษัทเทคโนโลยีชั้นนำเพื่อการพัฒนา AI โดยมีแนวโน้มว่าจะมีการรักษาตนเองในอุตสาหกรรม [5]
การตีข่าวไม่สอดคล้องกันโดยสิ้นเชิง ในด้านหนึ่ง เราเผชิญหน้ากับความจริงที่โหดร้ายและไม่อาจปฏิเสธได้ในสภาพแวดล้อมดิจิทัลในปัจจุบันของเรา นั่นคือการต่อสู้ที่มีเดิมพันสูงอย่างต่อเนื่องกับศัตรูที่มีความซับซ้อน ซึ่งใช้ประโยชน์จากจุดอ่อนพื้นฐานในโครงสร้างพื้นฐานที่เป็นรากฐานของโลกสมัยใหม่ของเรา อีกด้านหนึ่ง ปรากฏการณ์ทางการเมืองที่ชี้ให้เห็นว่าอนาคตของเทคโนโลยีที่มีการเปลี่ยนแปลงมากที่สุดแต่มีความไม่แน่นอนอย่างลึกซึ้งสามารถได้รับการจัดการอย่างปลอดภัยโดยอุตสาหกรรมเดียวกันที่ต้องดิ้นรนอย่างต่อเนื่องกับความปลอดภัยขั้นพื้นฐานและการกำกับดูแลตนเองตามหลักจริยธรรม
ภัยพิบัติ Citrix: อาการเน่าเปื่อยที่ลึกยิ่งขึ้น
ขอให้ชัดเจน: Citrix Zero-Day เช่น CVE-2023-4966 (รู้จักกันในชื่อ Citrix Bleed) และ CVE-2023-3519 ไม่ใช่แค่ "ช่องโหว่อื่น" สิ่งเหล่านี้แสดงถึงวิกฤตเร่งด่วนในศูนย์ข้อมูล ซึ่งเป็นแคมเปญการโจมตีโดยตรงและต่อเนื่องที่ต้องการการตอบสนองทันทีจากทุกด้าน [1, 2, 3, 4] การเรียกใช้โค้ดจากระยะไกลบน ADC หรือเกตเวย์นั้นเทียบเท่ากับดิจิทัลของจุดเชื่อมต่อที่สำคัญที่ถูกเปิดเผย นี่ไม่ใช่แค่การแพตช์เท่านั้น มันเกี่ยวกับความเปราะบางของระบบของสถาปัตยกรรมองค์กรของเรา
เป็นเวลาหลายปีมาแล้วที่เราได้สร้างระบบที่ซับซ้อนและเชื่อมต่อถึงกัน ซึ่งมักจะอาศัยผู้จำหน่ายที่สำคัญเพียงไม่กี่รายสำหรับโครงสร้างพื้นฐานหลัก เช่นเดียวกับบริษัทอื่นๆ Citrix ให้บริการที่จำเป็น แต่การที่ความเป็นศูนย์กลางดังกล่าวนำมาซึ่งความเสี่ยงอันใหญ่หลวง เมื่อองค์ประกอบพื้นฐานเช่น NetScaler ถูกทำลายในระดับ Zero-day ผลกระทบจากระลอกคลื่นจะส่งผลร้ายแรง มันเผยให้เห็นข้อบกพร่องโดยธรรมชาติจากการอาศัยจุดล้มเหลวเพียงจุดเดียว ไม่ว่า ควรจะ จะแข็งแกร่งแค่ไหนก็ตาม คำสั่ง "แก้ไขทันที" แม้ว่าจำเป็น แต่ก็ให้ความรู้สึกเหมือนเป็นวิธีแก้ปัญหาแบบผิวเผินสำหรับปัญหาเชิงระบบ ไม่ได้แก้ไขปัญหาพื้นฐาน: ความซับซ้อนที่ทำให้เกิดช่องโหว่ การอัปเดตความปลอดภัยที่ช้าจากผู้ขายบางราย และกลยุทธ์การป้องกันเชิงลึกที่มักจะไม่เพียงพอซึ่งล้มเหลวเมื่อขอบเขตถูกละเมิดที่จุดที่สำคัญที่สุด
นี่ไม่ใช่แค่ปัญหาทางเทคนิคเท่านั้น มันเป็นฝันร้ายของความต่อเนื่องทางธุรกิจ การละเมิดข้อมูล การหยุดชะงักในการปฏิบัติงาน ค่าปรับตามกฎระเบียบ ความเสียหายต่อชื่อเสียง - ค่าใช้จ่ายนั้นมหาศาล และเพื่ออะไร? เพื่อใช้งานเครือข่ายอย่างมีประสิทธิภาพ? เรากำลังจ่ายราคาที่สูงลิ่วเพื่อความสะดวกและประสิทธิภาพในการรับรู้ ซึ่งเป็นราคาที่วัดในคืนนอนไม่หลับสำหรับ CTO และทีมรักษาความปลอดภัย และอาจส่งผลกระทบต่อความไว้วางใจของสาธารณะ ความจริงที่ว่าสิ่งเหล่านี้ ถูกโจมตีอย่างแข็งขัน แบบศูนย์วัน โดยใช้ มัลแวร์ที่กำหนดเอง บอกเราว่าสิ่งเหล่านี้ไม่ใช่เด็กสคริปต์ สิ่งเหล่านี้เป็นตัวคุกคามที่มีทรัพยากรเพียงพอและต่อเนื่องโดยมุ่งเป้าไปที่สินทรัพย์ที่มีมูลค่าสูง [3] หากเราไม่สามารถรักษาชั้นรากฐานของโลกดิจิทัลที่มีอยู่ได้ เราจะมีความหวังอะไรสำหรับอนาคตที่ซับซ้อนยิ่งขึ้นแบบทวีคูณ
Wild West ของ AI: การเชื่อมั่นในผลประโยชน์ของตนเองเพื่อกำหนดความปลอดภัย
และเมื่อพูดถึงอนาคตนั้น เรามาดูข้อตกลง "การรักษาตนเอง" ของ AI กันดีกว่า การประกาศของประธานาธิบดีทรัมป์ แม้จะมีความสำคัญทางการเมือง แต่ก็เป็นตัวอย่างของการหลีกเลี่ยงความรับผิดชอบ [5] "ความสมัครใจ" และ "การดูแลตนเอง" เป็นคำที่อาจก่อให้เกิดความวิตกในใครก็ตามที่เคยดูการดำเนินงานของอุตสาหกรรมเทคโนโลยีในช่วงสองทศวรรษที่ผ่านมา เราเคยสังเกตรูปแบบนี้มาก่อนแล้วใช่ไหม? บริษัทโซเชียลมีเดีย "สมัครใจ" ในการตรวจสอบคำพูดแสดงความเกลียดชัง เครื่องมือค้นหา "ควบคุมตนเอง" ความเป็นส่วนตัวของข้อมูล และร้านค้าแอป "อย่างอิสระ" เพื่อให้มั่นใจว่ามีการแข่งขันที่ยุติธรรม ประวัติความเป็นมาคือการกล่าวอย่างอ่อนโยนและสุดซึ้ง
แนวคิดที่ว่าบริษัทต่างๆ ที่เร่งรีบในการพัฒนาและปรับใช้ระบบ AI ที่ทรงพลัง ซึ่งเป็นระบบที่มีศักยภาพในการเปลี่ยนแปลงเศรษฐกิจ มีอิทธิพลต่อการเลือกตั้ง และแม้แต่สร้างความเสี่ยงทางสังคมรูปแบบใหม่ สามารถเชื่อถือได้ในการกำหนดและบังคับใช้แนวทางด้านจริยธรรมและความปลอดภัยของตนเองนั้น ถือเป็นแนวคิดที่ไร้เดียงสาที่สุด และขาดความรับผิดชอบอย่างเป็นอันตรายในช่วงที่เลวร้ายที่สุด เหล่านี้คือองค์กรที่ขับเคลื่อนด้วยผลกำไรและการครอบงำตลาด หน้าที่ที่ได้รับความไว้วางใจหลักของพวกเขาคือต่อผู้ถือหุ้น ไม่ใช่ต่อแนวคิดนามธรรมเกี่ยวกับประโยชน์สาธารณะหรือ AI ที่มีจริยธรรม
"ข้อตกลง" นี้เป็นชัยชนะทางการเมืองสำหรับฝ่ายบริหาร ทำให้พวกเขาสามารถเรียกร้องการดำเนินการกับ AI ได้โดยไม่ต้องยุ่งวุ่นวายกับการออกกฎหมายหรือการกำกับดูแลตามกฎระเบียบจริง นอกจากนี้ยังเป็นชัยชนะครั้งใหญ่สำหรับ Big Tech โดยซื้อเวลาและอิสระจากกฎระเบียบที่อาจสร้างภาระซึ่งอาจชะลอการสร้างสรรค์นวัตกรรมหรือส่งผลกระทบต่อผลกำไร แต่สำหรับพวกเราที่เหลือ สำหรับผู้เชี่ยวชาญด้านเทคโนโลยีที่สร้างระบบเหล่านี้ สำหรับธุรกิจที่ต้องพึ่งพาระบบเหล่านี้ และสำหรับสังคมโดยรวม นี่เป็นตัวอย่างที่อันตราย โดยเป็นการส่งสัญญาณถึงแนวทางที่ต้องการในการกำกับดูแล AI ซึ่งให้ความสำคัญกับความเป็นอิสระขององค์กรมากกว่าความปลอดภัยสาธารณะและความรับผิดชอบ
การตัดการเชื่อมต่อ: การสร้างรากฐานที่ไม่มั่นคง
นี่คือความจริงที่น่าอึดอัด: เรากำลังล้มเหลวในการรักษาปัจจุบันของเราและจัดการอนาคตของเราอย่างผิดพลาดไปพร้อม ๆ กัน เรากำลังสร้างระบบ AI ที่ซับซ้อนยิ่งขึ้นบนพื้นฐานของความไม่เสถียรทางดิจิทัล ซึ่งโครงสร้างพื้นฐานที่สำคัญมักถูกโจมตีโดยฝ่ายตรงข้ามที่มีความซับซ้อนเป็นประจำ ผู้นำในอุตสาหกรรมกลุ่มเดียวกันที่ดูเหมือนจะไม่สามารถป้องกันไม่ให้ผลิตภัณฑ์ของตนกลายเป็นพาหะการโจมตีระดับโลกได้ กำลังถูกขอให้ "ตรวจตราตนเอง" ถึงผลกระทบทางจริยธรรมและความปลอดภัยของปัญญาประดิษฐ์ทั่วไป
นี่ไม่ใช่แค่การตัดการเชื่อมต่อเท่านั้น มันเป็นช่องว่างที่ลึกซึ้ง ในฐานะ CTO และหัวหน้าฝ่ายวิศวกรรม เราติดอยู่ตรงกลาง เราได้รับมอบหมายให้แก้ไขภัยคุกคามที่มีอยู่ทันที เช่น Citrix ซีโร่เดย์ ขณะเดียวกันก็ได้รับคำสั่งให้เตรียมพร้อมสำหรับอนาคตที่ขับเคลื่อนด้วย AI ซึ่งกฎเกณฑ์จะถูกสร้างขึ้นเมื่อเราดำเนินการ ซึ่งส่วนใหญ่โดยผู้เล่นเอง
ข้อตกลง AI โดยสมัครใจไม่ใช่วิธีแก้ปัญหา มันเป็นกลยุทธ์การดีเลย์ โดยจะเลื่อนความรับผิดชอบออกไป เพื่อให้มั่นใจว่าเมื่อมีการละเมิดหลักจริยธรรม อคติ หรือแม้แต่ความล้มเหลวร้ายแรงของ AI ที่หลีกเลี่ยงไม่ได้เกิดขึ้น ประชาชนจะถูกทิ้งให้สงสัยว่าเหตุใดจึงไม่มีการควบคุมดูแลที่เข้มแข็งและเป็นอิสระตั้งแต่เริ่มต้น และเมื่อความล้มเหลวเหล่านั้นเกิดขึ้น มันก็จะไม่เป็นไปตามทฤษฎี สิ่งเหล่านี้จะเป็นของจริงและสร้างความเสียหายได้พอ ๆ กับ RCE บน NetScaler ของคุณ เพียงแต่อาจมีผลกระทบต่อสังคมในวงกว้างมากขึ้นเท่านั้น
เราจำเป็นต้องเรียกร้องมากขึ้น เราต้องการการรักษาความปลอดภัยเชิงรุกที่แข็งแกร่งจากผู้ขายของเรา ไม่ใช่แค่แพทช์ที่ตอบสนองตามความเป็นจริงเท่านั้น และเราต้องการกฎระเบียบที่เป็นอิสระและแท้จริงสำหรับ AI ไม่ใช่แค่ข้อตกลงจับมือกันระหว่างนักการเมืองและองค์กรต่างๆ เพราะหากเราไม่สามารถรักษาความปลอดภัยโครงสร้างพื้นฐานหลักของเราได้ เราจะไว้วางใจสถาปนิกในการสร้างอารยธรรมรุ่นต่อไปอย่างมีความรับผิดชอบได้อย่างไร คำตอบสำหรับตอนนี้คือเราทำไม่ได้
แหล่งที่มา
[1] CISA เพิ่ม Citrix NetScaler ADC และช่องโหว่ของเกตเวย์ (CVE-2023-4966) ลงในแค็ตตาล็อกช่องโหว่ที่ทราบแล้ว — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] ประกาศความปลอดภัยของ Citrix สำหรับ CVE-2023-4966 และ CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967 [3] Mandiant: UNC4841 ใช้ประโยชน์จาก Citrix NetScaler ADC และ Gateway Zero-Day (CVE-2023-4966) — https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA เพิ่ม Citrix NetScaler ADC และช่องโหว่ของเกตเวย์ (CVE-2023-3519) ลงในแค็ตตาล็อกช่องโหว่ที่ทราบแล้ว — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] การอัปเดตสด: ทรัมป์ลงนามความสมัครใจกับผู้นำ AI สำหรับเทคโนโลยี ... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026