De ce contează o breșă Check Point dincolo de compania însăși?

Produsele Check Point se află la marginea a mii de rețele corporative, astfel încât compromiterea stratului de control al furnizorului poate expune clienții enterprise și angajații și clienții ale căror date circulă prin acele sisteme.

Acest tip de breșă afectează datele personale?

Da, tiparul unei breșe care începe pe partea enterprise și se propagă spre exterior în expunerea datelor personale nu este unic pentru Check Point, deoarece clienții moștenesc expunerea și datele lor care circulă prin acele sisteme sunt în pericol.

Breșă zero-day la Check Point afectează gateway-uri de securitate cu CVSS 9.8

Q: Ce vulnerabilități au fost exploatate în breșa Check Point?

Două vulnerabilități evaluate cu CVSS 9.8 au fost folosite pentru a compromite sisteme legate de serviciul Security Management al Check Point, dintre care una era un zero-day anterior necunoscut.

Q: Ce ar putea face atacatorii dacă obțin acces la stratul de management al unui gateway de securitate?

Ar putea fi capabili să observe traficul, să modifice configurații sau să pivoteze mai adânc într-o rețea care credea că este protejată.

Ce s-a întâmplat în breșa Check Point

Check Point, unul dintre cei mai răspândiți furnizori de securitate enterprise din lume, a confirmat că atacatorii au găsit o cale de a pătrunde în propria sa infrastructură de protecție. Conform relatărilor de la CSO Online, două vulnerabilități evaluate cu CVSS 9.8, scorul de severitate aproape maxim pe scara standard a industriei, au fost folosite pentru a compromite sisteme legate de serviciul Security Management al Check Point. Una dintre vulnerabilități era un zero-day nou divulgat, ceea ce înseamnă că era necunoscut apărătorilor și nepatchat în momentul în care atacatorii au început să îl exploateze.

Vulnerabilitățile CVSS 9.8 sunt rare și periculoase deoarece necesită de obicei puțină sau deloc autentificare și pot fi exploatate de la distanță cu complexitate minimă. Când o vulnerabilitate atât de severă se află în interiorul unei platforme de management al securității, instrumentul pe care organizațiile îl folosesc pentru a-și configura și monitoriza firewall-urile, gateway-urile VPN și apărările de rețea, riscul se extinde mult dincolo de un singur server configurat greșit. Acesta lovește stratul de control pe care întreprinderile se bazează pentru a menține tot restul în siguranță.

De ce compromiterea firewall-urilor și gateway-urilor contează dincolo de întreprindere

Produsele Check Point se află la marginea a mii de rețele corporative, filtrând traficul, gestionând conexiunile VPN și aplicând politici de acces atât pentru angajați, cât și pentru clienți. Această poziționare este exact motivul pentru care breșa este semnificativă. Gateway-urile de securitate ar trebui să fie ușa din față fortificată a unei rețele, ultima linie de apărare între internetul deschis și sistemele interne sensibile. Când furnizorul care asigură acea ușă din față este el însuși compromis printr-un zero-day, modelul de încredere pe care organizațiile se bazează este răsturnat cu susul în jos.

Aceasta nu este o problemă tehnică de nișă limitată la departamentele IT. Gateway-urile de securitate precum cele ale Check Point sunt infrastructura care rutează și inspectează datele angajaților care lucrează de la distanță, ale clienților care se conectează la portaluri și ale partenerilor care schimbă informații. Dacă un atacator obține o poziție în stratul de management al acelei infrastructuri, ar putea fi capabil să observe traficul, să modifice configurații sau să pivoteze mai adânc într-o rețea care credea că este protejată. Chiar software-ul promovat ca scut a devenit, în acest caz, un potențial punct de intrare.

Cum infrastructura corporativă expusă pune datele personale în pericol

Pericolul practic al unei breșe de securitate perimetrală este că rareori rămâne limitat la furnizor. Clienții enterprise care rulează produsele afectate moștenesc expunerea și, implicit, la fel fac angajații și clienții ale căror date circulă prin acele sisteme. Un firewall sau o consolă de management compromisă poate deveni o bază de pregătire pentru mișcarea laterală în sistemele HR, bazele de date ale clienților sau platformele financiare.

Acest tipar, o breșă care începe pe partea enterprise și se propagă spre exterior în expunerea datelor personale, nu este unic pentru Check Point. Oglindește ceea ce s-a întâmplat când compania energetică Shell a fost forțată să investigheze o afirmație a grupului de ransomware Cl0p că ar fi furat 89GB de date din sistemele sale. În ambele cazuri, vulnerabilitatea sau compromiterea inițială a existat la nivel organizațional, dar consecințele ajung în cele din urmă la persoanele ale căror informații erau stocate, procesate sau transmise prin acea infrastructură. Indiferent dacă punctul de intrare este un operator de ransomware care exploatează o slăbiciune cunoscută sau un zero-day care lovește propriul serviciu de management al unui furnizor de securitate, rezultatul pentru utilizatorii finali este același: datele care ar fi trebuit protejate de apărările corporative sunt brusc în pericol.

Adăugarea criptării independente: Ce pot face acum utilizatorii preocupați de confidențialitate

Lecția aici nu este că firewall-urile și gateway-urile de securitate sunt inutile. Ele rămân esențiale. Lecția este că niciun singur strat de apărare, inclusiv cele construite de furnizori enterprise de încredere, nu ar trebui tratat ca infailibil. Securitatea perimetrală poate eșua, patch-urile pot rămâne în urma exploatării active, iar chiar și vulnerabilitățile CVSS 9.8 trec uneori nedetectate până când sunt deja folosite în sălbăticie.

Pentru indivizi, acest lucru întărește valoarea controlării propriei criptări în loc să te bazezi în întregime pe încrederea la nivel de rețea. Un VPN personal criptează traficul independent de orice infrastructură de securitate pe care un site web, angajator sau furnizor de servicii o are în loc. Dacă un gateway corporativ undeva pe traseu este compromis, traficul care este deja criptat end-to-end la dispozitivul utilizatorului este mult mai greu de interceptat sau manipulat în mod semnificativ.

Ce înseamnă asta pentru tine

Dacă organizația ta folosește produse Check Point, prioritatea imediată este confirmarea că patch-urile de urgență sau hotfix-urile au fost aplicate și că interfețele de management nu sunt expuse inutil la internetul public. Pentru utilizatorii de zi cu zi, breșa este o reamintire că promisiunile de securitate făcute de marii furnizori nu sunt garanții. Apărările perimetrale pot eșua în tăcere, iar până când o breșă devine publică, expunerea s-ar putea să fi avut deja loc.

Acesta este exact motivul pentru care un scenariu VPN de breșă zero-day la Check Point contează pentru mai mult decât administratorii IT. Ilustrează cât de repede poate fi subminată încrederea în securitatea de nivel enterprise și de ce indivizii beneficiază de pe urma adăugării propriului strat de criptare în loc să presupună că operatorii de rețea au totul acoperit.

Concluzii acționabile

Dacă lucrezi pentru sau administrezi o rețea care folosește produse Check Point, verifică dacă patch-urile disponibile pentru vulnerabilitățile divulgate au fost aplicate imediat.
Evită expunerea consolelor de management al securității sau a interfețelor de administrare direct la internet ori de câte ori este posibil.
Tratează orice afirmație a unei organizații privind un perimetru securizat ca un singur strat de protecție, nu ca o garanție completă.
Ia în considerare utilizarea unui VPN personal pentru navigare sensibilă sau muncă la distanță, astfel încât traficul tău să fie criptat independent de orice infrastructură se află între tine și destinație.
Rămâi vigilant cu privire la modul în care breșele enterprise, precum aceasta și incidentul Shell legat de Cl0p, pot avea efecte în lanț asupra expunerii datelor personale chiar și atunci când vulnerabilitatea inițială nu a avut nimic de-a face cu tine direct.