Cisco har bekræftet, at en tidligere ukendt sårbarhed i virksomhedens Secure Email Gateway-produkter blev udnyttet af angribere, før virksomheden havde mulighed for at oplyse om eller patche den. I en meddelelse til kunder anerkendte Cisco, at fejlen blev aktivt misbrugt i praksis, men undlod at detaljere, hvordan angrebene blev udført, eller hvor mange organisationer der blev påvirket. Den manglende specificitet efterlader IT-teams med en velkendt, ubehagelig opgave: patch med det samme og antag det værste, indtil mere information kommer frem.

Hvad fejlen i Cisco Secure Email Gateway giver angribere mulighed for at gøre

Ciscos Secure Email Gateway-produkter sidder ved hoveddøren til en organisations e-mailinfrastruktur og scanner indgående og udgående meddelelser for spam, malware og phishingforsøg, før de når medarbejdernes indbakker. Denne placering gør gatewayen til et mål af høj værdi. En sårbarhed i denne type enhed udgør ikke bare en risiko for en enkelt kompromitteret konto; den giver potentielt en angriber et fodfæste præcis ved det knudepunkt, hvor al organisationens e-mailtrafik passerer igennem.

Ciscos offentliggørelse bekræfter, at fejlen blev udnyttet i virkelige angreb, før den blev offentligt dokumenteret, hvilket betyder, at nogle organisationer allerede var kompromitteret, før der fandtes en rettelse. Virksomheden har ikke offentliggjort tekniske detaljer om udnyttelsesmetoden, omfanget af påvirkede installationer eller hvem der kan stå bag aktiviteten. For forsvarere er denne uklarhed en del af problemet. Uden at vide præcis, hvordan fejlen blev våbengjort, er sikkerhedsteams efterladt med at stole på selve patchen og generisk hærdningsrådgivning frem for målrettede detektionsregler.

Hvorfor kompromittering af e-mailgateways er en privatlivsrisiko, ikke kun et IT-problem

Det er fristende at arkivere dette under rutinemæssig virksomhedspatchstyring, men e-mailgateways indtager en unikt følsom position i en organisations dataflow. Enhver meddelelse, der passerer igennem en, hvad enten det er et rutinemæssigt internt notat, en kundekontrakt eller en HR-kommunikation, kan teoretisk set være synlig for en angriber, der har kompromitteret apparatet.

Denne sondring er vigtig, fordi et brud på en gateway ikke kun handler om nedetid eller levering af malware. Det er et potentielt aflytningspunkt. En angriber, der sidder inde i mailflowet, kan stille og roligt overvåge korrespondance, høste legitimationsoplysninger indlejret i e-mails eller manipulere meddelelser undervejs, alt sammen uden at afsender eller modtager nogensinde ved det. For organisationer, der håndterer regulerede data, juridisk korrespondance eller kundeoplysninger, er denne form for tavs adgang efter alt at dømme mere skadelig end en konventionel malwareinfektion, fordi den kan forblive uopdaget i uger eller måneder.

Det er også derfor, sikkerhedsapparater selv er blevet så attraktive mål i de senere år. De enheder, der er bygget til at inspicere og filtrere trafik, har ofte dyb synlighed i en organisations kommunikation, hvilket gør dem til et enkelt fejlpunkt, når en sårbarhed slipper igennem. Ciscos egen zero-day i Secure Firewall Management Center, markeret af CISA som aktivt udnyttet, følger et lignende mønster: kritisk infrastruktur, der skal beskytte et netværk, bliver i stedet det indgangspunkt, angribere udnytter.

Hvad organisationer og administratorer bør gøre lige nu

Ciscos rådgivning gør det klart, at rettelsen bør anvendes uden forsinkelse. For IT- og sikkerhedsteams, der administrerer Secure Email Gateway-installationer, er de umiddelbare prioriteter ligetil:

  • Anvend den patch, Cisco har udgivet, så snart det kan planlægges, og behandl den som en nødændring frem for rutinemæssig vedligeholdelse.
  • Gennemgå gatewaylogs for usædvanlig administrativ aktivitet, uventede konfigurationsændringer eller trafikmønstre, der ikke matcher normal drift, da fejlen blev udnyttet før offentliggørelsen.
  • Bekræft, hvilke apparater i dit miljø der er internetvendte eller på anden måde eksponerede, og prioriter dem til øjeblikkelig afhjælpning.
  • Etabler en tilbagevendende vane med at tjekke leverandørens sikkerhedsrådgivninger for Ciscos infrastrukturprodukter, givet det tilbagevendende mønster af aktivt udnyttede zero-days i enheder som Secure Firewall Management Center.

Fordi Cisco ikke har oplyst omfanget af påvirkningen, bør organisationer ikke antage, at de er upåvirkede, blot fordi de ikke har set oplagte symptomer. Stille, lavstøjende udnyttelse er ofte hele pointen.

Hvornår e-mailkryptering eller yderligere netværkssikkerhedslag giver mening

En enkelt leverandørpatch løser dagens fejl, men den eliminerer ikke den underliggende eksponering, der kommer fra at routе følsom kommunikation gennem ethvert centraliseret apparat. Organisationer, der håndterer særligt følsom korrespondance, bør overveje at lægge end-to-end e-mailkryptering oveni for deres mest kritiske kommunikation, så selv hvis en gateway kompromitteres, forbliver meddelelsesindholdet ulæseligt for en angriber. Netværkssegmentering, der begrænser, hvad en kompromitteret gateway kan nå, sammen med streng overvågning af udgående forbindelser fra sikkerhedsapparater, kan også reducere skadesomfanget, hvis en lignende zero-day dukker op i fremtiden.

Hvad dette betyder for dig

Hvis din organisation kører Cisco Secure Email Gateway-produkter, er prioriteten at patche nu frem for at vente på flere detaljer. For alle andre er denne hændelse en påmindelse om, at de værktøjer, der er designet til at sikre kommunikation, selv kan blive en byrde, når en fejl forbliver ubemærket. Det gælder, uanset om du er virksomhedsadministrator eller en enkeltperson, der blot forventer, at e-mail udvekslet med en virksomhed forbliver privat.

Handlingsorienterede pointers:

  • Patch Cisco Secure Email Gateway-enheder med det samme, hvis du ikke allerede har gjort det.
  • Gennemgå gatewaylogs for tegn på udnyttelse før patching, ikke kun fremtidig aktivitet.
  • Stol ikke udelukkende på én leverandørs sikkerhedsapparat; tilføj kryptering og overvågningslag for følsom kommunikation.
  • Vær opmærksom på det bredere mønster af udnyttet Cisco-infrastruktur, herunder den nylige zero-day i Secure Firewall Management Center, og behandl leverandørrådgivninger som tidsfølsomme handlingspunkter frem for baggrundslæsning.