永久緊急狀態：當「危急」變成白噪音
如果您的組織去年秋天仍在運行未修補的 Citrix NetScaler ADC 或網關，那麼您不僅在冒險，而且還承擔了風險。你正在主動招致災難。 CISA 對關鍵零日漏洞 CVE-2023-4966（廣泛稱為「Citrix Bleed」）的緊急警報並不是風險管理中的理論練習 [1, 2]。這是一個嚴厲的警告，直接確認攻擊者「已經在」那些延遲修補的人的網路中。 CISA 緊急指示 23-02 規定的聯邦機構修補截止日期 2023 年 10 月 27 日已經過去了 [3]。如果擁有大量資源和專門安全團隊的聯邦實體在實現這些目標方面面臨挑戰，那就凸顯了其他所有人面臨的巨大壓力。
這不僅僅是一個令人討厭的錯誤。這是關於數位時代未能掌握「關鍵基礎設施」重要性的系統性失敗。 NetScaler 設備相當於您建築物的主入口、安全檢查站和 HVAC 系統的數位化版本。它們位於外圍，處理身份驗證、負載平衡和流量管理。此類設備上的 RCE（遠端程式碼執行）不僅是一種漏洞，而且是一種漏洞。這是一次完整的系統接管，一把直接交給對手的主鑰匙。我們談論的是一種讓攻擊者能夠毫不費力地進入內部網路、竊取敏感資料或精確部署勒索軟體的存取方式。事實上，CVE-2023-4966 已被“積極利用”，現在已收錄在 CISA 的 KEV 目錄中，這意味著主動防禦的窗口迅速關閉 [1]。組織不再阻止攻擊；他們正在緩解正在發生的事件。
瀏覽器作為新的邊界：Chrome 的無盡漏洞循環
就在您認為您的網路邊界是唯一受到圍攻的時候，谷歌定期宣布另一個重磅炸彈：Chrome 中的零日漏洞被積極利用。例如，CVE-2024-4947 是一個嚴重的 V8 類型混淆缺陷，只是今年修復的幾個被積極利用的漏洞之一[4]。這並非僥倖；這是一個一致的模式。每個新補丁通常都伴隨著「立即更新」的緊急請求，凸顯了一種不同但同樣陰險的妥協手段。雖然 NetScaler 守護著大門，但 Chrome 是每個員工口袋裡、每個工作站以及每個基於雲端的虛擬桌面中無處不在的入口點。
多年來，我們一直強調端點安全，但 Chrome 零日漏洞的驚人速度讓我們感覺到我們一直在努力跟上。其中每個漏洞都代表潛在的偷渡式攻擊、惡意網站或能夠在使用者電腦上執行任意程式碼的受損廣告網路。從那裡，很容易就會導致憑證竊取、橫向移動或部署更複雜的惡意軟體。推而廣之，「世界上最受歡迎的網頁瀏覽器」也是世界上最受歡迎的攻擊面。
控制的錯覺：為什麼我們總是落後
那麼，這裡的共同點是什麼呢？不僅僅是因為這些是「嚴重」漏洞。這是他們的發現和利用的可預測的、近乎儀式化的本質。我們陷入了永久的緊急狀態，「緊急修補」已成為預設操作模式，而不是例外。
為什麼？
- 複雜性債務： NetScaler 和 Chrome 都是極為複雜的軟體。 NetScaler 憑藉其眾多的功能和集成，呈現出巨大的攻擊面。 Chrome 憑藉其 JavaScript 引擎 (V8)、渲染引擎和不斷添加的功能，成為安全研究人員和攻擊者的移動目標。複雜性會滋生錯誤，而錯誤又不可避免地會導致漏洞。
- 攻擊者的優勢： 民族國家和複雜的犯罪集團不會等待公開披露。他們通常會投入大量資源，積極尋找這些缺陷。一旦發現，零日漏洞就是一張金券，可以悄悄利用，直到補丁迫使他們下手。事實上，這些被「積極利用」意味著對手已經處於領先地位。
- 修補癱瘓： 對於像 NetScaler 這樣的關鍵基礎設施，修補通常意味著停機、仔細規劃以及跨多個團隊的協調。在大型企業中，這可能是一場官僚主義的惡夢。對於 Chrome 來說，它更簡單，但仍然依賴用戶合規性或強大的集中管理。 「設定好然後忘記它」的心態，或者更糟的是，「我們下個季度就會做到這一點」的方法，是妥協的秘訣。 NetScaler 的 CISA 截止日期現已過去，這清楚地提醒人們這種慣性。
- 安全是事後才想到的： 儘管有這麼多的說法，安全仍然經常被視為成本中心、創新的障礙或在漏洞發生後需要解決的問題。與事件後的反應性競爭相比，對主動威脅搜尋、強大的漏洞管理和持續安全教育的投資往往相形見絀。
補丁之外：呼籲進行策略改革
簡單地告訴組織「立即修補」就像告訴在深水中掙扎的人「更努力地游泳」。這是必要的，但它並不能解決根本問題。我們需要從根本上改變我們處理安全問題的方式。
- 假設妥協： 舊的周邊防禦模型已經死亡。假設您的 NetScaler 已遭到破壞。假設您使用者的 Chrome 瀏覽器將會被利用。實施強大的網路分段、最小權限存取以及對異常活動的持續監控。威脅追蹤並不是一種奢侈；而是一種奢侈。這是必要的。尋找微妙的跡象：來自 NetScaler 的異常出站連線、新使用者帳戶、意外的進程執行。
- 自動化一切可能： Chrome 等端點的補丁管理應該完全自動化並強制執行。對於像 NetScaler 這樣的關鍵基礎設施，雖然更複雜，但需要簡化、測試和排練流程。應規劃並接受安全更新的停機時間作為開展業務的成本，而不是不惜一切代價避免。
- 投資於復原力，而不僅僅是預防： 事件回應計畫需要經過實戰檢驗。您能快速發現違規行為嗎？你能遏制它嗎？不支付贖金就能恢復嗎？當預防不可避免地失敗時，這些問題就顯得尤為重要。
- 供應商提出更好的要求： 雖然 Google 正在修補，但 Chrome 中的零日漏洞數量龐大，表明需要進行更深入的架構審查，或許還需要更積極的內部錯誤賞金計劃。對於像 Citrix 這樣的關鍵基礎架構供應商來說，期望應該會更高。他們的產品其實是企業營運的支柱。
事實是，這些並不是孤立的事件。它們是數位生態系統遭受持續、複雜攻擊的症狀。 「嚴重」警報將持續出現。問題不在於“是否”您的組織將成為目標，而在於“何時”，以及您是否已經超越反應性爭奪，建立真正有彈性的防禦。如果 NetScaler 的 CISA 截止日期已經過去，但您的安全策略沒有得到激發，那麼是時候進行認真的重新評估了。
來源
[1] CISA 已知被利用的漏洞目錄 — https://www.cisa.gov/known-exploited-vulnerability-catalog [2] 威脅行為者利用 Citrix NetScaler ADC 和 Citrix NetScaler Gateway 漏洞 (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-scalal/10/05/threat-actors-exploiting-citrix-waycaler-calc [3] 緊急指令 23-02：緩解 Citrix NetScaler ADC 與閘道漏洞 — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] 桌面版穩定頻道更新 (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] 針對 CVE-2023-4966 和 CVE-2023-4967 的 Citrix NetScaler ADC 和 Citrix NetScaler Gateway 安全公告 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967