Zyxelは、攻撃者が世界中で約1,000台のデバイスを侵害するために悪用した、GS1900シリーズネットワークスイッチのゼロデイ脆弱性にパッチを適用しました。BleepingComputerの報道によると、ハッカーはこの欠陥を利用して設定ファイルと認証情報を窃取しました。自宅、小規模オフィス、またはホームラボでこれらのスイッチのいずれかを運用しているなら、Zyxel GS1900のゼロデイ脆弱性は、今日ファームウェアを確認する十分な理由になります。

Zyxel GS1900スイッチに何が起きたのか

これまでに入手可能な事実は単純です。GS1900シリーズのこれまで知られていなかった欠陥が、修正プログラムが存在する前に悪用されていました。攻撃者はそれを利用して世界中の約1,000台のデバイスに侵入し、機密データ、具体的には設定ファイルと認証情報を引き出しました。Zyxelは現在パッチをリリースしています。

情報源の報道はここで完全な技術的詳細を提供していないため、エクスプロイトがどのように機能するか、または誰が背後にいるかについて推測することはしません。所有者にとって重要なことはシンプルです。この欠陥は実際の攻撃で使用され、修正プログラムが現在利用可能であり、未パッチのデバイスは依然として露出したままです。

盗まれた設定と認証情報がそれほど危険な理由

スイッチは退屈な配管部品のように思えるかもしれませんが、ネットワークの中心に位置しています。その設定ファイルは事実上そのネットワークの地図であり、デバイスがどのように接続されているか、スイッチがどのように管理されているかに関する詳細を含む可能性があります。

認証情報は問題を悪化させます。盗まれたログイン情報は、パスワードが決して変更されなければ、脆弱性にパッチが適用された後でも、攻撃者が後で戻ってくることを可能にします。認証情報はまた、デバイスやサービス間で頻繁に再利用されるため、1台のスイッチから取得したパスワードが他の機器への入口になる可能性があります。

これが、このようなインシデントの後ではパッチ適用だけでは不十分な場合がある理由です。穴を塞ぐことはその欠陥を通じた新たな侵入を止めますが、すでに持ち出されたデータを元に戻すことはできません。

ゼロデイがネットワークハードウェアの所有者にとって何を意味するか

ゼロデイとは、ベンダーがパッチを利用可能にする前に攻撃者が悪用する脆弱性です。防御側にはアドバンテージがなく、初日にインストールできるものは何もありません。

ネットワークハードウェアはこれをいくつかの点で難しくします:

  • 更新は手動です。 スマートフォンやラップトップとは異なり、多くのスイッチやルーターは自動更新されません。誰かがログインし、ファームウェアをダウンロードし、適用する必要があります。
  • デバイスは忘れられます。 クローゼットにしまわれたスイッチは、誰も見ることなく何年も稼働し続けることがあります。
  • 可視性は限られています。 これらのデバイスはめったにセキュリティソフトウェアを実行しないため、侵害が見逃される可能性があります。

この種の機器でゼロデイが発生すると、最初の攻撃から所有者がパッチを適用する瞬間までの間隔が長くなる可能性があります。このギャップこそが、ここで報告されている約1,000台のような侵害が蓄積される場所です。

自宅や小規模オフィスでスイッチとルーターを強化する方法

ベンダーが欠陥を出荷することを防ぐことはできませんが、それが侵害になる可能性を減らすことはできます。これらは一般的なベストプラクティスであり、Zyxelをはるかに超えて適用されます。

  1. ファームウェアを更新する。 GS1900シリーズスイッチを使用している場合は、Zyxelの公式サポートチャネルでパッチ適用済みのファームウェアを確認し、インストールしてください。
  2. 管理インターフェースをインターネットから遠ざける。 Webおよびリモート管理ページは、信頼できる内部ネットワークまたは専用の管理接続からのみ到達可能であるべきです。ルーターのポートフォワーディングとファイアウォールルールを確認して、スイッチを露出するものがないことを確かめてください。
  3. 認証情報をローテーションする。 影響を受けたデバイスの管理者パスワードを変更し、その設定に保存されていた、またはそこから再利用された他のパスワードも変更してください。各デバイスに固有の強力なパスワードを使用してください。
  4. 設定を確認する。 認識できないアカウント、設定、または変更を探してください。何かおかしいと思われる場合は、設定を再適用する前にデバイスを既知の正常な状態に復元することを検討してください。
  5. ネットワークをセグメント化する。 ハードウェアが許す限り、管理トラフィック、ゲストデバイス、スマートホームガジェットを分離して、1台の侵害されたデバイスの到達範囲を減らしてください。
  6. インベントリを維持する。 所有するすべてのネットワークデバイス、そのモデル、ファームウェアバージョンを書き留めてください。忘れてしまったものにパッチを適用することはできません。

VPNは信頼できないネットワーク上でのトラフィック保護に役立ちますが、自分のネットワーク上にある脆弱なスイッチを修正するものではありません。ハードウェア自体を保護することは別の作業です。

これがあなたにとって意味すること

Zyxel GS1900スイッチを所有している場合は、これを時間的制約のある問題として扱ってください。ファームウェアを更新し、管理インターフェースがインターネットから到達できないことを確認し、露出したデバイスに保存された認証情報が見られた可能性があると想定してください。それらを変更することは安価な保険です。

所有していない場合でも、教訓は依然として当てはまります。ホームラボや小規模オフィスは、大規模組織と同じ種類の無人ネットワーク機器を運用することがよくありますが、それを監視する人は少ないです。攻撃者はそれを知っており、単一の製品ラインの欠陥が急速に数百台の侵害されたデバイスに変わる可能性があります。

次のステップ

Zyxel GS1900のゼロデイ脆弱性は、ネットワークハードウェアがコンピューターやスマートフォンと同じくらいの注意に値することを思い出させるものです。今日、次の3つのことを行ってください:

  • Zyxelファームウェアを確認し、GS1900シリーズスイッチを運用している場合はパッチ適用済みバージョンをインストールしてください。
  • インターネットに面した管理を無効にし、管理ページが信頼できるネットワークの内部からのみ到達可能になるようにしてください。
  • 認証情報をローテーションし、スイッチ上およびそのパスワードを共有していたすべてのものに対して行ってください。

その後、数か月ごとにすべてのネットワークデバイスのファームウェアを確認するリマインダーをカレンダーに設定してください。数分のメンテナンスは、侵害後の後片付けよりもはるかに簡単です。