Check Point, jeden z najszerzej wdrożonych dostawców rozwiązań bezpieczeństwa przedsiębiorstw na świecie, potwierdził, że atakujący znaleźli drogę do jego własnej infrastruktury ochronnej. Według doniesień CSO ...

Co się stało w przypadku naruszenia Check Point

Check Point, jeden z najszerzej wdrożonych dostawców rozwiązań bezpieczeństwa przedsiębiorstw na świecie, potwierdził, że atakujący znaleźli drogę do jego własnej infrastruktury ochronnej. Według doniesień CSO Online, dwie luki w zabezpieczeniach o ocenie CVSS 9.8, czyli niemal maksymalnej ocenie dotkliwości w branżowej skali standardowej, zostały wykorzystane do przełamania zabezpieczeń systemów powiązanych z usługą Security Management firmy Check Point. Jedna z tych luk była nowo ujawnionym zerodniowym exploitom (zero-day), co oznacza, że była nieznana obrońcom i niezałatana w momencie, gdy atakujący rozpoczęli jej wykorzystywanie.

Luki o ocenie CVSS 9.8 są rzadkie i niebezpieczne, ponieważ zazwyczaj wymagają niewielkiego uwierzytelnienia lub jego braku i mogą być wykorzystane zdalnie przy minimalnej złożoności. Gdy tak poważna luka znajduje się w platformie zarządzania bezpieczeństwem — narzędziu, którego organizacje używają do konfigurowania i monitorowania zapór sieciowych, bram VPN i zabezpieczeń sieciowych — ryzyko wykracza daleko poza pojedynczy błędnie skonfigurowany serwer. Uderza w warstwę kontroli, od której przedsiębiorstwa są zależne, aby chronić wszystko inne.

Dlaczego naruszenia zapór sieciowych i bram mają znaczenie wykraczające poza przedsiębiorstwo

Produkty Check Point znajdują się na krawędzi tysięcy sieci korporacyjnych, filtrując ruch, zarządzając połączeniami VPN i egzekwując polityki dostępu zarówno dla pracowników, jak i klientów. To właśnie ta pozycja sprawia, że naruszenie jest istotne. Bramy bezpieczeństwa mają być wzmocnionymi drzwiami wejściowymi sieci, ostatnią linią obrony między otwartym internetem a wrażliwymi systemami wewnętrznymi. Gdy dostawca zapewniający te drzwi wejściowe sam zostaje naruszony poprzez lukę zero-day, model zaufania, na którym polegają organizacje, zostaje odwrócony do góry nogami.

To nie jest niszowy problem techniczny ograniczony do działów IT. Bramy bezpieczeństwa takie jak produkty Check Point to infrastruktura, która kieruje i inspekcjonuje dane pracowników pracujących zdalnie, klientów logujących się do portali i partnerów wymieniających informacje. Jeśli atakujący zdobędzie przyczółek w warstwie zarządzania tą infrastrukturą, może być w stanie obserwować ruch, zmieniać konfiguracje lub przemieszczać się głębiej w sieć, która uważała się za chronioną. Oprogramowanie reklamowane jako tarcza stało się w tym przypadku potencjalnym punktem wejścia.

Jak narażona infrastruktura korporacyjna stwarza ryzyko dla danych osobowych

Praktycznym niebezpieczeństwem naruszenia bezpieczeństwa obwodowego jest to, że rzadko pozostaje ono ograniczone do dostawcy. Klienci korporacyjni korzystający z dotkniętych produktów dziedziczą ekspozycję, a co za tym idzie, również pracownicy i klienci, których dane przepływają przez te systemy. Skompromitowana zapora sieciowa lub konsola zarządzania może stać się bazą wypadową do ruchu bocznego do systemów HR, baz danych klientów lub platform finansowych.

Ten wzorzec — naruszenie, które zaczyna się po stronie przedsiębiorstwa i kaskadowo rozprzestrzenia się na ekspozycję danych osobowych — nie jest unikalny dla Check Point. Odbija to sytuację, w której firma energetyczna Shell została zmuszona do zbadania twierdzenia grupy ransomware Cl0p, że ukradła 89 GB danych z jej systemów. W obu przypadkach początkowa luka lub naruszenie istniały na poziomie organizacyjnym, ale konsekwencje ostatecznie dotykają osób, których informacje były przechowywane, przetwarzane lub przesyłane przez tę infrastrukturę. Niezależnie od tego, czy punktem wejścia jest operator ransomware wykorzystujący znaną słabość, czy luka zero-day uderzająca w własną usługę zarządzania dostawcy bezpieczeństwa, wynik dla użytkowników końcowych jest taki sam: dane, które miały być chronione przez korporacyjne zabezpieczenia, nagle stają się zagrożone.

Dodanie niezależnego szyfrowania: co mogą zrobić teraz użytkownicy dbający o prywatność

Lekcja płynąca z tego zdarzenia nie polega na tym, że zapory sieciowe i bramy bezpieczeństwa są bezużyteczne. Pozostają niezbędne. Lekcja jest taka, że żadna pojedyncza warstwa obrony, w tym te zbudowane przez zaufanych dostawców korporacyjnych, nie powinna być traktowana jako nieomylna. Bezpieczeństwo obwodowe może zawieść, poprawki mogą pozostawać w tyle za aktywnym wykorzystywaniem, a nawet luki o ocenie CVSS 9.8 czasami pozostają niewykryte, dopóki nie są już wykorzystywane w rzeczywistych atakach.

Dla osób fizycznych wzmacnia to wartość kontrolowania własnego szyfrowania, zamiast polegania wyłącznie na zaufaniu na poziomie sieci. Osobisty VPN szyfruje ruch niezależnie od infrastruktury bezpieczeństwa, którą ma wdrożoną strona internetowa, pracodawca lub usługodawca. Jeśli korporacyjna brama gdzieś na ścieżce zostanie skompromitowana, ruch, który jest już szyfrowany end-to-end na urządzeniu użytkownika, jest znacznie trudniejszy do przechwycenia lub istotnej manipulacji.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja korzysta z produktów Check Point, natychmiastowym priorytetem jest potwierdzenie, że pilne poprawki lub hotfixy zostały zastosowane, a interfejsy zarządzania nie są niepotrzebnie eksponowane do publicznego internetu. Dla codziennych użytkowników naruszenie jest przypomnieniem, że obietnice bezpieczeństwa składane przez dużych dostawców nie są gwarancjami. Zabezpieczenia obwodowe mogą zawieść po cichu, a zanim naruszenie stanie się publiczne, ekspozycja mogła już nastąpić.

Właśnie dlatego scenariusz naruszenia Check Point przez lukę zero-day i VPN ma znaczenie dla więcej niż tylko administratorów IT. Ilustruje, jak szybko zaufanie do bezpieczeństwa klasy korporacyjnej może zostać podważone i dlaczego osoby fizyczne korzystają na dodaniu własnej warstwy szyfrowania, zamiast zakładać, że operatorzy sieci mają wszystko pod kontrolą.

Praktyczne wnioski

• Jeśli pracujesz dla organizacji lub zarządzasz siecią korzystającą z produktów Check Point, zweryfikuj, czy dostępne poprawki dla ujawnionych luk zostały natychmiast zastosowane.
• Unikaj eksponowania konsol zarządzania bezpieczeństwem lub interfejsów administracyjnych bezpośrednio do internetu, gdy tylko jest to możliwe.
• Traktuj twierdzenie każdej organizacji o bezpiecznym obwodzie jako jedną warstwę ochrony, a nie pełną gwarancję.
• Rozważ korzystanie z osobistego VPN do wrażliwego przeglądania lub pracy zdalnej, aby Twój ruch był szyfrowany niezależnie od infrastruktury znajdującej się między Tobą a miejscem docelowym.
• Bądź czujny na to, jak naruszenia korporacyjne, takie jak to i incydent z Shell związany z Cl0p, mogą rozprzestrzeniać się na ekspozycję danych osobowych, nawet gdy początkowa luka nie miała nic wspólnego z Tobą bezpośrednio.

FAQ: Q1: Jakie luki w zabezpieczeniach zostały wykorzystane w naruszeniu Check Point? A1: Dwie luki w zabezpieczeniach o ocenie CVSS 9.8 zostały wykorzystane do przełamania zabezpieczeń systemów powiązanych z usługą Security Management firmy Check Point, z których jedna była wcześniej nieznaną luką zero-day. Q2: Dlaczego ocena dotkliwości CVSS 9.8 jest tak niebezpieczna? A2: Luki o ocenie CVSS 9.8 są rzadkie i niebezpieczne, ponieważ zazwyczaj wymagają niewielkiego uwierzytelnienia lub jego braku i mogą być wykorzystane zdalnie przy minimalnej złożoności. Q3: Dlaczego naruszenie Check Point ma znaczenie wykraczające poza samą firmę? A3: Produkty Check Point znajdują się na krawędzi tysięcy sieci korporacyjnych, więc naruszenie warstwy kontroli dostawcy może narazić klientów korporacyjnych oraz pracowników i klientów, których dane przepływają przez te systemy. Q4: Co mogą zrobić atakujący, jeśli uzyskają dostęp do warstwy zarządzania bramy bezpieczeństwa? A4: Mogą być w stanie obserwować ruch, zmieniać konfiguracje lub przemieszczać się głębiej w sieć, która uważała się za chronioną. Q5: Czy tego rodzaju naruszenie wpływa na dane osobowe? A5: Tak, wzorzec naruszenia zaczynającego się po stronie przedsiębiorstwa i kaskadowo rozprzestrzeniającego się na ekspozycję danych osobowych nie jest unikalny dla Check Point, ponieważ klienci dziedziczą ekspozycję, a ich dane przepływające przez te systemy są zagrożone. ---END---