Ivanti กล่าวว่าบริษัทตรวจพบส่วนหนึ่งของข้อบกพร่องที่อยู่เบื้องหลัง Ivanti Connect Secure zero-day ที่เพิ่งถูกโจมตีเมื่อไม่นานมานี้ หลายเดือนก่อนที่ผู้โจมตีจะใช้ประโยชน์จากมัน แต่ตัดสินใจว่าปัญหาดังกล่าวไม่ถึงเกณฑ์ที่จะออกแพตช์แบบ out-of-band ตามรายงานจาก CyberScoop บริษัทพบช่องโหว่ส่วนหนึ่งระหว่างการตรวจสอบความปลอดภัยภายในในเดือนมิถุนายน เมื่อถึงเวลาที่การแก้ไขกลายเป็นเรื่องเร่งด่วน ผู้โจมตีก็ใช้ประโยชน์จากช่องโหว่นี้ในโลกความจริงไปแล้ว

ลำดับเหตุการณ์นี้คือสิ่งที่ทำให้เรื่องนี้น่าสนใจ มันไม่ใช่เรื่องของช่องโหว่ที่คาดไม่ถึง แต่เป็นเรื่องของการตัดสินใจที่ผ่านไปแล้วดูไม่เข้าท่า

สิ่งที่ Ivanti พบในเดือนมิถุนายนและเหตุใดจึงรอ

คำอธิบายของ Ivanti ตามที่ CyberScoop สรุปไว้ แคบแต่สำคัญ การตรวจสอบภายในของบริษัทเองพบข้อบกพร่องส่วนหนึ่งในเดือนมิถุนายน จากนั้น Ivanti ประเมินมันเทียบกับเกณฑ์สำหรับการออกแพตช์แบบ out-of-band ซึ่งหมายถึงแพตช์ที่ออกนอกวงรอบการอัปเดตตามกำหนดปกติ และสรุปว่ามันไม่ถึงเกณฑ์นั้น

ในทางปฏิบัติ ผู้จำหน่ายจะจัดลำดับความสำคัญของสิ่งที่ค้นพบตามความรุนแรง ความสามารถในการถูกโจมตี และหลักฐานการถูกใช้ประโยชน์ ช่องโหว่ที่ดูเหมือนเข้าถึงได้ยากหรือมีผลกระทบต่ำในตัวเองมักจะรอการอัปเดตตามรอบปกติ ประเด็นก็คือบริษัทกล่าวว่าพวกเขาเห็นเพียงส่วนหนึ่งของข้อบกพร่อง การมองเห็นช่องโหว่เพียงบางส่วนอาจประเมินความอันตรายต่ำเกินไปเมื่อมีคนพบส่วนที่เหลือ

เนื้อหาต้นทางที่ให้ไว้ที่นี่ไม่ได้ลงรายละเอียดลักษณะทางเทคนิคทั้งหมดของช่องโหว่ ดังนั้นจึงควรระมัดระวังว่าอะไรคือสิ่งที่รู้และอะไรคือสิ่งที่ไม่รู้ สิ่งที่ถูกรายงาน ได้แก่ วันที่ค้นพบ การประเมินภายใน และการตัดสินใจที่จะไม่รีบแก้ไข

ช่องโหว่กลายเป็น zero-day ที่ถูกใช้ประโยชน์ได้อย่างไร

ช่องโหว่จะกลายเป็น zero-day เมื่อผู้โจมตีใช้ประโยชน์จากมันก่อนที่แพตช์จะมี นั่นคือสถานการณ์ที่ถูกรายงานสำหรับ Connect Secure เนื่องจากการแก้ไขยังไม่ออก ผู้ป้องกันจึงไม่มีวิธีแก้ไขอย่างเป็นทางการเมื่อการโจมตีที่เกิดขึ้นจริงเริ่มต้นขึ้น

Connect Secure เป็น VPN gateway ที่ถูกใช้งานอย่างแพร่หลาย และนั่นสำคัญ gateway ประเภทนี้ตั้งอยู่ที่ขอบเครือข่าย เผชิญกับอินเทอร์เน็ตโดยการออกแบบ และมักมีสถานะprivileged ระหว่างผู้ใช้ภายนอกกับระบบภายใน จุดอ่อนในอุปกรณ์เหล่านี้เป็นที่สนใจของผู้โจมตี เพราะอุปกรณ์ที่ถูกเจาะเพียงเครื่องเดียวสามารถเปิดทางเข้าได้โดยไม่ต้องแตะต้องแล็ปท็อปหรือกล่องจดหมายของพนักงาน

ยังมีประโยชน์ที่จะจำไว้ด้วยว่าใครมักจะโจมตีอุปกรณ์ประเภทนี้ บทความของเราเกี่ยวกับวิธีที่ กระทรวงยุติธรรมและ FBI ยึดเครื่องมือ Microscan และ FishHub ของ Flax Typhoon แสดงให้เห็นว่ากลุ่มที่มีความเชื่อมโยงกับรัฐลงทุนอย่างหนักในเครื่องมือที่มุ่งเป้าไปที่โครงสร้างพื้นฐานที่เผชิญกับอินเทอร์เน็ต รายงานเกี่ยวกับ Ivanti ไม่ได้ระบุว่าการโจมตีนี้เป็นฝีมือของกลุ่มใดกลุ่มหนึ่ง ดังนั้นควรถือเป็นบริบทมากกว่าข้อสรุป

สิ่งที่ผู้ดูแลระบบ Connect Secure ควรตรวจสอบตอนนี้

หากองค์กรของคุณใช้งาน Connect Secure ขั้นตอนเหล่านี้เป็นจุดเริ่มต้นที่สมเหตุสมผล:

  • ยืนยันเวอร์ชันของคุณ ตรวจสอบ build ของซอฟต์แวร์ที่แน่นอนบนทุก gateway รวมถึงเครื่องทดสอบและเครื่องสำรองที่มักถูกลืม
  • อ่านคำแนะนำด้านความปลอดภัยล่าสุดของ Ivanti มองหาแพตช์หรือมาตรการบรรเทาชั่วคราวที่เกี่ยวข้องกับช่องโหว่นี้ และนำไปใช้โดยเร็วที่สุดเท่าที่กระบวนการเปลี่ยนแปลงของคุณจะเอื้ออำนวย
  • ใช้เครื่องมือตรวจสอบ integrity ที่มีมาให้ หาก Ivanti มีเครื่องมือตรวจสอบ integrity สำหรับอุปกรณ์นี้ ให้รันมันและเก็บผลลัพธ์ไว้เปรียบเทียบในภายหลัง
  • ตรวจสอบบันทึกสำหรับกิจกรรมผิดปกติ มองหาเซสชันผู้ดูแลระบบที่ไม่คาดคิด บัญชีใหม่ การเชื่อมต่อขาออกที่แปลกประหลาด หรือการเปลี่ยนแปลงการตั้งค่าที่คุณไม่ได้ทำ
  • หมุนเวียนข้อมูลรับรองในจุดที่อาจถูกบุกรุก รีเซ็ตรหัสผ่านและความลับที่จัดเก็บไว้บนหรือใช้งานโดย gateway หากคุณพบสัญญาณการถูกใช้ประโยชน์ การรั่วไหลของข้อมูลรับรองเป็นปัญหาทั่วไปที่แยกต่างหาก ผลการวิจัยของ SpyCloud เกี่ยวกับระบบสาธารณูปโภคด้านน้ำที่เสี่ยงต่อมัลแวร์ infostealer เป็นเครื่องเตือนใจว่าข้อมูลเข้าสู่ระบบที่ถูกขโมยสามารถทบความเสี่ยงของอุปกรณ์ edge ได้อย่างไร
  • จำกัดการเปิดเผย จำกัดอินเทอร์เฟซการจัดการเพื่อไม่ให้เข้าถึงได้จากอินเทอร์เน็ตสาธารณะ

หากคุณไม่สามารถแพตช์ได้ทันที ให้ปฏิบัติตามคำแนะนำด้านมาตรการบรรเทาที่ผู้จำหน่ายเผยแพร่ และติดตามอุปกรณ์อย่างใกล้ชิดขึ้นจนกว่าจะทำได้

นโยบายแพตช์ของผู้จำหน่ายหมายความว่าอย่างไรต่อความเชื่อมั่นใน VPN

การค้นพบในเดือนมิถุนายนตั้งคำถามที่ยุติธรรมเกี่ยวกับวิธีที่ผู้จำหน่ายกำหนดเกณฑ์สำหรับการแก้ไขเร่งด่วน แพตช์แบบ out-of-band สร้างความรบกวนให้ลูกค้า ผู้จำหน่ายจึงไม่อยากออกแพตช์สำหรับทุกสิ่งที่ค้นพบ แต่ค่าใช้จ่ายของการรอนั้นไม่สมดุลเมื่อผลิตภัณฑ์เป็น security gateway ที่ตั้งอยู่บน perimeter

ทั้งสองด้านของทางเลือกนี้ไม่ได้ไร้เหตุผลโดยตัวมันเอง บทเรียนคือการจัดระดับความรุนแรงภายในของผู้จำหน่ายไม่เหมือนกับความเสี่ยงในโลกความจริง ผู้โจมตีไม่สนใจว่าช่องโหว่ถูกจัดประเภทต่ำกว่าเกณฑ์การออกแพตช์หรือไม่ พวกเขาสนใจว่ามันใช้ได้หรือไม่

สำหรับลูกค้า สิ่งนี้สนับสนุนให้ถามผู้จำหน่ายโดยตรง: คุณตัดสินใจอย่างไรว่าอะไรควรได้รับการแก้ไขแบบ out-of-band? คุณแจ้งลูกค้าเกี่ยวกับปัญหาที่พบภายในเร็วแค่ไหน? เกิดอะไรขึ้นเมื่อช่องโหว่ที่เข้าใจเพียงบางส่วนถูกพบในภายหลังว่าสามารถใช้ประโยชน์ได้? คำตอบของคำถามเหล่านี้บอกความเชื่อมั่นได้มากกว่าหน้าตลาด

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเป็นบุคคลที่ใช้ VPN จากนายจ้างหรือโรงเรียนที่พึ่งพา Connect Secure คุณไม่สามารถแพตช์ gateway ด้วยตัวเองได้ แต่คุณสามารถลงมือทำได้ ถามทีมไอทีของคุณว่าอุปกรณ์ได้รับการอัปเดตแล้วหรือไม่ และใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำใคร รวมถึงการยืนยันตัวตนหลายปัจจัยบนบัญชีใดก็ตามที่เกี่ยวข้องกับมัน หากคุณได้รับคำสั่งให้เปลี่ยนรหัสผ่าน ให้ทำทันที

หากคุณดูแล gateway ให้ถือว่านี่เป็นสัญญาณเตือนให้ทบทวนสินค้าคงคลัง edge ทั้งหมดของคุณ ไม่ใช่แค่ผลิตภัณฑ์เดียว อุปกรณ์ใดก็ตามที่เผชิญกับอินเทอร์เน็ตสมควรได้รับความใส่ใจในเรื่องเวอร์ชัน การเปิดเผย และการบันทึก日志 เช่นเดียวกัน

ประเด็นสำคัญ

Ivanti Connect Secure zero-day เป็นเครื่องเตือนใจว่าช่วงเวลาระหว่างการค้นพบและการแก้ไขนั้นสำคัญพอ ๆ กับตัวช่องโหว่เอง Ivanti กล่าวว่าพบข้อบกพร่องส่วนหนึ่งในเดือนมิถุนายนและตัดสินว่าต่ำกว่าเกณฑ์ out-of-band จากนั้นผู้โจมตีก็เข้าถึงมันก่อน

หากคุณใช้งานหรือพึ่งพา gateway ของ Ivanti ตรวจสอบเวอร์ชันของคุณวันนี้ นำแพตช์และมาตรการบรรเทาล่าสุดไปใช้ และคอยติดตามคำแนะนำด้านความปลอดภัยของ Ivanti อย่างต่อเนื่องเมื่อสถานการณ์พัฒนาขึ้น สำหรับบริบทที่กว้างขึ้นว่าใครมุ่งเป้าไปที่อุปกรณ์ edge และเพราะเหตุใด อ่านรายงานของเราเกี่ยวกับการยึดเครื่องมือของ Flax Typhoon