Cisco on vahvistanut, että sen Secure Email Gateway -tuotteissa oli aiemmin tuntematon haavoittuvuus, jota hyökkääjät hyödynsivät ennen kuin yhtiöllä oli mahdollisuutta julkistaa tai paikata sitä. Asiakkaille osoittamassaan tiedotteessa Cisco myönsi, että haavoittuvuutta käytettiin aktiivisesti hyväksi todellisissa hyökkäyksissä, mutta ei kertonut tarkemmin, miten hyökkäykset toteutettiin tai kuinka moni organisaatio joutui niiden kohteeksi. Tämä yksityiskohtien puute jättää IT-tiimit tutun, epämukavan tehtävän eteen: paikatkaa välittömästi ja olettakaa pahinta, kunnes lisätietoja ilmenee.

Mitä Cisco Secure Email Gateway -haavoittuvuus mahdollistaa hyökkääjille

Ciscón Secure Email Gateway -tuotteet sijaitsevat organisaation sähköposti-infrastruktuurin etuovella ja skannaavat saapuvia ja lähteviä viestejä roskapostin, haittaohjelmien ja tietojenkalasteluyritysten varalta ennen kuin ne saavuttavat työntekijöiden postilaatikot. Tämä asema tekee väylästä arvokkaan kohteen. Tällaisen laitteen haavoittuvuus ei vaaranna vain yhtä yksittäistä tiliä, vaan se saattaa antaa hyökkääjälle jalansijan täsmälleen siinä pullonkaulakohdassa, jonka kautta kaikki organisaation sähköpostiliikenne kulkee.

Ciscon julkistus vahvistaa, että virhettä hyödynnettiin todellisissa hyökkäyksissä ennen kuin se dokumentoitiin julkisesti, mikä tarkoittaa, että jotkin organisaatiot oli jo vaarannettu ennen kuin korjaus oli olemassa. Yhtiö ei ole julkaissut teknisiä yksityiskohtia hyödyntämismenetelmästä, vaarantuneiden asennusten laajuudesta tai siitä, kuka toiminnan takana mahdollisesti on. Puolustajille tämä epäselvyys on osa ongelmaa. Ilman tarkkaa tietoa siitä, miten haavoittuvuutta aseistettiin, tietoturvatiimit joutuvat turvautumaan itse korjaukseen ja yleisiin koventamisohjeisiin kohdennettujen tunnistussääntöjen sijaan.

Miksi sähköpostiväylän vaarantuminen on yksityisyysriski, ei vain IT-ongelma

On houkuttelevaa luokitella tämä rutiininomaiseksi yritysten korjaustiedostojen hallinnaksi, mutta sähköpostiväylillä on ainutlaatuisen herkkä asema organisaation tietovirrassa. Jokainen viesti, joka kulkee sellaisen kautta – olipa kyseessä rutiininomainen sisäinen muistio, asiakassopimus tai henkilöstöviestintä – voi teoriassa olla hyökkääjän nähtävissä, jos tämä on vaarantanut laitteen.

Tämä ero on merkityksellinen, koska väylän tietomurto ei ole vain käyttökatkosta tai haittaohjelmien levitystä. Se on mahdollinen sieppauspiste. Postiliikenteen sisällä istuva hyökkääjä voi huomaamattomasti seurata kirjeenvaihtoa, kerätä sähköposteihin upotettuja tunnistetietoja tai manipuloida viestejä siirron aikana lähettäjän tai vastaanottajan koskaan tietämättä. Organisaatioille, jotka käsittelevät säänneltyä dataa, oikeudellista kirjeenvaihtoa tai asiakastietoja, tällainen hiljainen pääsy on väittämättä vahingollisempaa kuin tavanomainen haittaohjelmatartunta, koska se voi jäädä havaitsematta viikkojen tai kuukausien ajan.

Tästä syystä myös tietoturvalaitteista itsestään on tullut niin houkuttelevia kohteita viime vuosina. Liikennettä tarkastamaan ja suodattamaan rakennetut laitteet omaavat usein syvän näkyvyyden organisaation viestintään, mikä tekee niistä yhden pisteenn vikaantumiskohteen, kun haavoittuvuus pääsee livahtamaan läpi. Ciscon oma Secure Firewall Management Center -zero-day, jonka CISA merkitsi aktiivisesti hyödynnetyksi, noudattaa samaa kaavaa: verkkoa suojaamaan tarkoitettu kriittinen infrastruktuuri muuttuukin hyökkääjien hyödyntämäksi sisäänkäyntipisteeksi.

Mitä organisaatioiden ja ylläpitäjien tulisi tehdä juuri nyt

Ciscon tiedote tekee selväksi, että korjaus tulisi asentaa viipymättä. Secure Email Gateway -asennuksia hallinnoiville IT- ja tietoturvatiimeille välittömät prioriteetit ovat suoraviivaisia:

  • Asentakaa Ciscon julkaisema korjaus heti, kun se voidaan ajoittaa, ja kohdelkaa sitä hätämuutoksena rutiinihuollon sijaan.
  • Käykää läpi väylän lokit epätavallisen ylläpitotoiminnan, odottamattomien kokoonpanomuutosten tai normaaliin toimintaan sopimattomien liikennemallien varalta, koska haavoittuvuutta hyödynnettiin ennen julkistamista.
  • Vahvistakaa, mitkä laitteet ympäristössänne ovat internetiin yhteydessä tai muuten alttiina, ja asettakaa ne etusijalle välittömässä korjauksessa.
  • Ottakaa tavaksi tarkistaa säännöllisesti toimittajien tietoturvatiedotteet Cisco-infrastruktuurituotteiden osalta, kun otetaan huomioon toistuva kaava aktiivisesti hyödynnetyistä zero-day-haavoittuvuuksista laitteissa kuten Secure Firewall Management Center.

Koska Cisco ei ole paljastanut vaikutuksen laajuutta, organisaatioiden ei tulisi olettaa olevansa vaikuttamattomia vain siksi, etteivät ne ole nähneet ilmeisiä oireita. Hiljainen, vähän melua aiheuttava hyväksikäyttö on usein juuri se pointti.

Milloin sähköpostin salaus tai lisää verkkoturvakerroksia kannattaa harkita

Yhden toimittajan korjaus korjaa nykyisen virheen, mutta se ei poista taustalla olevaa altistusta, joka syntyy arkaluonteisen viestinnän reitittämisestä minkä tahansa keskitetyn laitteen kautta. Organisaatioiden, jotka käsittelevät erityisen arkaluonteista kirjeenvaihtoa, tulisi harkita päästä päähän -sähköpostisalauksen lisäämistä kaikkein kriittisimpään viestintäänsä, jotta viestien sisältö pysyy hyökkääjälle lukukelvottomana, vaikka väylä vaarantuisi. Verkon segmentointi, joka rajoittaa sitä, mihin vaarantunut väylä voi päästä käsiksi, sekä tietoturvalaitteiden lähtevien yhteyksien tiukka valvonta voivat myös pienentää vahinkojen laajuutta, jos vastaava zero-day ilmaantuu tulevaisuudessa.

Mitä tämä tarkoittaa sinulle

Jos organisaatiosi käyttää Cisco Secure Email Gateway -tuotteita, prioriteetti on paikata nyt sen sijaan, että odotettaisiin lisätietoja. Kaikille muille tämä tapaus on muistutus siitä, että viestinnän turvaamiseen suunnitellut työkalut voivat itse muuttua rasitteeksi, kun virhe jää huomaamatta. Tämä pätee riippumatta siitä, oletko yrityksen ylläpitäjä vai yksityishenkilö, joka yksinkertaisesti odottaa yrityksen kanssa käydyn sähköpostiviestinnän pysyvän yksityisenä.

Toimenpide-ehdotukset:

  • Paikatkaa Cisco Secure Email Gateway -laitteet välittömästi, jos ette ole vielä tehneet sitä.
  • Tarkastakaa väylän lokit merkkejä korjausta edeltävästä hyväksikäytöstä, ei vain tulevasta toiminnasta.
  • Älkää luottako pelkästään yhden toimittajan tietoturvalaitteeseen; lisätkää salaus- ja valvontakerroksia arkaluonteiseen viestintään.
  • Pysykää valppaana Ciscon infrastruktuurin hyväksikäytön laajemman kaavan suhteen, mukaan lukien äskettäinen Secure Firewall Management Center -zero-day, ja kohdelkaa toimittajien tiedotteita aikaherkkinä toimenpidekohteina taustalukemisen sijaan.