พบการโจมตีแบบ zero-day exploit chain ที่มุ่งเป้าไปยังอุปกรณ์ Ivanti Connect Secure VPN ในโลกจริง ตามรายงานจากบริษัทด้านความปลอดภัย Rescana ผลกระทบที่รายงานว่าร้ายแรงคือ ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถเข้าถึงการรันโค้ดระยะไกลระดับ root และขโมยข้อมูลรับรอง แม้กับอุปกรณ์ที่อัปเดตแพตช์ครบถ้วนแล้วก็ตาม ช่องโหว่ zero-day ของ Ivanti Connect Secure นี้เป็นเครื่องเตือนใจว่า VPN gateway ที่ตั้งอยู่บริเวณขอบเครือข่ายเป็นหนึ่งในเป้าหมายที่มีค่าที่สุดที่ผู้โจมตีเลือกได้
รายงานต้นทางมีให้เราเข้าถึงเพียงบางส่วนเท่านั้น บทความนี้จึงยึดตามสิ่งที่ได้รับการยืนยันแล้วและหลีกเลี่ยงการคาดเดาเกี่ยวกับรายละเอียดทางเทคนิค ในส่วนที่เราให้คำแนะนำ เป็นแนวปฏิบัติด้านความปลอดภัยทั่วไป ไม่ใช่คำแนะนำที่ออกโดยผู้ผลิต
ทำไมอุปกรณ์ VPN ที่อัปเดตแพตช์ครบถ้วนแล้วจึงยังถูกเจาะได้
คำว่า "zero-day" อธิบายได้เกือบทั้งหมด zero-day คือช่องโหว่ที่ผู้โจมตีใช้ประโยชน์ก่อนที่จะมีแพตช์ ดังนั้นการติดตั้งอัปเดตที่มีอยู่ทั้งหมดจึงไม่ช่วยป้องกันได้ อุปกรณ์ที่อัปเดตแพตช์ครบถ้วนจะได้รับการป้องกันเฉพาะปัญหาที่เป็นที่รู้จักและได้รับการแก้ไขแล้วเท่านั้น
รายงานระบุว่าเป็นการโจมตีแบบ exploit chain หมายถึงช่องโหว่หลายอย่างที่เชื่อมโยงกัน การเชื่อมโยงหลายช่องโหว่เป็นเรื่องปกติในการโจมตีที่ร้ายแรง เพราะบั๊กเพียงตัวเดียวมักไม่ให้การควบคุมทั้งหมดได้ด้วยตัวเอง เมื่อรวมกันแล้ว ช่องโหว่เล็กๆ หลายอย่างสามารถพาผู้โจมตีจากการไม่มีสิทธิ์เข้าถึงเลยไปสู่การควบคุมอุปกรณ์ทั้งหมด โดยไม่ต้องเข้าสู่ระบบ
สำหรับบริบทด้านเวลา vpn.social ได้รายงานเกี่ยวกับการที่ Ivanti รู้จักช่องโหว่ส่วนหนึ่งมาก่อนหน้านี้แล้ว ในรายงานนั้น Ivanti กล่าวว่าพวกเขาพบข้อบกพร่องส่วนหนึ่งหลายเดือนก่อนที่ผู้โจมตีจะใช้มัน แต่ตัดสินว่าไม่ถึงเกณฑ์ที่จะออกแพตช์แบบเร่งด่วน ประวัตินี้สำคัญเพราะแสดงให้เห็นว่าช่องว่างระหว่างเวลาที่ผู้ผลิตพบปัญหากับเวลาที่ลูกค้าได้รับการแก้ไขนั้นอาจยาวนานเพียงใด
การเข้าถึงระดับ root และการขโมยข้อมูลรับรองหมายความว่าอย่างไรต่อผู้ใช้
Root คือระดับสิทธิ์สูงสุดบนระบบที่ใช้ Linux ผู้โจมตีที่มีสิทธิ์ root บนอุปกรณ์ VPN ไม่ได้จำกัดอยู่แค่สิ่งที่ผู้ใช้ทั่วไปทำได้ พวกเขาอาจอ่านหรือเปลี่ยนแปลงทุกสิ่งที่อุปกรณ์จัดการได้ แก้ไขการตั้งค่า และรันโค้ดของตัวเอง
การขโมยข้อมูลรับรองคือส่วนที่ส่งผลกระทบต่อผู้ใช้ทั่วไปมากที่สุด อุปกรณ์ VPN ประมวลผลการเข้าสู่ระบบของพนักงาน ผู้รับเหมา และพันธมิตร หากผู้โจมตีสามารถดักจับข้อมูลรับรองเหล่านั้นได้ ความเสียหายอาจลุกลามไปไกลเกินกว่าตัวอุปกรณ์:
- ชื่อผู้ใช้และรหัสผ่านที่ถูกขโมยสามารถนำไปใช้ซ้ำเพื่อเข้าถึงระบบภายใน อีเมล และบริการคลาวด์
- บัญชีที่ถูกบุกรุกอาจดูเหมือนพนักงานรีโมทที่ถูกต้องตามกฎหมาย ซึ่งทำให้กิจกรรมที่เป็นอันตรายตรวจจับได้ยากขึ้น
- ผู้โจมตีอาจคงการเข้าถึงผ่านข้อมูลรับรองที่ถูกขโมยไว้ได้แม้หลังจากที่อุปกรณ์เองถูกทำความสะอาดแล้ว
หากคุณเชื่อมต่อกับที่ทำงานผ่าน Connect Secure ความเสี่ยงในทางปฏิบัติคือข้อมูลเข้าสู่ระบบของคุณอาจถูกเปิดเผยโดยที่คุณไม่ได้ทำอะไรผิด
วิธีตรวจสอบว่าอุปกรณ์ Connect Secure ของคุณเสี่ยงต่อการถูกโจมตีหรือไม่
หากคุณใช้งาน Ivanti Connect Secure ให้สันนิษฐานว่าเป็นเป้าหมายที่เป็นไปได้จนกว่าจะมีหลักฐานพิสูจน์เป็นอย่างอื่น การตรวจสอบที่สมเหตุสมผลมีดังนี้:
- ยืนยันความเสี่ยงที่เปิดเผย ค้นหาว่าอุปกรณ์สามารถเข้าถึงได้จากอินเทอร์เน็ตหรือไม่ และใครสามารถเข้าถึงอินเทอร์เฟซการจัดการได้ สิ่งใดที่ไม่จำเป็นต้องเป็นสาธารณะก็ไม่ควรเป็น
- ติดตามประกาศจาก Ivanti ผู้ผลิตเป็นแหล่งข้อมูลที่เชื่อถือได้สำหรับการแก้ไขอย่างเป็นทางการ มาตรการบรรเทา และคำแนะนำในการตรวจจับ และรายละเอียดเหล่านี้อาจเปลี่ยนแปลงได้เมื่อการสอบสวนดำเนินต่อไป
- ใช้เครื่องมือตรวจสอบความสมบูรณ์ของผู้ผลิต หาก Ivanti มีเครื่องมือตรวจสอบความสมบูรณ์หรือเครื่องมือที่คล้ายกันสำหรับผลิตภัณฑ์ของคุณ ให้รันมัน ควรระมัดระวังกับผลลัพธ์ที่สะอาด เนื่องจากผู้โจมตีระดับ root อาจดัดแปลงสิ่งที่อุปกรณ์รายงานเกี่ยวกับตัวเอง
- ตรวจสอบบันทึก มองหาการเข้าสู่ระบบที่ผิดปกติ การเปลี่ยนแปลงด้านการดูแลระบบที่ไม่คาดคิด การเชื่อมต่อขาออกที่แปลกประหลาด และกิจกรรมการยืนยันตัวตนในเวลาที่แปลกหรือจากสถานที่ที่ไม่คุ้นเคย
- สอบถามทีมความปลอดภัยหรือผู้ให้บริการของคุณ หากคุณไม่ใช่ผู้ดูแลระบบ ให้ถามพวกเขาโดยตรงว่าอุปกรณ์ได้รับการตรวจสอบแล้วหรือไม่
ขั้นตอนการบรรเทาผลกระทบ: เปลี่ยนข้อมูลรับรอง เฝ้าระวัง และป้องกันแบบหลายชั้น
เนื่องจากแพตช์ไม่สามารถแก้ปัญหา zero-day ได้อย่างสมบูรณ์ การป้องกันจึงต้องทำแบบหลายชั้น
- เปลี่ยนข้อมูลรับรอง หากการถูกบุกรุกเป็นไปได้ ให้เปลี่ยนรหัสผ่านสำหรับผู้ใช้ VPN บัญชีบริการ และข้อมูลลับใดๆ ที่จัดเก็บไว้บนหรือส่งผ่านอุปกรณ์ ทำสิ่งนี้หลังจากที่คุณsecuredอุปกรณ์แล้ว มิฉะนั้นข้อมูลรับรองใหม่ก็อาจถูกดักจับได้เช่นกัน
- บังคับใช้การยืนยันตัวตนหลายปัจจัย ช่วยจำกัดสิ่งที่รหัสผ่านที่ถูกขโมยจะทำได้ แม้ว่าจะไม่ใช่คำตอบที่สมบูรณ์หากผู้โจมตีควบคุม gateway เอง
- แบ่งส่วนเครือข่าย ผู้ใช้ VPN ควรเข้าถึงเฉพาะระบบที่จำเป็น เพื่อให้บัญชีหรืออุปกรณ์ที่ถูกบุกรุกไม่สามารถเคลื่อนที่ได้อย่างอิสระ
- เฝ้าระวังอย่างต่อเนื่อง ส่งบันทึกของอุปกรณ์ไปยังระบบแยกต่างหากที่อุปกรณ์ไม่สามารถแก้ไขได้ และแจ้งเตือนเมื่อพบความผิดปกติ
- วางแผนสำหรับการสร้างใหม่ หากคุณพบสัญญาณของการถูกบุกรุก ให้ปฏิบัติตามคำแนะนำของผู้ผลิตเกี่ยวกับการสร้างอุปกรณ์ใหม่ แทนที่จะสันนิษฐานว่าการทำความสะอาดแบบง่ายๆ เพียงพอแล้ว
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณเป็นผู้ดูแลระบบ บทเรียนคือสถานะการอัปเดตแพตช์ไม่เหมือนกับความปลอดภัย อุปกรณ์ที่อยู่บริเวณขอบเครือข่ายต้องการการเฝ้าระวัง การจำกัดการเปิดเผย และแผนรับมือเหตุการณ์ ไม่ใช่แค่การอัปเดต หากคุณเป็นผู้ใช้ VPN ในองค์กรที่ใช้งาน Connect Secure คุณไม่ได้ควบคุมอุปกรณ์ แต่คุณสามารถเปลี่ยนรหัสผ่าน เปิดใช้งานการยืนยันตัวตนหลายปัจจัยในที่ที่มีให้ และรายงานสิ่งผิดปกติใดๆ เช่น หน้าต่างเข้าสู่ระบบที่ไม่คาดคิดหรือการแจ้งเตือนด้านความปลอดภัย
ขั้นตอนถัดไป
ตรวจสอบความเสี่ยงจากช่องโหว่ zero-day ของ Ivanti Connect Secure ของคุณวันนี้: ตรวจสอบว่าใครสามารถเข้าถึงอุปกรณ์ได้ อ่านคำแนะนำล่าสุดของ Ivanti และเปลี่ยนข้อมูลรับรองหากมีสัญญาณของการถูกบุกรุกใดๆ สำหรับข้อมูลเบื้องหลังเกี่ยวกับไทม์ไลน์ของการเปิดเผยและการแพตช์ อ่านรายงานก่อนหน้าของเราเกี่ยวกับการที่ Ivanti พบช่องโหว่ในเดือนมิถุนายนโดยไม่ออกแพตช์ รายละเอียดของ exploit chain นี้อาจเปลี่ยนแปลงได้เมื่อมีข้อมูลเพิ่มเติม ดังนั้นโปรดตรวจสอบแหล่งข้อมูลอย่างเป็นทางการอยู่เสมอ
