झिरो-डेज आणि झिरो ओव्हरसाइट: ए टेल ऑफ टू टेक रिॲलिटीज

शून्य-दिवस आणि शून्य निरीक्षण: दोन टेक वास्तवांची कथा

तुमच्या SOC टीमची कल्पना करा. ऑक्टोबर 2023 मध्ये पहाटे 3 वाजले आहेत आणि बातमी चांगली नाही: तुमच्या Citrix NetScaler ADC आणि गेटवे मधील दोन गंभीर शून्य दिवस, जंगलात सानुकूल मालवेअरसह रिमोट कोड एक्झिक्यूशन (RCE) सक्षम करून सक्रियपणे शोषण केले गेले. CISA Known Exploited Vulnerabilities (KEV) कॅटलॉगने त्यांना नुकतेच जोडले आहे [1, 2, 3, 4]. हा एक सैद्धांतिक धोका नाही; उत्तर अमेरिका आणि युरोपमधील सरकारी, वित्त, शिक्षण आणि कायदेशीर क्षेत्रांमधील गंभीर एंटरप्राइझ पायाभूत सुविधांवर परिणाम करणारी ही एक महत्त्वाची, आंतरराष्ट्रीय घटना आहे. तुमची टीम रक्तस्त्राव रोखण्यासाठी, रागाने पॅचिंग करत असताना आणि आपत्तीजनक उल्लंघन काय असू शकते याबद्दल फॉरेन्सिक तपास सुरू करत असताना, आणखी एक मथळा खाली आला: राष्ट्राध्यक्ष ट्रम्प यांनी AI विकासासाठी उच्च तंत्रज्ञान कंपन्यांशी "स्वैच्छिक करार" मिळवला आहे, उद्योग स्व-पोलिसिंगचे आश्वासन दिले आहे [५].

जुळणी पूर्णपणे विसंगत आहे. एकीकडे, आम्ही आमच्या सध्याच्या डिजिटल वातावरणातील क्रूर, निर्विवाद वास्तवाचा सामना करतो: आपल्या आधुनिक जगाला आधार देणाऱ्या पायाभूत सुविधांमधील मूलभूत कमकुवतपणाचे शोषण करणाऱ्या अत्याधुनिक प्रतिस्पर्ध्यांविरुद्ध एक सतत, उच्च-उच्च लढाई. दुसरीकडे, एक राजकीय देखावा सूचित करतो की सर्वात परिवर्तनशील, तरीही गहनपणे अनिश्चित, तंत्रज्ञानाचे भविष्य त्याच उद्योगाद्वारे सुरक्षितपणे व्यवस्थापित केले जाऊ शकते जे सातत्याने मूलभूत सुरक्षा आणि नैतिक स्व-शासनाशी संघर्ष करत आहे.

द सिट्रिक्स आपत्ती: सखोल रॉटचे लक्षण

चला स्पष्ट होऊया: CVE-2023-4966 (सिट्रिक्स ब्लीड म्हणून ओळखले जाते) आणि CVE-2023-3519 सारखे Citrix शून्य-दिवस, फक्त "दुसरी असुरक्षा" नाहीत. ते डेटा सेंटरमधील तातडीच्या संकटाचे प्रतिनिधित्व करतात, थेट, चालू असलेल्या हल्ल्याची मोहीम जी त्वरित, सर्व-हात-ऑन-डेक प्रतिसादाची मागणी करते [1, 2, 3, 4]. एडीसी किंवा गेटवेवरील रिमोट कोड एक्झिक्यूशन हे उघड केलेल्या गंभीर प्रवेश बिंदूचे डिजिटल समतुल्य आहे. हे फक्त पॅचिंग बद्दल नाही; हे आमच्या एंटरप्राइझ आर्किटेक्चरच्या प्रणालीगत नाजूकतेबद्दल आहे.

वर्षानुवर्षे, आम्ही जटिल, परस्पर जोडलेल्या प्रणाली तयार केल्या आहेत, बहुतेकदा मुख्य पायाभूत सुविधांसाठी मूठभर गंभीर विक्रेत्यांवर अवलंबून असतात. Citrix, इतर अनेकांप्रमाणे, अत्यावश्यक सेवा पुरवते, परंतु त्या केंद्रस्थानी प्रचंड धोका असतो. जेव्हा नेटस्केलर सारख्या मूलभूत घटकाशी शून्य-दिवसाच्या पातळीवर तडजोड केली जाते, तेव्हा लहरी परिणाम विनाशकारी असतो. अपयशाच्या एकाच बिंदूवर विसंबून राहण्याचा अंतर्निहित दोष तो उघड करतो, मग तो कितीही मजबूत असला तरीही*. "तात्काळ पॅच" निर्देश, आवश्यक असताना, सिस्टमिक समस्येसाठी वरवरच्या उपायासारखे वाटते. हे अंतर्निहित समस्यांना संबोधित करत नाही: असुरक्षितता निर्माण करणारी गुंतागुंत, काही विक्रेत्यांकडून सुरक्षा अद्यतनांची मंद गती आणि बहुतेकदा-अपुऱ्या संरक्षण-सखोल धोरणे ज्या सर्वात गंभीर बिंदूवर परिमितीचा भंग केल्यावर अपयशी ठरतात.

ही केवळ तांत्रिक समस्या नाही; हे एक व्यवसाय सातत्य दुःस्वप्न आहे. डेटाचे उल्लंघन, ऑपरेशनल व्यत्यय, नियामक दंड, प्रतिष्ठेचे नुकसान – खर्च खगोलीय आहेत. आणि कशासाठी? नेटवर्क कार्यक्षमतेने चालवायचे? आम्ही सोयीसाठी आणि जाणवलेल्या कार्यक्षमतेसाठी मोठी किंमत मोजत आहोत, ही किंमत CTO आणि सुरक्षा संघांसाठी निद्रानाशाच्या रात्रीत मोजली जाते आणि संभाव्यतः, लोकांचा विश्वास उडाला आहे. कस्टम मालवेअर वापरून हे सक्रियपणे शोषण शून्य दिवस आहेत, हे आम्हाला सांगते की हे स्क्रिप्ट किडी नाहीत. हे उच्च-मूल्य मालमत्तेला लक्ष्य करणारे सु-संसाधन केलेले, सतत धमकी देणारे कलाकार आहेत [3]. जर आपण आपल्या विद्यमान डिजिटल जगाच्या पायाभूत स्तरांना सुरक्षित करू शकत नसाल, तर वेगाने अधिक जटिल भविष्यासाठी आपल्याला कोणती आशा आहे?

AI चे वाइल्ड वेस्ट: सुरक्षितता ठरवण्यासाठी स्व-हितावर विश्वास ठेवणे

आणि त्या भविष्याबद्दल बोलताना, चला AI "सेल्फ-पोलिसिंग" कराराकडे लक्ष देऊ या. राष्ट्राध्यक्ष ट्रम्प यांची घोषणा, राजकीयदृष्ट्या महत्त्वाची असताना, जबाबदारीला बगल देण्याचे पाठ्यपुस्तकातील उदाहरण आहे [५]. "स्वैच्छिक" आणि "स्वयं-पोलिसिंग" या अशा संज्ञा आहेत ज्यांनी गेल्या दोन दशकांमध्ये तंत्रज्ञान उद्योगाचे काम पाहिलेल्या प्रत्येकामध्ये भीती निर्माण केली पाहिजे. आम्ही हा पॅटर्न आधी पाहिला आहे, नाही का? सोशल मीडिया कंपन्या "स्वेच्छेने" द्वेषयुक्त भाषणांवर पोलिसिंग करतात, शोध इंजिने "स्वयं-नियमित" डेटा गोपनीयता आणि ॲप स्टोअर्स "स्वतंत्रपणे" निष्पक्ष स्पर्धा सुनिश्चित करतात. ट्रॅक रेकॉर्ड, अगदी सौम्यपणे सांगायचे तर, अत्यंत कमी आहे.

शक्तिशाली AI सिस्टीम विकसित आणि उपयोजित करण्यासाठी धडपडणाऱ्या कंपन्या – अर्थव्यवस्थांना आकार देण्याची क्षमता, निवडणुकांवर प्रभाव टाकण्याची आणि सामाजिक जोखमीचे नवीन प्रकार निर्माण करण्याची क्षमता असलेल्या – त्यांच्या स्वत:च्या नैतिक आणि सुरक्षा मार्गदर्शक तत्त्वांची स्थापना आणि अंमलबजावणी करण्यासाठी विश्वास ठेवला जाऊ शकतो, ही कल्पना अत्यंत भोळी आहे आणि सर्वात वाईट परिस्थितीत धोकादायकपणे बेजबाबदार आहे. हे नफा आणि बाजारातील वर्चस्वाने चालविल्या जाणाऱ्या कॉर्पोरेशन आहेत. त्यांचे प्राथमिक विश्वासार्ह कर्तव्य भागधारकांचे आहे, सार्वजनिक चांगल्या किंवा नैतिक AI च्या अमूर्त संकल्पनेसाठी नाही.

हा "समजूतदारपणा" प्रशासनासाठी एक राजकीय विजय आहे, ज्यामुळे त्यांना वास्तविक कायदे किंवा नियामक निरीक्षणाच्या गोंधळाशिवाय AI वर कारवाईचा दावा करता येतो. बिग टेकसाठी देखील हा एक मोठा विजय आहे, त्यांना वेळ विकत घेणे आणि संभाव्य बोजड नियमांपासून मुक्ती मिळवणे ज्यामुळे त्यांचे नाविन्य कमी होऊ शकते किंवा त्यांच्या तळाच्या ओळीवर परिणाम होऊ शकतो. परंतु आपल्यापैकी बाकीच्यांसाठी - या प्रणाली तयार करणाऱ्या तंत्रज्ञान व्यावसायिकांसाठी, त्यांच्यावर अवलंबून असणाऱ्या व्यवसायांसाठी आणि मोठ्या प्रमाणावर समाजासाठी - हे एक धोकादायक उदाहरण आहे. हे सार्वजनिक सुरक्षा आणि उत्तरदायित्वापेक्षा कॉर्पोरेट स्वायत्ततेला प्राधान्य देणाऱ्या एआय गव्हर्नन्सला प्राधान्य देणारा दृष्टिकोन दर्शविते.

डिस्कनेक्ट: अस्थिर पायावर इमारत

हे अस्वस्थ सत्य आहे: आपण एकाच वेळी आपले वर्तमान सुरक्षित करण्यात अपयशी ठरत आहोत आणि आपले भविष्य धोकादायकपणे चुकीचे व्यवस्थापन करत आहोत. आम्ही डिजिटल अस्थिरतेच्या पायावर अधिक अत्याधुनिक AI प्रणाली तयार करत आहोत, जिथे अत्याधुनिक विरोधकांकडून गंभीर पायाभूत सुविधांशी तडजोड केली जाते. तेच उद्योग नेते जे त्यांच्या उत्पादनांना जागतिक अटॅक वेक्टर बनण्यापासून रोखू शकत नाहीत त्यांना आता सामान्य कृत्रिम बुद्धिमत्तेच्या नैतिक आणि सुरक्षिततेचे परिणाम "स्व-पोलिस" करण्यास सांगितले जात आहे.

हे फक्त डिस्कनेक्ट नाही; हे एक खोल अंतर आहे. सीटीओ आणि अभियांत्रिकी आघाडीवर असल्याने, आम्ही मध्यभागी अडकलो आहोत. आम्हाला Citrix zero-days सारख्या तात्काळ, अस्तित्वातील धोक्यांना पॅच करण्याचे काम देण्यात आले आहे, त्याचवेळी AI-चालित भविष्यासाठी तयार होण्यास सांगितले जात आहे जेथे आम्ही पुढे जात असताना नियम बनवले जातात, मुख्यत्वे खेळाडू स्वतः.

ऐच्छिक एआय करार हा उपाय नाही; ही विलंबाची युक्ती आहे. AI चे अपरिहार्य नैतिक उल्लंघन, पक्षपातीपणा किंवा अगदी आपत्तीजनक अपयश देखील घडतात याची खात्री करून ते जबाबदारी पुढे ढकलते, तेव्हा सुरुवातीपासूनच मजबूत, स्वतंत्र देखरेख का झाली नाही असा प्रश्न लोकांना पडेल. आणि जेव्हा त्या अपयशी होतात तेव्हा ते सैद्धांतिक नसतात. ते तुमच्या NetScaler वर RCE प्रमाणेच वास्तविक आणि हानिकारक असतील, केवळ संभाव्यत: व्यापक सामाजिक परिणामांसह.

आम्हाला आणखी मागणी करावी लागेल. आम्हाला आमच्या विक्रेत्यांकडून मजबूत, सक्रिय सुरक्षितता हवी आहे, वस्तुस्थितीनंतर केवळ प्रतिक्रियात्मक पॅच नाही. आणि आम्हाला AI साठी अस्सल, स्वतंत्र नियमन आवश्यक आहे, फक्त राजकारणी आणि कॉर्पोरेशन यांच्यातील हस्तांदोलन करार नाही. कारण जर आपण आपल्या मूळ पायाभूत सुविधाही सुरक्षित करू शकत नसलो, तर पुढच्या पिढीची सभ्यता जबाबदारीने उभी करण्यासाठी आपण वास्तुविशारदांवर विश्वास कसा ठेवू शकतो? उत्तर, आत्तासाठी, आम्ही करू शकत नाही.

स्रोत

[१] CISA ने ज्ञात शोषित असुरक्षा कॅटलॉगमध्ये Citrix NetScaler ADC आणि गेटवे व्हल्नरेबिलिटी (CVE-2023-4966) जोडले आहे — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [२] CVE-2023-4966 आणि CVE-2023-4967 साठी सिट्रिक्स सुरक्षा बुलेटिन — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967 [३] मँडियंट: UNC4841 Citrix NetScaler ADC आणि गेटवे झिरो-डे (CVE-2023-4966) शोषण करते — https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [४] CISA ने ज्ञात शोषित असुरक्षा कॅटलॉगमध्ये Citrix NetScaler ADC आणि गेटवे व्हल्नेरेबिलिटी (CVE-2023-3519) जोडले आहे — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [५] थेट अद्यतने: ट्रम्प यांनी तंत्रज्ञानासाठी एआय नेत्यांसह ऐच्छिक करारावर स्वाक्षरी केली ... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026