A Cisco megerősítette, hogy a Secure Email Gateway termékeiben lévő, korábban ismeretlen sebezhetőséget a támadók már a vállalat nyilvános közzététele vagy javítása előtt kihasználták. Az ügyfeleknek szóló értesítésben a Cisco elismerte, hogy a hibát aktívan kihasználták a vadonban, de nem részletezte, hogyan hajtották végre a támadásokat, illetve hány szervezetet érintettek. A részletek hiánya ismerős, kényelmetlen feladat elé állítja az IT-csapatokat: azonnal javítsanak, és feltételezzék a legrosszabbat, amíg további információk nem kerülnek elő.

Mire ad lehetőséget a támadóknak a Cisco Secure Email Gateway hibája

A Cisco Secure Email Gateway termékei egy szervezet e-mail-infrastruktúrájának bejáratánál helyezkednek el, és a bejövő és kimenő üzeneteket vizsgálják spam, kártevők és adathalász kísérletek után kutatva, mielőtt azok elérnék a munkatársak postaládáit. Ez a pozíció nagy értékű célponttá teszi az átjárót. Egy ilyen eszközben lévő sebezhetőség nem csupán egyetlen feltört fiók kockázatát jelenti; potenciálisan olyan lábazatot ad a támadónak pontosan ott, ahol a szervezet összes e-mail-forgalma áthalad.

A Cisco közleménye megerősíti, hogy a hibát valós támadásokban használták ki, mielőtt nyilvánosan dokumentálták volna, ami azt jelenti, hogy egyes szervezetek már kompromittálódtak, mielőtt létezett volna javítás. A vállalat nem tett közzé technikai részleteket a kihasználás módszeréről, az érintett telepítések mértékéről vagy arról, hogy ki állhat a tevékenység mögött. A védekezők számára ez a bizonytalanság része a problémának. Anélkül, hogy pontosan tudnák, hogyan fegyverezték fel a hibát, a biztonsági csapatok kénytelenek magára a javításra és általános megerősítési tanácsokra támaszkodni célzott észlelési szabályok helyett.

Miért jelent az e-mail átjáró kompromittálódása adatvédelmi kockázatot, nem csupán IT-problémát

Csábító a rutin vállalati javításkezelés alá sorolni ezt, de az e-mail átjárók egyedülállóan érzékeny pozíciót foglalnak el egy szervezet adatáramlásában. Minden üzenet, amely áthalad rajtuk – legyen az rutin belső feljegyzés, ügyfélszerződés vagy HR-kommunikáció –, elméletileg látható lehet egy olyan támadó számára, aki kompromittálta az eszközt.

Ez a megkülönböztetés azért fontos, mert egy átjáró elleni támadás nem csupán leállásról vagy kártevők terjesztéséről szól. Ez egy potenciális elfogási pont. A levélfolyamon belül ülő támadó csendesen megfigyelheti a levelezést, begyűjtheti az e-mailekbe ágyazott hitelesítő adatokat, vagy módosíthatja az üzeneteket továbbítás közben, mindezt anélkül, hogy a feladó vagy a címzett valaha is tudomást szerezne róla. A szabályozott adatokat, jogi levelezést vagy ügyféladatokat kezelő szervezetek számára az ilyen csendes hozzáférés vitathatatlanul károsabb, mint a hagyományos kártevőfertőzés, mert hetekig vagy hónapokig észrevétlen maradhat.

Ez az oka annak is, hogy a biztonsági eszközök maguk is olyan vonzó célpontokká váltak az utóbbi években. A forgalom vizsgálatára és szűrésére épített eszközök gyakran mély betekintéssel rendelkeznek egy szervezet kommunikációjába, ami egyetlen meghibásodási ponttá teszi őket, amikor egy sebezhetőség átcsúszik. A Cisco saját Secure Firewall Management Center nulladik napi sebezhetősége, amelyet a CISA aktívan kihasználtként jelölt meg, hasonló mintát követ: a hálózat védelmére szánt kritikus infrastruktúra válik a támadók által kihasznált belépési ponttá.

Mit kell tenniük most a szervezeteknek és a rendszergazdáknak

A Cisco tanácsadása egyértelművé teszi, hogy a javítást késedelem nélkül alkalmazni kell. A Secure Email Gateway telepítéseket kezelő IT- és biztonsági csapatok számára a azonnali prioritások egyszerűek:

  • Alkalmazza a Cisco által kiadott javítást, amint ütemezhető, sürgősségi változtatásként kezelve azt a rutin karbantartás helyett.
  • Vizsgálja át az átjáró naplóit szokatlan adminisztratív tevékenység, váratlan konfigurációs változtatások vagy a normál működéstől eltérő forgalmi minták után kutatva, mivel a hibát a közzététel előtt kihasználták.
  • Erősítse meg, mely eszközök internet felé néznek vagy más módon kitettek a környezetében, és ezeket helyezze előtérbe az azonnali helyreállítás szempontjából.
  • Alakítson ki rendszeres szokást a Cisco infrastruktúra-termékeinek szállítói biztonsági tanácsadásainak ellenőrzésére, tekintettel az olyan eszközökben – mint a Secure Firewall Management Center – visszatérően előforduló, aktívan kihasznált nulladik napi sebezhetőségekre.

Mivel a Cisco nem tette közzé a hatás körét, a szervezeteknek nem szabad azt feltételezniük, hogy érintetlenek, csak mert nem tapasztaltak nyilvánvaló tüneteket. A csendes, alacsony zajszintű kihasználás gyakran éppen a cél.

Mikor van értelme az e-mail titkosításnak vagy további hálózatbiztonsági rétegeknek

Egyetlen szállítói javítás megoldja a mai hibát, de nem szünteti meg azt a mögöttes kitettséget, amely abból fakad, hogy érzékeny kommunikációt bármilyen központosított eszközön keresztül irányítanak. A különösen érzékeny levelezést kezelő szervezeteknek érdemes megfontolniuk a végpontok közötti e-mail-titkosítás bevezetését a legkritikusabb kommunikációjukhoz, hogy még egy átjáró kompromittálódása esetén is olvashatatlan maradjon az üzenetek tartalma a támadó számára. A hálózati szegmentálás, amely korlátozza, hogy egy kompromittált átjáró mihez férhet hozzá, valamint a biztonsági eszközök kimenő kapcsolatainak szigorú megfigyelése szintén csökkentheti a kár mértékét, ha a jövőben hasonló nulladik napi sebezhetőség bukkan fel.

Mit jelent ez Önnek

Ha szervezete Cisco Secure Email Gateway termékeket üzemeltet, a prioritás az azonnali javítás, nem pedig a további részletekre várás. Mindenki más számára ez az esemény emlékeztető arra, hogy a kommunikáció biztonságossá tételére tervezett eszközök maguk is teherré válhatnak, amikor egy hiba észrevétlen marad. Ez igaz akár vállalati rendszergazda, akár olyan magánszemély, aki egyszerűen csak elvárja, hogy a vállalkozással folytatott e-mail-váltás bizalmas maradjon.

Gyakorlati tanácsok:

  • Javítsa azonnal a Cisco Secure Email Gateway eszközöket, ha még nem tette meg.
  • Vizsgálja át az átjáró naplóit a javítás előtti kihasználás jelei után kutatva, nem csupán a jövőbeli tevékenység szempontjából.
  • Ne támaszkodjon kizárólag egyetlen szállító biztonsági eszközére; adjon hozzá titkosítási és megfigyelési rétegeket az érzékeny kommunikációhoz.
  • Maradjon éber a Cisco infrastruktúra kihasználásának szélesebb mintájára, beleértve a nemrégiben történt Secure Firewall Management Center nulladik napi sebezhetőséget, és kezelje a szállítói tanácsadásokat időérzékeny teendőkként, ne háttérolvasmányként.