CrowdStrike กำลังตรวจสอบรายงานเกี่ยวกับโค้ดพิสูจน์แนวคิด (proof-of-concept) ที่ถูกเผยแพร่ทางออนไลน์ ซึ่งอ้างว่าสามารถเปลี่ยนฟีเจอร์หนึ่งในเซนเซอร์ Falcon ของบริษัทเอง ซึ่งเป็นฟังก์ชันทำความสะอาดมาโครใน Office ให้กลายเป็นเส้นทางสู่การยกระดับสิทธิ์โดยสมบูรณ์บนระบบ Windows การเปิดเผยครั้งนี้เพิ่มเข้ามาในการตรวจสอบอย่างเข้มงวดที่เครื่องมือตรวจจับและตอบสนองปลายทาง (EDR) ซึ่งองค์กรต่างๆ พึ่งพาเป็นแนวป้องกันหลัก และเป็นเครื่องเตือนใจตามกาลเวลาว่าแม้แต่ซอฟต์แวร์ที่สร้างขึ้นเพื่อหยุดผู้โจมตีก็สามารถกลายเป็นเป้าหมายได้เอง
ช่องโหว่ Zero-Day ใน Falcon จริงๆ แล้วทำอะไร
ตามรายงาน โค้ดพิสูจน์แนวคิดดังกล่าวกำหนดเป้าหมายไปที่ความสามารถที่ถูกต้องตามกฎหมายภายในเซนเซอร์ Falcon สำหรับ Windows ของ CrowdStrike ซึ่งเป็นฟีเจอร์ที่ออกแบบมาเพื่อทำความสะอาดมาโคร Office ที่เป็นอันตราย นักวิจัยอ้างว่ากลไกการทำความสะอาดนี้สามารถถูกจัดการในลักษณะที่อนุญาตให้ผู้โจมตียกระดับสิทธิ์บนเครื่องที่ได้รับผลกระทบ ซึ่งอาจนำไปสู่การเข้าถึงที่ลึกซึ้งยิ่งกว่าที่ฟีเจอร์นี้เคยตั้งใจให้อนุญาต
CrowdStrike ยืนยันว่ากำลังตรวจสอบข้อกล่าวอ้างเหล่านี้ แม้ว่าบริษัทยังไม่ได้เปิดเผยรายละเอียดทางเทคนิคว่าเอ็กซ์พลอยต์ทำงานอย่างไร หรือถูกนำไปใช้ในการโจมตีในโลกจริงหรือไม่ การสอบสวนยังคงดำเนินอยู่ และรายละเอียดเพิ่มเติมมีแนวโน้มจะถูกเปิดเผยเมื่อทีมรักษาความปลอดภัยของ CrowdStrike ตรวจสอบโค้ดที่ถูกรายงาน
นี่ไม่ใช่ครั้งแรกที่ Falcon เผชิญกับการตรวจสอบลักษณะนี้ บริษัทเคยต้องตอบสนองต่อปัญหาการยกระดับสิทธิ์ที่แยกต่างหากซึ่งมีชื่อเล่นว่า FalconFlank ซึ่งส่งผลกระทบต่อ Falcon พร้อมกับผลิตภัณฑ์ความปลอดภัยที่รู้จักกันดีอื่นๆ จาก Kaspersky และ Avast เมื่อนำมารวมกัน การเปิดเผยเหล่านี้ชี้ให้เห็นถึงรูปแบบ: ซอฟต์แวร์ความปลอดภัย เนื่องจากมันทำงานด้วยสิทธิ์ของระบบที่สูงขึ้นเพื่อทำงานของมัน จึงกลายเป็นเป้าหมายที่น่าดึงดูดมากขึ้นสำหรับนักวิจัยและผู้โจมตี alike
ทำไมผู้จำหน่ายซอฟต์แวร์ความปลอดภัยที่ได้รับความเชื่อถือถึงกลายเป็นช่องทางโจมตี
แพลตฟอร์ม EDR อย่าง Falcon ถูกออกแบบมาโดยเจตนาให้มีการเข้าถึงเคอร์เนล กระบวนการ และไฟล์ของระบบอย่างลึกซึ้ง การเข้าถึงนี้คือสิ่งที่ทำให้พวกมันตรวจจับและกักกันภัยคุกคามก่อนที่จะสร้างความเสียหาย แต่มันก็หมายความว่าหากพบข้อบกพร่องในตัวเครื่องมือเอง ผู้โจมตีไม่จำเป็นต้องบุกรุกเครือข่ายจากภายนอก พวกเขาสามารถเข้าควบคุมฟีเจอร์ที่มีกุญแจสู่ระบบอยู่แล้วได้
พลวัตนี้ไม่ได้มีเฉพาะใน CrowdStrike เท่านั้น ผลิตภัณฑ์ความปลอดภัยใดๆ ที่มีการเข้าถึงด้วยสิทธิพิเศษ ไม่ว่าจะเป็นซอฟต์แวร์แอนติไวรัส เอเจนต์ EDR หรือแม้แต่ไคลเอนต์ VPN ที่ทำงานด้วยสิทธิ์ที่สูงขึ้น ล้วนมีความเสี่ยงเชิงโครงสร้างเดียวกัน ยิ่งเครื่องมือทรงพลังมากเท่าไร ข้อบกพร่องในเครื่องมือนั้นก็ยิ่งมีผลกระทบมากขึ้นเท่านั้น ผู้จำหน่ายทั่วทั้งอุตสาหกรรมกำลังเผชิญกับความจริงข้อนี้ และงานวิจัยการล่าภัยคุกคามล่าสุดของ CrowdStrike เองก็ได้สังเกตเห็นการเพิ่มขึ้นอย่างรวดเร็วของการโจมตีที่ขับเคลื่อนด้วย AI ซึ่งเป็นแนวโน้มที่ยิ่งเพิ่มเดิมพันว่าช่องโหว่แบบนี้จะถูกค้นพบและถูกใช้ประโยชน์ได้เร็วเพียงใด
บทเรียนสำหรับทีมรักษาความปลอดภัยไม่ใช่เครื่องมือ EDR ไม่น่าเชื่อถือ แต่คือไม่มีผู้จำหน่ายรายใด ไม่ว่าจะมีชื่อเสียงเพียงใด ควรมองว่าเป็นแนวป้องกันสุดท้ายที่ไม่มีทางผิดพลาด
การป้องกันเชิงลึก (Defense-in-Depth) สำหรับองค์กรและบุคคลมีลักษณะอย่างไร
แนวคิดของการป้องกันเชิงลึกหมายถึงการวางการควบคุมความปลอดภัยหลายชั้นและเป็นอิสระต่อกัน เพื่อให้ความล้มเหลวในชั้นหนึ่งไม่ทำให้ทั้งระบบถูกบุกรุก สำหรับองค์กร นั่นรวมถึงการแบ่งส่วนเครือข่าย การจัดการสิทธิ์ที่เข้มงวด การอัปเดตแพตช์เป็นประจำ และการตรวจสอบที่ไม่ได้พึ่งพาเพียงข้อมูลเทเลเมทรีจากผู้จำหน่าย EDR รายเดียวเท่านั้น มันยังหมายถึงการมีแผนตอบสนองต่อเหตุการณ์ที่ตั้งสมมติฐานว่าเครื่องมือใดๆ รวมถึงซอฟต์แวร์ความปลอดภัย อาจเป็นจุดที่ถูกบุกรุกได้ในที่สุด
สำหรับบุคคล หลักการเดียวกันนี้ใช้ในระดับที่เล็กกว่า การพึ่งพาโปรแกรมแอนติไวรัสหนึ่งตัว VPN หนึ่งตัว หรือตัวจัดการรหัสผ่านหนึ่งตัวเป็นตาข่ายนิรภัยที่สมบูรณ์ ทำให้เกิดจุดล้มเหลวจุดเดียว การผสมผสานแนวทางปฏิบัติในการรับรองความถูกต้องที่แข็งแกร่ง การอัปเดตซอฟต์แวร์เป็นประจำ และการจัดการไฟล์แนบอีเมลและมาโครอย่างระมัดระวังยังคงมีความสำคัญ แม้ว่าเครื่องมือขั้นสูงจะทำงานอยู่เบื้องหลังก็ตาม
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากองค์กรของคุณใช้ CrowdStrike Falcon การเปิดเผยครั้งนี้ไม่ใช่เหตุผลที่จะตื่นตระหนก แต่เป็นเหตุผลที่จะให้ความสนใจ CrowdStrike กำลังสอบสวนอย่างแข็งขัน และอาจมีการอัปเดตหรือแพตช์ตามมา ในระหว่างนี้ ทีมรักษาความปลอดภัยควรตรวจสอบการกำหนดค่า Falcon ของตน อัปเดตเซนเซอร์เป็นเวอร์ชันล่าสุดทันทีที่มีการแก้ไข และตรวจสอบให้แน่ใจว่าการบันทึกและการตรวจสอบไม่ได้พึ่งพาเฉพาะแพลตฟอร์ม Falcon เพียงอย่างเดียว
สำหรับผู้ใช้ทั่วไป ข้อสรุปกว้างๆ คือ: ช่องโหว่ Zero-Day ใน CrowdStrike Falcon เน้นย้ำว่าทำไมความปลอดภัยแบบหลายชั้น แทนที่จะไว้วางใจผู้จำหน่ายรายเดียว ยังคงเป็นแนวทางที่ยืดหยุ่นที่สุดในการปกป้องข้อมูลและระบบ
ขั้นตอนเร่งด่วนสำหรับผู้ใช้ CrowdStrike Falcon ตอนนี้
ทีมรักษาความปลอดภัยที่ใช้งาน Falcon ควรเฝ้าดูคำแนะนำและแพตช์อย่างเป็นทางการจาก CrowdStrike ในขณะที่การสอบสวนดำเนินไป ควรตรวจสอบว่าระบบใดบ้างที่เปิดใช้งานฟีเจอร์ทำความสะอาดมาโคร ทบทวนระดับสิทธิ์ที่มอบให้กับเอเจนต์ความปลอดภัยทั่วทั้งสภาพแวดล้อม และเปรียบเทียบข้อมูลบันทึกการตรวจจับกับแหล่งตรวจสอบรองหากเป็นไปได้ การติดตามข้อมูลผ่านประกาศของ CrowdStrike เอง รวมถึงงานวิจัยอิสระอย่างการค้นพบ FalconFlank ก่อนหน้านี้ จะช่วยให้ทีมตอบสนองได้อย่างรวดเร็วหากมีรายละเอียดทางเทคนิคใหม่เกิดขึ้น
ท้ายที่สุด เหตุการณ์นี้เป็นจุดตรวจสอบที่มีประโยชน์สำหรับองค์กรหรือบุคคลใดๆ ในการทบทวนการตั้งค่าความปลอดภัยแบบหลายชั้นของตน ไม่มีผลิตภัณฑ์เดียว ไม่ว่าจะเป็นแพลตฟอร์ม EDR ซอฟต์แวร์แอนติไวรัส หรือ VPN ที่ควรเป็นเพียงสิ่งเดียวที่ยืนอยู่ระหว่างข้อมูลของคุณกับผู้โจมตี การกระจายแนวป้องกัน การติดตามแพตช์ให้เป็นปัจจุบัน และการติดตามรายงานที่น่าเชื่อถือเกี่ยวกับช่องโหว่ที่เกิดขึ้นใหม่ ยังคงเป็นวิธีที่ดีที่สุดในการก้าวนำหน้าภัยคุกคามแบบนี้
