セキュリティ企業Rescanaの報告によると、Ivanti Connect Secure VPNアプライアンスを標的とするゼロデイエクスプロイトチェーンが実際の環境で確認された。報告されている影響は深刻で、認証されていない攻撃者がroot レベルのリモートコード実行に到達し、完全にパッチが適用されたアプライアンスであっても認証情報を窃取できるという。このIvanti Connect Secureゼロデイエクスプロイトは、ネットワークの境界に位置するVPNゲートウェイが、攻撃者が選びうる最も価値の高い標的の一つであることを思い起こさせる。
ソース報告書は一部しか入手できていないため、本記事は確認された事実に留め、技術的な詳細についての推測は避ける。ガイダンスを提供する箇所では、ベンダーが発行した指示ではなく、一般的なセキュリティ慣行に基づいている。
完全にパッチが適用されたVPNアプライアンスがなぜ依然として侵害されたのか
「ゼロデイ」という言葉がそのほとんどを説明している。ゼロデイとは、修正プログラムが存在する前に攻撃者が悪用する脆弱性であり、利用可能なすべてのアップデートをインストールしても防げない。完全にパッチが適用されたアプライアンスは、すでに知られ修正済みの問題に対してのみ保護される。
報告書はエクスプロイトチェーン、つまり複数の弱点が連鎖したものを記述している。チェーンは深刻な攻撃でよく見られる。なぜなら、一つのバグだけで完全な制御を得られることはまれだからだ。組み合わせることで、一連のより小さな欠陥が、攻撃者をまったくアクセスがない状態から、ログイン不要でデバイスの完全な制御へと導くことができる。
タイミングの背景として、vpn.socialはすでにIvantiが脆弱性の一部を以前から把握していたことを報じている。その報道の中で、Ivantiは攻撃者が悪用する数ヶ月前に欠陥の一部を発見していたが、帯域外リリースの基準を満たさないと判断したと述べた。この経緯は重要である。なぜなら、ベンダーが問題に気づいてから顧客が修正プログラムを入手するまでの間に、どれほどの隔たりがありうるかを示しているからだ。
rootアクセスと認証情報窃取がユーザーにとって何を意味するか
rootとは、Linuxベースのシステムにおける最高権限レベルである。VPNアプライアンスでrootを取得した攻撃者は、通常のユーザーができることに限定されない。デバイスが扱うあらゆるものを潜在的に読み取りまたは変更し、その設定を改変し、独自のコードを実行することができる。
認証情報窃取は、一般ユーザーに最も影響を与える部分である。VPNアプライアンスは、従業員、請負業者、パートナーのログインを処理する。攻撃者がそれらの認証情報を取得できれば、被害はアプライアンスをはるかに超えて広がりうる。
- 窃取されたユーザー名とパスワードは、内部システム、メール、クラウドサービスへのアクセスに再利用されうる。
- 侵害されたアカウントは正規のリモートワーカーのように見えるため、悪意のある活動の発見が難しくなる。
- 攻撃者は、アプライアンス自体がクリーンアップされた後でも、窃取した認証情報を通じてアクセスを維持する可能性がある。
Connect Secureを通じて職場に接続している場合、実際のリスクは、あなたが何も悪いことをしていなくてもログイン情報が露出する可能性があるということだ。
Connect Secureアプライアンスが露出しているかどうかを確認する方法
Ivanti Connect Secureを運用している場合、そうでないという証拠があるまで、標的になりうると想定すべきだ。いくつかの妥当な確認事項:
- 露出を確認する。 アプライアンスがインターネットから到達可能かどうか、および管理インターフェースに誰がアクセスできるかを把握する。公開する必要のないものは公開すべきではない。
- Ivantiのアドバイザリを注視する。 ベンダーは公式の修正、緩和策、検出ガイダンスの権威ある情報源であり、調査が続くにつれてそれらの詳細は変わりうる。
- ベンダーの整合性ツールを使用する。 Ivantiがお使いの製品向けに整合性チェッカーまたは類似のツールを提供している場合は、実行する。rootレベルの攻撃者がデバイスの自己報告を改ざんする可能性があるため、クリーンな結果は慎重に扱うべきだ。
- ログを確認する。 異常なログイン、予期しない管理変更、奇妙なアウトバウンド接続、および異常な時間帯や不慣れな場所からの認証活動を探す。
- セキュリティチームまたはプロバイダーに尋ねる。 あなたが管理者でない場合は、アプライアンスが確認済みかどうかを直接尋ねる。
緩和策：認証情報のローテーション、監視、防御の多層化
パッチだけではゼロデイの問題を完全に解決できないため、防御は多層化する必要がある。
- 認証情報をローテーションする。 侵害の可能性がある場合、VPNユーザー、サービスアカウント、およびアプライアンス上に保存されているか通過するすべてのシークレットのパスワードを変更する。デバイスを安全にした後に行うこと。そうでなければ、新しい認証情報も同様に窃取される可能性がある。
- 多要素認証を強制する。 窃取されたパスワードだけでできることを制限するが、攻撃者がゲートウェイ自体を制御している場合は完全な解決策にはならない。
- ネットワークをセグメント化する。 VPNユーザーは必要なシステムにのみ到達できるようにすべきであり、侵害されたアカウントやデバイスが自由に移動できないようにする。
- 継続的に監視する。 アプライアンスのログを、アプライアンスが改ざんできない別のシステムに送信し、異常についてアラートを出す。
- 再構築を計画する。 侵害の兆候が見つかった場合は、単純なクリーンアップで十分だと想定するのではなく、デバイスの再構築に関するベンダーのガイダンスに従う。
これがあなたにとって何を意味するか
あなたが管理者であれば、教訓はパッチの状態は安全と同じではないということだ。エッジデバイスには、アップデートだけでなく、監視、露出の制限、インシデント計画が必要である。あなたがConnect Secureを運用している組織のVPNユーザーであれば、アプライアンスを制御することはできないが、パスワードを変更し、提供されている場合は多要素認証を有効にし、予期しないログインプロンプトやセキュリティアラートなど、何かおかしいことがあれば報告することはできる。
次のステップ
今日、Ivanti Connect Secureゼロデイエクスプロイトへの露出を確認しよう。誰がアプライアンスに到達できるかを確認し、最新のIvantiガイダンスを読み、侵害の兆候があれば認証情報をローテーションする。開示とパッチ適用のタイムラインがどのように展開したかの背景については、Ivantiが6月に修正を出さずに脆弱性を発見したに関する以前の報道をお読みください。このエクスプロイトチェーンの詳細は、より多くの情報が出るにつれて変わる可能性があるため、公式ソースを確認し続けてください。
