Tình trạng khẩn cấp thường trực: Khi “nghiêm trọng” trở thành tiếng ồn trắng
Nếu tổ chức của bạn vẫn đang chạy các ADC hoặc Gateway Citrix NetScaler chưa được vá vào mùa thu năm ngoái, thì bạn không chỉ đang gặp rủi ro; bạn đã tích cực mời gọi thảm họa. Cảnh báo khẩn cấp của CISA về lỗ hổng zero-day quan trọng, CVE-2023-4966, được biết đến rộng rãi với tên gọi "Citrix Bleed", không phải là một bài tập mang tính lý thuyết trong quản lý rủi ro [1, 2]. Đó là một cảnh báo rõ ràng, một sự xác nhận trực tiếp rằng những kẻ tấn công đã ở trong mạng của những người trì hoãn việc vá lỗi. Ngày 27 tháng 10 năm 2023, thời hạn để các cơ quan liên bang vá lỗi, theo Chỉ thị Khẩn cấp 23-02 của CISA, đã đến rồi đi [3]. Nếu các thực thể liên bang, với nguồn lực dồi dào và đội ngũ an ninh tận tâm, phải đối mặt với những thách thức trong việc đạt được các mục tiêu như vậy, thì điều đó sẽ làm nổi bật áp lực to lớn đối với những người khác.
Đây không chỉ là về một lỗi khó chịu duy nhất. Đây là sự thất bại mang tính hệ thống trong việc nắm bắt được tầm quan trọng của “cơ sở hạ tầng quan trọng” trong thời đại kỹ thuật số. Các thiết bị NetScaler tương đương với kỹ thuật số của lối vào chính tòa nhà của bạn, điểm kiểm tra an ninh và hệ thống HVAC, tất cả đều được hợp nhất thành một. Họ ngồi ở vành đai, xử lý xác thực, cân bằng tải và quản lý lưu lượng. RCE (Thực thi mã từ xa) trên thiết bị như vậy không chỉ là hành vi vi phạm; đó là sự tiếp quản toàn bộ hệ thống, một chìa khóa chính được trao trực tiếp cho kẻ thù. Chúng ta đang nói về loại quyền truy cập cho phép kẻ tấn công dễ dàng xâm nhập vào mạng nội bộ, lấy cắp dữ liệu nhạy cảm hoặc triển khai phần mềm tống tiền với độ chính xác cao. Thực tế là CVE-2023-4966 đã được khai thác tích cực, hiện được ghi trong danh mục KEV của CISA, có nghĩa là cơ hội phòng thủ chủ động đã nhanh chóng đóng lại [1]. Các tổ chức không còn ngăn chặn một cuộc tấn công nữa; họ đang giảm nhẹ một sự cố đang diễn ra.
Trình duyệt là vành đai mới: Chu kỳ dễ bị tổn thương vô tận của Chrome
Và ngay khi bạn nghĩ chu vi mạng của mình là thứ duy nhất bị bao vây, Google thường xuyên thông báo một tin chấn động khác: khai thác tích cực các lỗ hổng zero-day trong Chrome. Ví dụ: CVE-2024-4947, một lỗ hổng gây nhầm lẫn nghiêm trọng loại V8, chỉ là một trong số các lỗ hổng bị khai thác tích cực đã được vá năm nay [4]. Đây không phải là một sự may mắn; đó là một mô hình nhất quán. Mỗi bản vá mới, thường đi kèm với lời kêu gọi khẩn cấp "cập nhật ngay lập tức", nêu bật một hướng thỏa hiệp khác nhau nhưng không kém phần xảo quyệt. Trong khi NetScaler bảo vệ các cổng, Chrome là điểm truy cập phổ biến trong túi của mọi nhân viên, trên mọi máy trạm và trong mọi máy tính để bàn ảo dựa trên đám mây.
Trong nhiều năm, chúng tôi đã nhấn mạnh đến vấn đề bảo mật điểm cuối, nhưng tốc độ nhanh chóng của các lỗ hổng zero-day trên Chrome khiến chúng tôi có cảm giác như chúng tôi đang không ngừng nỗ lực để theo kịp. Mỗi lỗ hổng này thể hiện một cuộc tấn công từng ổ tiềm ẩn, một trang web độc hại hoặc một mạng quảng cáo bị xâm nhập có khả năng thực thi mã tùy ý trên máy của người dùng. Từ đó, chỉ còn một bước ngắn nữa là đánh cắp thông tin xác thực, di chuyển ngang hoặc triển khai phần mềm độc hại phức tạp hơn. Nói rộng ra, "trình duyệt web phổ biến nhất thế giới" cũng là bề mặt tấn công phổ biến nhất thế giới.
Ảo tưởng về khả năng kiểm soát: Tại sao chúng ta cứ bị tụt lại phía sau
Vậy chủ đề chung ở đây là gì? Đây không chỉ là những lỗ hổng "nghiêm trọng". Đó là bản chất có thể dự đoán được, gần như mang tính nghi thức của việc khám phá và khai thác chúng. Chúng ta luôn rơi vào tình trạng khẩn cấp, trong đó "bản vá khẩn cấp" đã trở thành chế độ hoạt động mặc định chứ không phải là một ngoại lệ.
Tại sao?
- Nợ phức tạp: Cả NetScaler và Chrome đều là những phần mềm cực kỳ phức tạp. NetScaler, với vô số tính năng và tích hợp, thể hiện một bề mặt tấn công rộng lớn. Chrome, với công cụ JavaScript (V8), công cụ kết xuất và các tính năng bổ sung liên tục, là mục tiêu di động của các nhà nghiên cứu bảo mật cũng như những kẻ tấn công. Sự phức tạp sẽ sinh ra lỗi và lỗi chắc chắn sẽ dẫn đến lỗ hổng.
- Lợi thế của kẻ tấn công: Các quốc gia và các nhóm tội phạm tinh vi không chờ đợi thông tin được tiết lộ công khai. Họ đang tích cực săn lùng những sai sót này, thường bằng những nguồn lực đáng kể. Một khi được tìm thấy, zero-day là một tấm vé vàng, được khai thác một cách lặng lẽ cho đến khi một bản vá buộc họ phải ra tay. Thực tế là những thứ này được khai thác tích cực có nghĩa là đối thủ đã đi trước.
- Tê liệt việc vá lỗi: Đối với cơ sở hạ tầng quan trọng như NetScaler, việc vá lỗi thường đồng nghĩa với việc ngừng hoạt động, lập kế hoạch cẩn thận và phối hợp giữa nhiều nhóm. Ở các doanh nghiệp lớn, đây có thể là cơn ác mộng về quan liêu. Đối với Chrome, việc này đơn giản hơn nhưng vẫn dựa vào sự tuân thủ của người dùng hoặc khả năng quản lý tập trung mạnh mẽ. Tâm lý “đặt nó và quên nó đi”, hay tệ hơn, cách tiếp cận “chúng ta sẽ hoàn thành nó vào quý tiếp theo”, là một công thức để thỏa hiệp. Thời hạn CISA cho NetScaler, hiện đã qua, là một lời nhắc nhở rõ ràng về sức ì này.
- Bảo mật như một suy nghĩ lại: Bất chấp mọi lời hoa mỹ, bảo mật vẫn thường được coi là trung tâm chi phí, trở ngại cho sự đổi mới hoặc một vấn đề cần giải quyết sau một vi phạm. Việc đầu tư vào việc chủ động săn tìm mối đe dọa, quản lý lỗ hổng mạnh mẽ và đào tạo về bảo mật liên tục thường không là gì so với hoạt động tranh giành phản ứng sau sự cố.
Ngoài bản vá: Lời kêu gọi đại tu chiến lược
Việc chỉ yêu cầu một tổ chức "sửa chữa ngay lập tức" cũng giống như yêu cầu ai đó đang vật lộn ở vùng nước sâu "bơi chăm chỉ hơn". Điều đó là cần thiết nhưng nó không giải quyết được vấn đề cơ bản. Chúng ta cần một sự thay đổi cơ bản trong cách chúng ta tiếp cận vấn đề bảo mật.
- Giả sử thỏa hiệp: Mô hình phòng thủ chu vi cũ đã lỗi thời. Giả sử NetScaler của bạn đã bị vi phạm. Giả sử trình duyệt Chrome của người dùng của bạn sẽ bị khai thác. Triển khai phân đoạn mạng mạnh mẽ, quyền truy cập ít đặc quyền nhất và giám sát liên tục các hoạt động bất thường. Săn lùng mối đe dọa không phải là một điều xa xỉ; đó là một điều cần thiết. Hãy tìm những dấu hiệu tinh tế: các kết nối gửi đi bất thường từ NetScaler của bạn, tài khoản người dùng mới, quá trình thực thi quy trình không mong muốn.
- Tự động hóa mọi thứ có thể: Việc quản lý bản vá cho các điểm cuối như Chrome phải được thực thi và tự động hóa hoàn toàn. Đối với cơ sở hạ tầng quan trọng như NetScaler, mặc dù phức tạp hơn nhưng quy trình này cần được sắp xếp hợp lý, thử nghiệm và luyện tập. Thời gian ngừng hoạt động để cập nhật bảo mật phải được lên kế hoạch và chấp nhận như một chi phí kinh doanh chứ không phải tránh bằng mọi giá.
- Đầu tư vào khả năng phục hồi, không chỉ phòng ngừa: Các kế hoạch ứng phó sự cố cần được thử nghiệm thực tế. Bạn có thể phát hiện vi phạm một cách nhanh chóng? Bạn có thể chứa nó? Bạn có thể phục hồi mà không phải trả tiền chuộc? Đây là những câu hỏi quan trọng khi việc phòng ngừa chắc chắn thất bại.
- Nhu cầu tốt hơn từ các nhà cung cấp: Trong khi Google đang vá lỗi, số lượng lớn các lỗi không có ngày trong Chrome cho thấy cần có những đánh giá kiến trúc sâu hơn và có lẽ là một chương trình thưởng lỗi nội bộ tích cực hơn. Đối với các nhà cung cấp cơ sở hạ tầng quan trọng như Citrix, kỳ vọng còn cao hơn nữa. Sản phẩm của họ thực sự là xương sống của hoạt động doanh nghiệp.
Thực tế là đây không phải là những sự cố riêng lẻ. Chúng là triệu chứng của một hệ sinh thái kỹ thuật số đang bị tấn công liên tục và tinh vi. Các cảnh báo "nghiêm trọng" sẽ tiếp tục xuất hiện. Câu hỏi không phải là liệu tổ chức của bạn có bị nhắm mục tiêu hay không mà là khi nào và liệu bạn đã vượt qua được cuộc tranh giành phản ứng để xây dựng một hệ thống phòng thủ thực sự kiên cường hay chưa. Nếu thời hạn CISA đã thông qua cho NetScaler không thúc đẩy chiến lược bảo mật của bạn thì đã đến lúc phải đánh giá lại một cách nghiêm túc.
Nguồn
[1] Danh mục các lỗ hổng bị khai thác đã biết của CISA - https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Các tác nhân đe dọa khai thác lỗ hổng Citrix NetScaler ADC và Citrix NetScaler Gateway (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] Chỉ thị khẩn cấp 23-02: Giảm thiểu lỗ hổng Citrix NetScaler ADC và Gateway — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Cập nhật kênh ổn định cho máy tính để bàn (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Bản tin bảo mật cổng Citrix NetScaler ADC và Citrix NetScaler cho CVE-2023-4966 và CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967