永久紧急状态：当“危急”变成白噪音
如果您的组织去年秋天仍在运行未修补的 Citrix NetScaler ADC 或网关，那么您不仅在冒险，而且还承担了风险。你正在主动招致灾难。 CISA 对关键零日漏洞 CVE-2023-4966（广泛称为“Citrix Bleed”）的紧急警报并不是风险管理中的理论练习 [1, 2]。这是一个严厉的警告，直接确认攻击者“已经在”那些延迟修补的人的网络中。 CISA 紧急指令 23-02 规定的联邦机构修补截止日期 2023 年 10 月 27 日已经过去了 [3]。如果拥有大量资源和专门安全团队的联邦实体在实现这些目标方面面临挑战，那就凸显了其他所有人面临的巨大压力。
这不仅仅是一个令人讨厌的错误。这是关于数字时代未能把握“关键基础设施”重要性的系统性失败。 NetScaler 设备相当于您建筑物的主入口、安全检查站和 HVAC 系统的数字化版本。它们位于外围，处理身份验证、负载平衡和流量管理。此类设备上的 RCE（远程代码执行）不仅是一种漏洞，而且是一种漏洞。这是一次完整的系统接管，一把直接交给对手的主钥匙。我们谈论的是一种让攻击者能够毫不费力地进入内部网络、窃取敏感数据或精确部署勒索软件的访问方式。事实上，CVE-2023-4966 已被“积极利用”，现已收录在 CISA 的 KEV 目录中，这意味着主动防御的窗口迅速关闭 [1]。组织不再阻止攻击；他们正在缓解正在发生的事件。
浏览器作为新的边界：Chrome 的无尽漏洞循环
就在您认为您的网络边界是唯一受到围攻的时候，谷歌定期宣布另一个重磅炸弹：Chrome 中的零日漏洞被积极利用。例如，CVE-2024-4947 是一个严重的 V8 类型混淆缺陷，只是今年修复的几个被积极利用的漏洞之一[4]。这并非侥幸；这是一个一致的模式。每个新补丁通常都伴随着“立即更新”的紧急请求，凸显了一种不同但同样阴险的妥协手段。虽然 NetScaler 守卫着大门，但 Chrome 是每个员工口袋里、每个工作站以及每个基于云的虚拟桌面中无处不在的入口点。
多年来，我们一直强调端点安全，但 Chrome 零日漏洞的惊人速度让我们感觉我们一直在努力跟上。其中每个漏洞都代表潜在的偷渡式攻击、恶意网站或能够在用户计算机上执行任意代码的受损广告网络。从那里，很容易就会导致凭证盗窃、横向移动或部署更复杂的恶意软件。推而广之，“世界上最受欢迎的网络浏览器”也是世界上最受欢迎的攻击面。
控制的错觉：为什么我们总是落后
那么，这里的共同点是什么？不仅仅是因为这些是“严重”漏洞。这是他们的发现和利用的可预测的、近乎仪式化的本质。我们陷入了永久的紧急状态，“紧急修补”已成为默认操作模式，而不是例外。
为什么？
- 复杂性债务： NetScaler 和 Chrome 都是极其复杂的软件。 NetScaler 凭借其众多的功能和集成，呈现出巨大的攻击面。 Chrome 凭借其 JavaScript 引擎 (V8)、渲染引擎和不断添加的功能，成为安全研究人员和攻击者的移动目标。复杂性会滋生错误，而错误又不可避免地会导致漏洞。
- 攻击者的优势： 民族国家和复杂的犯罪集团不会等待公开披露。他们通常会投入大量资源，积极寻找这些缺陷。一旦发现，零日漏洞就是一张金券，可以被悄悄利用，直到补丁迫使他们下手。事实上，这些被“积极利用”意味着对手已经处于领先地位。
- 修补瘫痪： 对于像 NetScaler 这样的关键基础设施，修补通常意味着停机、仔细规划以及跨多个团队的协调。在大型企业中，这可能是一场官僚主义的噩梦。对于 Chrome 来说，它更简单，但仍然依赖于用户合规性或强大的集中管理。 “设置好然后忘记它”的心态，或者更糟糕的是，“我们下个季度就会做到这一点”的方法，是妥协的秘诀。 NetScaler 的 CISA 截止日期现已过去，这清楚地提醒人们这种惯性。
- 安全是事后才想到的： 尽管有这么多的说法，安全仍然经常被视为成本中心、创新的障碍或在漏洞发生后需要解决的问题。与事件后的反应性争夺相比，对主动威胁搜寻、强大的漏洞管理和持续安全教育的投资往往相形见绌。
补丁之外：呼吁进行战略改革
简单地告诉组织“立即修补”就像告诉在深水中挣扎的人“更加努力地游泳”。这是必要的，但它并不能解决根本问题。我们需要从根本上改变我们处理安全问题的方式。
- 假设妥协： 旧的周边防御模型已经死亡。假设您的 NetScaler 已遭到破坏。假设您用户的 Chrome 浏览器将被利用。实施强大的网络分段、最小权限访问以及对异常活动的持续监控。威胁追踪并不是一种奢侈；而是一种奢侈。这是必要的。寻找微妙的迹象：来自 NetScaler 的异常出站连接、新用户帐户、意外的进程执行。
- 自动化一切可能： Chrome 等端点的补丁管理应该完全自动化并强制执行。对于像 NetScaler 这样的关键基础设施，虽然更复杂，但需要简化、测试和排练该过程。应计划并接受安全更新的停机时间作为开展业务的成本，而不是不惜一切代价避免。
- 投资于复原力，而不仅仅是预防： 事件响应计划需要经过实战检验。您能快速发现违规行为吗？你能遏制它吗？不支付赎金就能恢复吗？当预防不可避免地失败时，这些问题就显得尤为重要。
- 供应商提出更好的要求： 虽然 Google 正在修补，但 Chrome 中的零日漏洞数量巨大，表明需要进行更深入的架构审查，或许还需要更积极的内部错误赏金计划。对于像 Citrix 这样的关键基础设施供应商来说，期望应该更高。他们的产品实际上是企业运营的支柱。
事实是，这些并不是孤立的事件。它们是数字生态系统遭受持续、复杂攻击的症状。 “严重”警报将不断出现。问题不在于“是否”您的组织将成为目标，而在于“何时”，以及您是否已经超越反应性争夺，建立真正有弹性的防御。如果 NetScaler 的 CISA 截止日期已经过去，但您的安全策略没有得到激发，那么是时候进行认真的重新评估了。
来源
[1] CISA 已知被利用的漏洞目录 — https://www.cisa.gov/known-exploited-vulnerability-catalog [2] 威胁行为者利用 Citrix NetScaler ADC 和 Citrix NetScaler Gateway 漏洞 (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability [3] 紧急指令 23-02：缓解 Citrix NetScaler ADC 和网关漏洞 — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] 桌面版稳定频道更新 (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] 针对 CVE-2023-4966 和 CVE-2023-4967 的 Citrix NetScaler ADC 和 Citrix NetScaler Gateway 安全公告 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967