Check Point Zero-Day-brud rammer sikkerhedsgateways med CVSS 9,8

Hvad skete der i Check Point-bruddet

Check Point, en af verdens mest udbredte virksomheder inden for sikkerhed, har bekræftet, at angribere fandt en vej ind i deres egen beskyttende infrastruktur. Ifølge rapportering fra CSO Online blev to sårbarheder vurderet til CVSS 9,8, den næst højeste alvorlighedsscore på branchens standardskala, brugt til at kompromittere systemer knyttet til Check Points Security Management-tjeneste. En af fejlene var et nyligt offentliggjort zero-day, hvilket betyder, at det var ukendt for forsvarere og uafhjulpet på det tidspunkt, hvor angriberne begyndte at udnytte det.

CVSS 9,8-fejl er sjældne og farlige, fordi de typisk kræver lidt til ingen autentificering og kan udnyttes eksternt med minimal kompleksitet. Når en så alvorlig sårbarhed befinder sig inde i en sikkerhedshåndteringsplatform, det værktøj organisationer bruger til at konfigurere og overvåge deres firewalls, VPN-gateways og netværksforsvar, strækker risikoen sig langt ud over en enkelt fejlkonfigureret server. Det rammer det kontrolag, som virksomheder er afhængige af for at holde alt andet sikkert.

Hvorfor firewall- og gateway-kompromitteringer betyder noget ud over virksomheden

Check Points produkter sidder i kanten af tusindvis af virksomhedsnetværk og filtrerer trafik, håndterer VPN-forbindelser og håndhæver adgangspolitikker for både medarbejdere og kunder. Netop denne positionering er grunden til, at bruddet er betydningsfuldt. Sikkerhedsgateways er meningen at være netværkets hærdede hoveddør, den sidste forsvarslinje mellem det åbne internet og følsomme interne systemer. Når den leverandør, der stiller den hoveddør til rådighed, selv bliver brudt ind i gennem et zero-day, vender den tillidsmodel, som organisationer er afhængige af, på hovedet.

Dette er ikke et nicheteknisk problem begrænset til IT-afdelinger. Sikkerhedsgateways som Check Points er den infrastruktur, der dirigerer og inspicerer data fra medarbejdere, der arbejder eksternt, kunder, der logger ind på portaler, og partnere, der udveksler information. Hvis en angriber får fodfæste i det kontrolag af infrastrukturen, kan de måske observere trafik, ændre konfigurationer eller bevæge sig dybere ind i et netværk, som troede, det var beskyttet. Den software, der netop markedsføres som et skjold, blev i dette tilfælde et potentielt indgangspunkt.

Hvordan eksponeret virksomhedsinfrastruktur udsætter personoplysninger for risiko

Den praktiske fare ved et brud på perimeter-sikkerheden er, at det sjældent forbliver begrænset til leverandøren. Virksomhedskunder, der kører de berørte produkter, arver eksponeringen, og dermed også de medarbejdere og kunder, hvis data strømmer gennem disse systemer. En kompromitteret firewall eller administrationskonsol kan blive et udgangspunkt for lateral bevægelse ind i HR-systemer, kundedatabaser eller finansielle platforme.

Dette mønster, et brud der starter på virksomhedssiden og kaskaderer udad til eksponering af personoplysninger, er ikke unikt for Check Point. Det afspejler, hvad der skete, da energiselskabet Shell blev tvunget til at undersøge en påstand fra Cl0p-ransomwaregruppen om, at de havde stjålet 89 GB data fra dets systemer. I begge tilfælde eksisterede den indledende sårbarhed eller kompromittering på organisationsniveau, men konsekvenserne når i sidste ende enkeltpersoner, hvis information blev opbevaret, behandlet eller transmitteret gennem den infrastruktur. Uanset om indgangspunktet er en ransomware-operatør, der udnytter en kendt svaghed, eller et zero-day, der rammer en sikkerhedsleverandørs egen håndteringstjeneste, er resultatet for slutbrugerne det samme: data, som skulle være beskyttet af virksomhedens forsvar, er pludselig i fare.

Tilføj uafhængig kryptering: Hvad privatlivsbevidste brugere kan gøre nu

Lektionen her er ikke, at firewalls og sikkerhedsgateways er ubrugelige. De er fortsat essentielle. Lektionen er, at intet enkelt lag af forsvar, heller ikke dem bygget af betroede virksomhedsleverandører, bør betragtes som ufejlbarligt. Perimeter-sikkerhed kan svigte, patches kan halte bagefter aktiv udnyttelse, og selv CVSS 9,8-fejl går nogle gange uopdaget, indtil de allerede bruges i praksis.

For enkeltpersoner understreger dette værdien af at kontrollere din egen kryptering i stedet for at stole udelukkende på tillid på netværksniveau. En personlig VPN krypterer trafik uafhængigt af den sikkerhedsinfrastruktur, som et websted, en arbejdsgiver eller en tjenesteudbyder har på plads. Hvis en virksomhedsgateway et sted undervejs er kompromitteret, er trafik, der allerede er end-to-end-krypteret på brugerens enhed, langt sværere at aflytte eller manipulere meningsfuldt.

Hvad betyder det for dig

Hvis din organisation bruger Check Point-produkter, er den umiddelbare prioritet at bekræfte, at nødpatches eller hotfixes er blevet anvendt, og at administrationsgrænseflader ikke er unødvendigt eksponeret mod det offentlige internet. For almindelige brugere er bruddet en påmindelse om, at de sikkerhedsløfter, store leverandører giver, ikke er garantier. Perimeter-forsvar kan svigte stille, og når et brud bliver offentligt, kan eksponeringen allerede være sket.

Det er netop derfor, et Check Point zero-day-brud VPN-scenarie betyder noget for mere end blot IT-administratorer. Det illustrerer, hvor hurtigt tilliden til sikkerhed i virksomhedsklasse kan undergraves, og hvorfor enkeltpersoner har gavn af at tilføje deres eget krypteringslag i stedet for at antage, at netværksoperatører har styr på alt.

Handlingsorienterede pointer

• Hvis du arbejder for eller administrerer et netværk, der bruger Check Point-produkter, skal du straks bekræfte, at tilgængelige patches til de offentliggjorte fejl er blevet anvendt.
• Undgå at eksponere sikkerhedshåndteringskonsoller eller admin-grænseflader direkte mod internettet, når det er muligt.
• Betragt enhver organisations påstand om en sikker perimeter som ét lag af beskyttelse, ikke en komplet garanti.
• Overvej at bruge en personlig VPN til følsom browsing eller fjernarbejde, så din trafik krypteres uafhængigt af den infrastruktur, der ligger mellem dig og destinationen.
• Vær opmærksom på, hvordan virksomhedsbrud, som dette og Shell-hændelsen knyttet til Cl0p, kan brede sig udad til eksponering af personoplysninger, selv når den indledende sårbarhed ikke havde noget med dig at gøre direkte.