ช่องโหว่ร้ายแรงในโครงสร้างพื้นฐานระบบเครือข่ายองค์กร

แฮกเกอร์กำลังโจมตีช่องโหว่การแทรกคำสั่งระบบปฏิบัติการ (OS) ระดับวิกฤตใน Arista VeloCloud Orchestrator อย่างต่อเนื่อง ตามรายงานจาก SecurityWeek ช่องโหว่นี้ถูกใช้เป็นวันศูนย์ หมายความว่าผู้โจมตีค้นพบและใช้ประโยชน์ก่อนที่จะมีแพตช์สำหรับป้องกัน

Arista VeloCloud Orchestrator คือแพลตฟอร์มการจัดการแบบรวมศูนย์เบื้องหลังผลิตภัณฑ์ SD-WAN (เครือข่ายบริเวณกว้างที่กำหนดโดยซอฟต์แวร์) ของ Arista องค์กรต่างๆ ใช้แพลตฟอร์มนี้เพื่อกำหนดค่า ตรวจสอบ และควบคุมวิธีการเคลื่อนที่ของทราฟฟิกผ่านเครือข่ายที่กระจายตัวอยู่ เชื่อมต่อสำนักงานสาขา ศูนย์ข้อมูล และสภาพแวดล้อมคลาวด์ผ่านคอนโซลการจัดการเพียงจุดเดียว บทบาทแบบรวมศูนย์นี่เองที่ทำให้ช่องโหว่ลักษณะนี้ส่งผลกระทบร้ายแรง: เมื่อผู้โจมตีเจาะเข้าควบคุมออร์เคสตราเตอร์ได้ ก็จะสามารถมองเห็นหรือควบคุมวิธีการที่ทราฟฟิกของทั้งองค์กรถูกจัดเส้นทางและจัดการ

เหตุใดช่องโหว่การแทรกคำสั่งระบบปฏิบัติการจึงเป็นอันตรายอย่างยิ่ง

ช่องโหว่การแทรกคำสั่งระบบปฏิบัติการเปิดทางให้ผู้โจมตีสามารถแทรกและเรียกใช้คำสั่งระบบปฏิบัติการใดๆ บนเซิร์ฟเวอร์ที่รันซอฟต์แวร์ที่มีช่องโหว่ ในทางปฏิบัติ แฮกเกอร์สามารถรันคำสั่งด้วยสิทธิ์เดียวกับตัวแอปพลิเคชันเอง ซึ่งอาจรวมถึงการอ่านข้อมูลการกำหนดค่าที่ละเอียดอ่อน ติดตั้งเครื่องมือเพิ่มเติม หรือเจาะลึกเข้าไปในเครือข่าย

เมื่อช่องโหว่ประเภทนี้อยู่ในแพลตฟอร์มการจัดการหรือออร์เคสตราเตอร์ แทนที่จะเป็นอุปกรณ์ปลายทางเพียงเครื่องเดียว ความเสี่ยงก็จะยิ่งสูงขึ้นมาก คอนโซลการจัดการอย่าง VeloCloud Orchestrator อยู่ในตำแหน่งที่มีสิทธิ์สูงในสถาปัตยกรรมเครือข่าย: อุปกรณ์ทุกเครื่องที่ถูกจัดการจะเชื่อถือคอนโซลนี้ การโจมตีระบบประเภทนี้สำเร็จไม่เพียงทำให้เครื่องเดียวตกอยู่ในความเสี่ยง แต่ยังเสี่ยงต่อความสมบูรณ์ของโครงข่ายเครือข่ายที่เชื่อมต่อหลายไซต์และผู้ใช้จำนวนมาก

รูปแบบนี้ไม่ได้เกิดเฉพาะกับ Arista นักวิจัยด้านความปลอดภัยได้ติดตามช่องโหว่วันศูนย์และช่องโหว่ที่ถูกโจมตีอย่างต่อเนื่องในเครื่องมือจัดการระบบเครือข่ายและความปลอดภัยขององค์กรตลอดปีที่ผ่านมา ลักษณะคล้ายกันนี้เคยเกิดขึ้นกับ แคมเปญขโมยข้อมูล FortiClient EMS ซึ่งผู้โจมตีใช้ช่องโหว่ร้ายแรงในเซิร์ฟเวอร์จัดการอุปกรณ์ปลายทางของ Fortinet และอีกครั้งเมื่อ ผู้โจมตีที่รัฐสนับสนุนเล็งเป้าไปที่ไฟร์วอลล์ของ Palo Alto ผ่านช่องโหว่วันศูนย์ใน PAN-OS ชั้นการจัดการและออร์เคสตรากำลังกลายเป็นเป้าหมายที่น่าสนใจมากขึ้นเรื่อยๆ เพราะการเจาะเข้าควบคุมอินเทอร์เฟซเพียงจุดเดียวสามารถเปิดทางเข้าถึงโครงสร้างพื้นฐานของทั้งองค์กรได้ในวงกว้าง

มุมมองด้านความเป็นส่วนตัว: ความเสี่ยงที่แท้จริงคืออะไร

ขณะที่รายงานของ SecurityWeek เน้นไปที่การใช้ประโยชน์ทางเทคนิคของช่องโหว่ ก็ควรหยุดคิดสักนิดว่าการรั่วไหลของ SD-WAN ออร์เคสตราเตอร์จะส่งผลต่อความเป็นส่วนตัวอย่างไรบ้าง แพลตฟอร์มเหล่านี้มักมีข้อมูลเชิงลึกเกี่ยวกับรูปแบบทราฟฟิก กฎการจัดเส้นทาง และการเชื่อมต่อระหว่างสำนักงาน พนักงานระยะไกล และบริการคลาวด์ ผู้โจมตีที่เข้าถึงชั้นนี้อาจสามารถสังเกตข้อมูลเมตาเกี่ยวกับกิจกรรมเครือข่าย จัดการการจัดเส้นทางเพื่อดักจับทราฟฟิก หรือใช้จุดยึดเพื่อเคลื่อนตัวในแนวข้างไปยังระบบที่มีข้อมูลละเอียดอ่อนกว่า เช่น ฐานข้อมูลลูกค้าหรือแอปพลิเคชันภายใน

สำหรับธุรกิจที่พึ่งพา SD-WAN เพื่อเชื่อมต่อพนักงานระยะไกลและแบบผสมผสาน นี่เป็นข้อเตือนใจว่าเครื่องมือการจัดการเครือข่ายสมควรได้รับการตรวจสอบอย่างเข้มงวดเช่นเดียวกับซอฟต์แวร์ความปลอดภัยปลายทาง ช่องโหว่เพียงจุดเดียวที่ยังไม่ได้แพตช์ในคอนโซลรวมศูนย์สามารถทำลายการป้องกันที่สร้างขึ้นในอุปกรณ์ทุกเครื่องที่มันจัดการ คล้ายกับที่ ช่องโหว่วันศูนย์ในอินเทอร์เฟซการจัดการ SmartConsole ของ Check Point ทำให้กลุ่มไฟร์วอลล์ที่ถูกจัดการทั้งกลุ่มตกอยู่ในความเสี่ยง ไม่ใช่แค่เครื่องเดียว

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากองค์กรของคุณใช้ Arista VeloCloud Orchestrator ลำดับความสำคัญเร่งด่วนคือการตรวจสอบว่ามีแพตช์หรือมาตรการบรรเทาผลกระทบออกมาแล้วหรือยัง และดำเนินการติดตั้งทันทีที่ทำได้ การถูกโจมตีแบบวันศูนย์หมายความว่าผู้โจมตีเริ่มต้นก่อน ดังนั้นการแพตช์อย่างทันท่วงทีและการตรวจสอบบันทึกระบบเพื่อหาสัญญาณของกิจกรรมที่ผิดปกติจึงเป็นขั้นตอนสำคัญ

สำหรับผู้ใช้ทั่วไปและองค์กรขนาดเล็กที่ไม่ได้จัดการโครงสร้างพื้นฐาน SD-WAN ขององค์กรโดยตรง บทเรียนที่กว้างขึ้นคือธรรมชาติที่เชื่อมโยงกันของความปลอดภัยเครือข่าย ช่องโหว่ในเครื่องมือที่ใช้จัดการผู้ให้บริการอินเทอร์เน็ต เครือข่ายของนายจ้าง หรือผู้ให้บริการคลาวด์ของคุณ สามารถส่งผลกระทบทางอ้อมต่อข้อมูลของคุณได้ แม้ว่าคุณจะไม่เคยใช้งานซอฟต์แวร์ที่มีช่องโหว่โดยตรงก็ตาม

ข้อสรุปที่นำไปปฏิบัติได้

  • ทีมไอทีที่ดูแล Arista VeloCloud Orchestrator ควรตรวจสอบคำแนะนำจากผู้ผลิตและติดตั้งแพตช์ทันทีเมื่อมีให้ใช้งาน
  • ตรวจสอบบันทึกเครือข่ายเพื่อหาความพยายามแทรกคำสั่งหรือกิจกรรมการดูแลระบบที่ผิดปกติบนระบบออร์เคสตราเตอร์
  • จำกัดการเข้าถึงด้านการดูแลระบบไปยังแพลตฟอร์มออร์เคสตราเฉพาะผู้ที่จำเป็นต้องใช้งานเท่านั้น และบังคับใช้การตรวจสอบสิทธิ์ที่แข็งแกร่ง
  • ปฏิบัติต่อคอนโซลการจัดการเครือข่ายด้วยความเร่งด่วนเช่นเดียวกับระบบที่ลูกค้าใช้งานโดยตรงในเรื่องการจัดการแพตช์ เนื่องจากการเจาะระบบเหล่านี้สามารถลุกลามไปทั่วทั้งองค์กร
  • ติดตามข้อมูลเกี่ยวกับการเปิดเผยช่องโหว่วันศูนย์ที่ส่งผลกระทบต่อโครงสร้างพื้นฐานเครือข่าย เนื่องจากช่องโหว่เหล่านี้ตกเป็นเป้าหมายของทั้งผู้คุกคามที่ฉวยโอกาสและมีความซับซ้อนมากขึ้นเรื่อยๆ

ดังที่ช่องโหว่ Arista VeloCloud Orchestrator ครั้งนี้แสดงให้เห็น เครื่องมือที่องค์กรไว้วางใจให้จัดการเครือข่ายสามารถกลายเป็นจุดเข้าที่ผู้โจมตีใช้ประโยชน์ได้ การอัปเดตแพตช์ให้ทันสมัยและรักษาความสามารถในการมองเห็นระบบการดูแลระบบยังคงเป็นการป้องกันที่น่าเชื่อถือที่สุดต่อภัยคุกคามวันศูนย์เช่นนี้