Cisco เร่งแก้ไขช่องโหว่ระดับรูทในอีเมลเกตเวย์

Cisco ได้เปิดตัวแพตช์ฉุกเฉินสำหรับช่องโหว่ระดับวิกฤตในอุปกรณ์ Secure Email Gateway ซึ่งเป็นเครื่องมือที่องค์กรธุรกิจจำนวนมากพึ่งพาเพื่อกรองสแปม ความพยายามฟิชชิ่ง และมัลแวร์ก่อนที่จะไปถึงกล่องจดหมายของพนักงาน ช่องโหว่นี้รุนแรงพอที่ Cisco ได้ผลักดันการแก้ไขออกนอกกำหนดการปล่อยเวอร์ชันปกติ ซึ่งเป็นสัญญาณที่ชัดเจนว่าบริษัทพิจารณาว่าความเสี่ยงต่อลูกค้าเป็นเรื่องเร่งด่วน

ตามการเปิดเผยของ Cisco ช่องโหว่นี้อาจทำให้ผู้โจมตีสามารถควบคุมอุปกรณ์ที่ได้รับผลกระทบได้โดยใช้จุดอ่อนที่ท้ายที่สุดแล้วให้สิทธิ์ระดับรูท ซึ่งเป็นระดับสิทธิ์สูงสุดบนระบบ สิทธิ์ระดับรูทหมายความว่าผู้โจมตีไม่เพียงแค่แอบดูข้อมูลเท่านั้น แต่ยังอาจกำหนดค่าเครื่องใหม่ ดักจับหรือเปลี่ยนเส้นทางทราฟฟิกอีเมล และใช้เกตเวย์ที่ถูกบุกรุกเป็นฐานในการเคลื่อนตัวลึกเข้าไปในเครือข่ายของบริษัทได้อีกด้วย

นี่ไม่ใช่เหตุการณ์ที่แยกออกมาต่างหากสำหรับสายผลิตภัณฑ์ความปลอดภัยอีเมลของ Cisco ซีโร่เดย์ที่เกี่ยวข้องซึ่งถูกติดตามแยกต่างหากนั้นได้ถูกโจมตีอยู่ก่อนแล้วก่อนรอบแพตช์ล่าสุดนี้ ซึ่งตอกย้ำว่าอุปกรณ์อีเมลเกตเวย์ได้กลายเป็นเป้าหมายที่เกิดซ้ำสำหรับผู้โจมตีที่มองหาจุดเข้าที่เชื่อถือได้สู่เครือข่ายองค์กร

ทำไมอีเมลเกตเวย์จึงเป็นเป้าหมายที่มีมูลค่าสูง

Secure email gateway ตั้งอยู่ที่จุดเชื่อมต่อที่มีความละเอียดอ่อนเป็นพิเศษในโครงสร้างพื้นฐานของบริษัท พวกมันประมวลผลทุกข้อความที่เข้ามาและออกไป ซึ่งหมายความว่ามันสัมผัสกับไฟล์แนบ ลิงก์ การสื่อสารภายใน และบ่อยครั้งรวมถึงข้อมูลรับรองการยืนยันตัวตนที่ฝังอยู่ในเวิร์กโฟลว์อีเมล อุปกรณ์ที่มีการมองเห็นได้มากขนาดนี้ หากถูกบุกรุกในระดับรูท จะมอบจุดได้เปรียบที่ทรงพลังให้กับผู้โจมตี

สำหรับธุรกิจแล้ว นั่นหมายถึงเส้นทางตรงสู่การหลอกลวงทางอีเมลธุรกิจ (BEC) ซึ่งเป็นหนึ่งในประเภทของอาชญากรรมไซเบอร์ที่สร้างความเสียหายทางการเงินมากที่สุด ผู้โจมตีที่ควบคุมอีเมลเกตเวย์อาจดักจับจดหมายสำคัญ แทรกเนื้อหาอันตรายเข้าไปในเธรดอีเมลที่ถูกต้อง หรือเฝ้าติดตามการสื่อสารระหว่างพนักงาน คู่ค้า และลูกค้าอย่างเงียบ ๆ ก่อนที่จะเปิดฉากกลโกงที่ตรงเป้ามากขึ้น เนื่องจากเกตเวย์เป็นโครงสร้างพื้นฐานที่ได้รับการเชื่อถือ กิจกรรมอันตรายที่มาจากมันจึงมีโอกาสน้อยกว่ามากที่จะกระตุ้นสัญญาณเตือนตามปกติที่พนักงานได้รับการฝึกฝนให้สังเกต

นี่คือเหตุผลที่นักวิจัยด้านความปลอดภัยซึ่งอธิบายช่องโหว่ประเภทนี้ได้เรียกการเข้าถึงระดับรูทโดยไม่ต้องยืนยันตัวตนบนอีเมลเกตเวย์ว่าเป็นหนึ่งในฐานที่มั่นที่ดีที่สุดเท่าที่ผู้โจมตีจะได้รับ มันข้ามความจำเป็นในการขโมยรหัสผ่าน หลอกฟิชชิ่งพนักงาน หรือใช้วิศวกรรมสังคมไปเลย

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากองค์กรของคุณใช้งานอุปกรณ์ Cisco Secure Email Gateway สิ่งที่ต้องให้ความสำคัญอันดับแรกคือการนำแพตช์ฉุกเฉินของ Cisco ไปใช้งาน การเลื่อนการอัปเดตบนอุปกรณ์ความปลอดภัยที่หันสู่อินเทอร์เน็ตเป็นหนึ่งในวิธีที่พบบ่อยที่สุดที่ทำให้องค์กรตกอยู่ผิดฝั่งของการถูกบุกรุก เนื่องจากผู้โจมตีมักสแกนหาที่ระบบที่ยังไม่ได้แพตช์ทันทีที่ช่องโหว่ถูกเปิดเผยต่อสาธารณะ

สำหรับธุรกิจขนาดเล็กและขนาดกลางที่อาจไม่มีทีมความปลอดภัยเฉพาะในการติดตามคำเตือนจากผู้จำหน่าย เหตุการณ์นี้เป็นเครื่องเตือนใจว่าเครื่องมือที่ตั้งใจไว้เพื่อปกป้องการสื่อสารของคุณอาจกลายเป็นภาระหนี้สินได้หากปล่อยไว้โดยไม่บำรุงรักษา ควรถามผู้ให้บริการไอทีหรือพันธมิตรผู้ให้บริการจัดการของคุณโดยตรงว่าอุปกรณ์ความปลอดภัยอีเมลของคุณเป็นเวอร์ชันล่าสุดหรือไม่ และการจัดการแพตช์ดำเนินการเชิงรุกหรือแค่ตั้งรับ

ผู้บริโภคและพนักงานที่ทำงานทางไกลที่เชื่อมต่อกับองค์กรที่ได้รับผลกระทบอาจไม่สามารถดำเนินการกับช่องโหว่นี้ได้โดยตรง แต่ก็เป็นเครื่องเตือนใจที่มีประโยชน์ให้พิจารณาใหม่ว่าการสื่อสารทางธุรกิจที่ละเอียดอ่อนได้รับการจัดการในวงกว้างอย่างไร การพึ่งพาเพียงอีเมลเกตเวย์ของผู้จำหน่ายรายเดียวเพื่อการป้องกัน โดยไม่มีชั้นเพิ่มเติมเช่นบริการอีเมลเข้ารหัสหรือ VPN สำหรับการเข้าถึงระบบภายในจากระยะไกล ย่อมรวมความเสี่ยงไว้ในที่เดียว ช่องทางการสื่อสารที่เข้ารหัสและ VPN จะไม่หยุดการโจมตีระดับรูทบนเซิร์ฟเวอร์ของคนอื่นได้ แต่จะลดปริมาณข้อมูลละเอียดอ่อนที่ไหลผ่านจุดล้มเหลวจุดใดจุดหนึ่ง และเพิ่มชั้นการป้องกันสำหรับข้อมูลระหว่างการรับส่ง

สิ่งที่ควรนำไปปฏิบัติ

  • นำแพตช์ฉุกเฉินของ Cisco ไปใช้กับอุปกรณ์ Secure Email Gateway ทันที อย่ารอช่วงบำรุงรักษาตามปกติ
  • ทบทวนว่าองค์กรของคุณมีกระบวนการอย่างเป็นทางการในการติดตามคำเตือนด้านความปลอดภัยจากผู้จำหน่ายหรือไม่ โดยเฉพาะสำหรับอุปกรณ์ที่หันสู่อินเทอร์เน็ต
  • พิจารณาเพิ่มเครื่องมืออีเมลหรือข้อความที่เข้ารหัสเป็นชั้นเสริมสำหรับการสื่อสารทางธุรกิจที่ละเอียดอ่อนที่สุด แทนที่จะพึ่งพาเกตเวย์เดียวทั้งหมด
  • หากคุณจัดการการเข้าถึงระบบภายในจากระยะไกล ตรวจสอบให้แน่ใจว่าการตั้งค่า VPN เป็นเวอร์ชันล่าสุดและการเข้าถึงถูกจำกัดเฉพาะสิ่งที่พนักงานจำเป็นจริง ๆ
  • ติดตามข้อมูลการเปิดเผยที่เกี่ยวข้อง ช่องโหว่นี้ตามมาหลังจากช่องโหว่อื่น ๆ ในสายผลิตภัณฑ์เดียวกันที่ถูกโจมตีจริง ซึ่งบ่งชี้ว่าผู้โจมตีกำลังตรวจสอบอุปกรณ์ประเภทนี้อย่างแข็งขัน

แพตช์ฉุกเฉินของ Cisco ปิดประตูบานหนึ่ง แต่บทเรียนที่กว้างกว่านั้นชัดเจน โครงสร้างพื้นฐานที่ธุรกิจไว้วางใจให้ปกป้องการสื่อสารของพวกเขาต้องการการตรวจสอบอย่างละเอียดและความเร่งด่วนเช่นเดียวกับระบบวิกฤตอื่น ๆ แพตช์อย่างรวดเร็ว ตรวจสอบการป้องกันของคุณ และปฏิบัติต่อคำเตือนด้านความปลอดภัยจากผู้จำหน่ายเป็นส่วนหนึ่งของกิจวัตรทางธุรกิจ ไม่ใช่เรื่องที่คิดทีหลัง