Ciscoは、Secure Email Gateway製品に存在するこれまで知られていなかった脆弱性が、同社が開示または修正プログラムを提供する前に攻撃者によって悪用されたことを確認した。顧客への通知の中で、Ciscoはこの欠陥が実際の環境で積極的に悪用されたことを認めたが、攻撃がどのように実行されたか、または何社の組織が影響を受けたかについての詳細には踏み込まなかった。この具体性の欠如により、ITチームは慣れ親しんだ、しかし不快な作業を強いられることになる。それは、直ちにパッチを適用し、より多くの情報が明らかになるまでは最悪の事態を想定するということだ。

Cisco Secure Email Gatewayの欠陥により攻撃者ができること

CiscoのSecure Email Gateway製品は、組織のメールインフラストラクチャの玄関口に位置し、従業員の受信トレイに届く前に、受信および送信メッセージをスパム、マルウェア、フィッシングの試みについてスキャンする。この位置づけにより、ゲートウェイは価値の高い標的となっている。この種のデバイスの脆弱性は、単一のアカウント侵害のリスクにとどまらない。組織のすべてのメールトラフィックが通過するまさにそのチョークポイントにおいて、攻撃者に足がかりを与える可能性がある。

Ciscoの開示は、この欠陥が公に文書化される前に実際の攻撃で悪用されたことを確認しており、つまり一部の組織は修正プログラムが存在する前にすでに侵害されていたことを意味する。同社は、悪用手法の技術的詳細、影響を受けた展開の規模、またはこの活動の背後に誰がいる可能性があるかについて公表していない。防御側にとって、この曖昧さ自体が問題の一部である。欠陥がどのように武器化されたかを正確に知らなければ、セキュリティチームは的を絞った検知ルールではなく、パッチ自体と一般的なハードニングのアドバイスに頼らざるを得ない。

なぜメールゲートウェイの侵害がITの問題だけでなくプライバシーリスクなのか

これを定型的なエンタープライズのパッチ管理として片付けたくなるかもしれないが、メールゲートウェイは組織のデータフローにおいて独特に機微な位置を占めている。通常の社内メモ、顧客契約、人事コミュニケーションなど、通過するすべてのメッセージは、理論上、アプライアンスを侵害した攻撃者に見られる可能性がある。

この区別が重要なのは、ゲートウェイの侵害が単なるダウンタイムやマルウェア配布の問題ではないからだ。それは潜在的な傍受ポイントである。メールフロー内に座り込んだ攻撃者は、送信者も受信者も気づくことなく、通信を静かに監視し、メールに埋め込まれた認証情報を収集し、または転送中のメッセージを操作することができる。規制対象データ、法的通信、顧客情報を扱う組織にとって、この種の静かなアクセスは、従来のマルウェア感染よりも損害が大きいと言える。なぜなら、何週間も何ヶ月も検知されずに放置される可能性があるからだ。

これもまた、近年セキュリティアプライアンス自体がこれほど魅力的な標的となっている理由である。トラフィックを検査およびフィルタリングするために構築されたデバイスは、しばしば組織の通信に対する深い可視性を持っており、脆弱性がすり抜けた場合の単一障害点となる。CISAが積極的に悪用されていると警告したCisco自身のSecure Firewall Management Centerゼロデイも同様のパターンをたどっている。ネットワークを保護するための重要なインフラストラクチャが、代わりに攻撃者が悪用する侵入点となっているのだ。

組織と管理者が今すぐ行うべきこと

Ciscoの勧告は、修正プログラムを遅滞なく適用すべきであることを明確にしている。Secure Email Gatewayの展開を管理するITおよびセキュリティチームにとって、当面の優先事項は明確である。

  • Ciscoがリリースしたパッチを、スケジュールできるようになり次第すぐに適用し、定期的なメンテナンスではなく緊急変更として扱う。
  • 欠陥が開示前に悪用されていたため、通常の運用に一致しない異常な管理活動、予期しない構成変更、またはトラフィックパターンについてゲートウェイログを確認する。
  • 環境内のどのアプライアンスがインターネットに接続されているか、またはその他の形で露出しているかを確認し、それらを優先して直ちに修復する。
  • Secure Firewall Management Centerのようなデバイスにおける積極的に悪用されるゼロデイの繰り返しパターンを踏まえ、Ciscoインフラストラクチャ製品のベンダーセキュリティ勧告を確認する習慣を定期的に確立する。

Ciscoが影響範囲を開示していないため、組織は明らかな症状が見られないという理由だけで影響を受けていないと想定すべきではない。静かでノイズの少ない悪用こそがしばしば目的なのだ。

メール暗号化や追加のネットワークセキュリティ層が意味を持つ場合

単一のベンダーパッチは今日の欠陥を修正するが、機密性の高い通信を中央集中型のアプライアンス経由でルーティングすることに起因する根本的な露出を排除するものではない。特に機密性の高い通信を扱う組織は、最も重要な通信に対してエンドツーエンドのメール暗号化を重ねて導入することを検討すべきである。そうすれば、ゲートウェイが侵害されたとしても、メッセージの内容は攻撃者にとって読み取り不能のままである。侵害されたゲートウェイが到達できる範囲を制限するネットワークセグメンテーションと、セキュリティアプライアンスからの送信接続の厳格な監視も、将来同様のゼロデイが出現した場合の被害範囲を縮小することができる。

これがあなたにとって意味すること

あなたの組織がCisco Secure Email Gateway製品を運用しているなら、優先事項はより多くの詳細を待つのではなく、今すぐパッチを適用することである。それ以外のすべての人にとって、このインシデントは、通信を保護するために設計されたツール自体が、欠陥が見逃された場合に負債となり得るということを思い出させるものである。これは、エンタープライズ管理者であれ、ビジネスとのやり取りで交換されるメールがプライベートに保たれることを単に期待する個人であれ、当てはまる。

実行可能なポイント:

  • まだ適用していない場合は、Cisco Secure Email Gatewayデバイスに直ちにパッチを適用する。
  • 将来の活動だけでなく、パッチ適用前の悪用の兆候についてゲートウェイログを監査する。
  • 単一ベンダーのセキュリティアプライアンスだけに頼らず、機密性の高い通信には暗号化と監視の層を追加する。
  • 最近のSecure Firewall Management Centerゼロデイを含む、悪用されるCiscoインフラストラクチャのより広いパターンに警戒し、ベンダーの勧告を背景的な読み物ではなく時間に敏感なアクション項目として扱う。