การต่อสู้สาธารณะระหว่างนักวิจัยและ Microsoft

นักวิจัยด้านความปลอดภัยที่ใช้ชื่อว่า NightmareEclipse ได้เผยแพร่ช่องโหว่ zero-day ใหม่ที่ส่งผลกระทบต่อ Windows Defender ซึ่งเป็นเครื่องมือป้องกันไวรัสและปกป้องจุดสิ้นสุดในตัวของ Microsoft การเปิดเผยครั้งนี้เกิดขึ้นไม่นานหลังจาก Microsoft ปล่อยแพตช์เพื่อปิดช่องโหว่ก่อนหน้านี้ ทำให้สิ่งที่อาจเป็นรอบการปล่อยแพตช์ธรรมดากลายเป็นการเผชิญหน้าสาธารณะอย่างต่อเนื่องระหว่างนักวิจัยอิสระกับหนึ่งในผู้จำหน่ายซอฟต์แวร์ที่ใหญ่ที่สุดในโลก

这不是孤立事件 NightmareEclipse reportedly ได้ปล่อย Windows Defender zero-days หลายตัวในไม่กี่เดือนที่ผ่านมา แม้ว่า Microsoft จะขู่ดำเนินการทางกฎหมายต่อสาธารณะเกี่ยวกับการเปิดเผยข้อมูลเหล่านี้ก็ตาม ทุกครั้งที่ Microsoft ปล่อยการแก้ไข ช่องโหว่บายพาสหรือช่องโหว่ใหม่ก็ปรากฏขึ้น ทำให้ Windows Defender ถูกจับตามองแทบตลอดเวลา รูปแบบนี้ถูกเปรียบเทียบกับเกมตีตัวตุ่น ซึ่งช่องโหว่ที่ถูกแพตช์แล้วจะตามมาด้วยช่องโหว่ใหม่ที่สามารถบ่อนทำลายการป้องกันเดียวกันได้อย่างรวดเร็ว

ทำไม Windows Defender Zero-Day ถึงสำคัญ

Windows Defender เป็นชั้นความปลอดภัยเริ่มต้นสำหรับเครื่อง Windows 10, Windows 11 และ Windows Server นับร้อยล้านเครื่อง ต่างจากช่องโหว่ในแอปพลิเคชันเฉพาะทาง Windows Defender zero-day โจมตีซอฟต์แวร์ที่ผู้ใช้จำนวนมากพึ่งพาเพราะเชื่อว่ามันคอยปกป้องพวกเขาอยู่ ช่องโหว่ในระดับนี้ reportedly อนุญาตให้ผู้โจมตีเพิ่มสิทธิ์เป็นระดับ SYSTEM เต็มรูปแบบ ซึ่งเป็นระดับการควบคุมสูงสุดบนเครื่อง Windows แม้กระทั่งบนระบบที่ได้รับการแพตช์อย่างสมบูรณ์ในขณะนั้น

รายละเอียดนั้นสำคัญสำหรับใครก็ตามที่คิดว่าการอัปเดต Windows Update อย่างสม่ำเสมอรับประกันความปลอดภัยได้ Zero-day โดยนิยามแล้วใช้ประโยชน์จากช่องโหว่ที่ผู้จำหน่ายยังไม่ได้แก้ไข เมื่อช่องโหว่นั้นอยู่ในเครื่องมือที่ออกแบบมาเพื่อตรวจจับกิจกรรมที่เป็นอันตราย คำแนะนำทั่วไปอย่าง "แค่ติดตั้งโปรแกรมป้องกันไวรัสและแพตช์" ก็ทำให้รู้สึกมั่นใจน้อยลง หาก Defender เองถูกจัดการหรือบายพาสได้ มัลแวร์หรือการเข้าถึงโดยไม่ได้รับอนุญาตก็อาจหลบเลี่ยงการตรวจจับได้นานพอที่จะสร้างความเสียหายจริงก่อนที่จะมีการแก้ไข

ข้อพิพาทระหว่าง NightmareEclipse และ Microsoft ยังยกประเด็นความเป็นส่วนตัวในวงกว้างขึ้นด้วย Windows Defender มีการเข้าถึงอุปกรณ์อย่างลึกซึ้ง: มันสแกนไฟล์ ติดตามกระบวนการ และสามารถเห็นเกือบทุกอย่างที่เกิดขึ้นบนระบบ ช่องโหว่ที่ทำให้ผู้โจมตีเพิ่มสิทธิ์ผ่านคอมโพเนนต์เดียวกันนี้ไม่เพียงเสี่ยงต่อการติดมัลแวร์ แต่ยังเสี่ยงต่อการถูกบุกรุกอย่างสมบูรณ์ของทุกสิ่งที่จัดเก็บหรือส่งผ่านบนเครื่องนั้น ตั้งแต่เอกสารส่วนตัวไปจนถึงเซสชันเบราว์เซอร์และข้อมูลประจำตัวที่บันทึกไว้

สิ่งนี้หมายถึงอะไรสำหรับคุณ

ผู้ใช้ตามบ้านและธุรกิจขนาดเล็กส่วนใหญ่ไม่ใช่เป้าหมายโดยตรงของการโจมตีเพิ่มสิทธิ์ที่ซับซ้อน แต่นั่นไม่ได้หมายความว่าความเสี่ยงเป็นเพียงทฤษฎี Zero-day แบบนี้มักจะแพร่กระจายอย่างรวดเร็วเมื่อถูกเปิดเผยต่อสาธารณะ และผู้โจมตีที่มีทักษะน้อยกว่ามักสร้างเครื่องมืออัตโนมัติรอบช่องโหว่ที่ถูกเปิดเผยภายในไม่กี่วัน ความจริงที่ว่าช่องโหว่นี้ reportedly ส่งผลกระทบต่อระบบที่แพตช์อย่างสมบูรณ์หมายความว่าเพียงแค่รัน Windows Update เพียงอย่างเดียวไม่ใช่การป้องกันที่สมบูรณ์ในขณะที่ช่องโหว่ยังไม่ถูกแก้ไข

สิ่งนี้ยังเน้นประเด็นที่ควรจดจำ: ไม่มีเครื่องมือความปลอดภัยใดเพียงตัวเดียว รวมถึงเครื่องมือในตัวที่ได้รับความนิยมอย่าง Windows Defender ควรถูกมองว่าเป็นเกราะที่ไม่มีทางแตกได้ การป้องกันแบบหลายชั้น นิสัยการท่องเว็บอย่างระมัดระวัง และการตระหนักถึงประกาศอย่างเป็นทางการของ Microsoft ล้วนเป็นส่วนหนึ่งของท่าทีด้านความปลอดภัยที่สมจริง ผู้ใช้ที่จัดการข้อมูลอ่อนไหว รันระบบที่สำคัญต่อธุรกิจ หรือจัดการเครือข่ายที่มีสิทธิ์สูง ควรให้ความสนใจเป็นพิเศษกับวารสารความปลอดภัยของ Microsoft ในวันหลังการเปิดเผยแบบนี้

สำหรับผู้ใช้ทั่วไป ความเสี่ยงในทางปฏิบัติต่ำกว่าแต่ไม่เป็นศูนย์ ผู้โจมตีที่ได้รับสิทธิ์ระดับ SYSTEM ผ่านช่องโหว่ของ Defender อาจปิดการใช้งานซอฟต์แวร์ความปลอดภัยอื่น เข้าถึงรหัสผ่านที่เก็บไว้ หรือเคลื่อนที่ในแนวนอนภายในเครือข่ายบ้านหรือสำนักงาน นั่นเป็นข้อกังวลที่มีความหมายสำหรับใครก็ตามที่ใช้พีซี Windows เพื่อจัดการธนาคาร อีเมล หรือบัญชีส่วนตัว

ก้าวนำหน้า Windows Defender Zero-Day ครั้งถัดไป

การโต้ตอบไปมาระหว่าง NightmareEclipse และ Microsoft มีแนวโน้มที่จะดำเนินต่อไป และมันเป็นการเตือนว่าแม้แต่ซอฟต์แวร์ความปลอดภัยที่เชื่อถือได้และถูกผสานรวมอย่างลึกซึ้งก็สามารถกลายเป็นเป้าหมายได้ ไม่ใช่แค่การป้องกัน การรอแพตช์อย่างเฉื่อยชาไม่เหมือนกับการได้รับการปกป้อง

มีขั้นตอนปฏิบัติไม่กี่ขั้นตอนที่สามารถลดความเสี่ยงได้ในขณะที่สถานการณ์นี้พัฒนาไป อัปเดต Windows และนิยามของ Defender ทันทีที่มีการปล่อยการแก้ไข เพราะแม้แต่แพตช์ที่ล่าช้าก็ยังดีกว่าไม่มีเลย พิจารณาเปิดใช้งานการป้องกันบัญชีเพิ่มเติม เช่น การยืนยันตัวตนหลายปัจจัย เพื่อให้อุปกรณ์ที่ถูกบุกรุกไม่ได้หมายความว่าบัญชีถูกบุกรุกโดยอัตโนมัติ ธุรกิจควรติดตามวารสารความปลอดภัยอย่างเป็นทางการของ Microsoft อย่างใกล้ชิดแทนที่จะพึ่งพาเพียงข่าวทั่วไป เนื่องจากรายละเอียดมาตรการทางเทคนิคมักปรากฏที่นั่นก่อน สุดท้าย ปฏิบัติต่อระบบใดก็ตามที่มีพฤติกรรมผิดปกติ แม้แต่ระบบที่รันซอฟต์แวร์อัปเดตเต็มรูปแบบ ว่าเป็นสัญญาณที่ควรตรวจสอบ ไม่ใช่ละเลย

ความขัดแย้งระหว่างนักวิจัยหนึ่งคนกับ Microsoft อาจเป็นพาดหัวข่าว แต่บทเรียนพื้นฐานนั้นคุ้นเคย: ความปลอดภัยเป็นเป้าหมายที่เคลื่อนที่อยู่เสมอ และ Windows Defender zero-day เป็นเครื่องเตือนใจที่ทันท่วงทีว่าความระมัดระวังสำคัญพอๆ กับตัวเครื่องมือเอง