สิ่งที่งานวิจัยนำโดย Proofpoint ค้นพบ
การสอบสวนร่วมกันจาก Proofpoint, Google Threat Intelligence Group, Microsoft Threat Intelligence Center และ Volexity ได้เปิดเผยสิ่งที่นักวิจัยไม่ค่อยพบเห็นการบันทึกไว้อย่างชัดเจนเช่นนี้: กลุ่มแฮกเกอร์ที่เชื่อมโยงกับรัฐหลายกลุ่มเริ่มใช้ช่องโหว่ zero-day ที่ไม่เคยรู้จักมาก่อนแบบเดียวกันภายในไม่กี่วันหลังจากกันและกัน องค์กรทั้งสี่ซึ่งร่วมกันครอบคลุมส่วนแบ่งมหาศาลของการมองเห็นข่าวกรองภัยคุกคามทั่วโลกได้รวมผลการค้นพบเพื่อยืนยันว่านี่ไม่ใช่เรื่องบังเอิญหรือกิจกรรมเลียนแบบที่ค่อย ๆ ไหลมา ทว่าเป็นการนำไปใช้เกือบพร้อมกันในกลุ่มต่าง ๆ ที่แยกจากกันและไม่เกี่ยวข้องกันซึ่งเชื่อมโยงกับรัฐชาติ
งานวิจัยที่ตรวจสอบข้ามแหล่งเช่นนี้มีความสำคัญเพราะแต่ละบริษัทเหล่านี้มักติดตามภัยคุกคามคนละส่วนของภูมิทัศน์: Proofpoint เน้นการบุกรุกทางอีเมลและโครงสร้างพื้นฐานฟิชชิง Google และ Microsoft เฝ้าติดตามปลายทางและสัญญาณคลาวด์หลายพันล้านจุด และ Volexity เชี่ยวชาญการตอบสนองเหตุการณ์สำหรับเป้าหมายที่มีมูลค่าสูง เมื่อทั้งสี่องค์กรพบช่องโหว่เดียวกันปรากฏในแคมเปญที่ไม่เกี่ยวข้องกันในช่วงเวลาไล่เลี่ยกันอย่างเป็นอิสระ นั่นเป็นสัญญาณแรงว่ามีบางสิ่งเปลี่ยนไปในวิธีที่ช่องโหว่กลายเป็นสิ่งที่ผู้เล่นหลายรายเข้าถึงได้พร้อมกัน แทนที่แต่ละกลุ่มจะค้นพบด้วยตนเอง
ทำไมผู้เล่นระดับรัฐหลายรายจึงนำช่องโหว่ไปใช้อย่างรวดเร็ว
ในอดีต zero-day ที่เพิ่งค้นพบมักอยู่ในมือของกลุ่มเดียวหรือวงแคบที่ควบคุมอย่างเข้มงวดเป็นเวลาหลายสัปดาห์หรือหลายเดือนก่อนที่จะถูกนำไปใช้ในวงกว้าง ความล่าช้านั้นมักเกิดขึ้นเพราะ zero-day มีราคาแพงในการพัฒนา เสี่ยงอันตรายหากเปิดเผยผ่านการใช้มากเกินไป และมีค่าเพียงเพราะมันหายาก การที่กลุ่มที่หนุนหลังโดยรัฐหลายกลุ่มหยิบช่องโหว่เดียวกันไปใช้ภายในไม่กี่วันนั้นผิดจากรูปแบบเดิม และชี้ไปยังคำอธิบายที่เป็นไปได้สองสามข้อ: ช่องโหว่อาจถูกขายหรือแบ่งปันผ่านเครือข่ายนายหน้าซึ่งให้บริการลูกค้าที่เชื่อมโยงกับรัฐบาลหลายราย รั่วไหลจากสายการพัฒนาที่ใช้ร่วมกัน หรือถูกค้นพบใหม่โดยอิสระเมื่อการโจมตี初期ดังพอให้ผู้เล่นที่มีความซับซ้อนรายอื่นสังเกตและวิศวกรรมย้อนกลับ
สถานการณ์ใดก็ตามเหล่านี้น่าจับตาด้วยตัวมันเอง แต่เมื่อรวมกันแล้วพวกมันอธิบายสภาพแวดล้อมภัยคุกคามที่ช่องว่างระหว่าง "มีช่องโหว่อยู่" กับ "รัฐบาลหลายแห่งกำลังใช้มัน" กำลังหดแคบลง การบีบอัดนั้นคือพาดหัวข่าวจริง ๆ ไม่ใช่เพียงการมีอยู่ของ zero-day อีกตัว มันสะท้อนแนวโน้มที่กว้างกว่าซึ่งชุมชนความปลอดภัยกำลังบันทึก รวมถึงในความครอบคลุมของช่องโหว่ Siemens ROX II และคลื่นของ CVE ใน Linux ที่ล้วนต้องคัดแยกอย่างรวดเร็วในโครงสร้างพื้นฐานประเภทต่าง ๆ กันมาก
ใครมีความเสี่ยงและระบบใดเป็นเป้าหมาย
นักวิจัยที่เกี่ยวข้องไม่ได้เปิดเผยรายละเอียดองค์กรที่ได้รับผลกระทบทุกแห่งต่อสาธารณะ แต่การมีส่วนร่วมของ Volexity และการมองเห็นระดับองค์กรของ Google และ Microsoft ชี้ว่าช่องโหว่นี้สามารถไปถึงเป้าหมายที่มีมูลค่าสูงได้: เครือข่ายรัฐบาล องค์กรขนาดใหญ่ และองค์กรที่พึ่งพาซอฟต์แวร์ที่ติดตั้งใช้งานอย่างแพร่หลาย กลุ่มที่หนุนหลังโดยรัฐโดยทั่วไปไม่เผา zero-day ที่มีค่าไปกับเป้าหมายมูลค่าต่ำ ดังนั้นการใช้มันข้ามผู้เล่นหลายรายบ่งชี้ว่าช่องโหว่พื้นฐานอยู่ในสิ่งที่มีการติดตั้งใช้อย่างกว้างขวางและคุ้มค่ากับความเสี่ยงที่จะเปิดเผย
สำหรับผู้ใช้ทั่วไป ความเสี่ยงโดยตรงมักเป็นทางอ้อม คนส่วนใหญ่ไม่ใช่เป้าหมายหลักของการจารกรรมโดยรัฐชาติ แต่ซอฟต์แวร์และบริการที่พวกเขาใช้ ผู้ให้บริการอีเมล แพลตฟอร์มคลาวด์ และเครื่องมือองค์กรมักเป็น เมื่อ zero-day เช่นนี้แพร่กระจาย ผลกระทบอาจไปถึงห่วงโซ่อุปทาน ผู้ให้บริการ หรือใครก็ตามที่ข้อมูลไหลผ่านระบบที่ได้รับผลกระทบ
ขั้นตอนปฏิบัติเพื่อลดความเสี่ยงตอนนี้เลย
การรอข้อมูลที่สมบูรณ์แบบเกี่ยวกับ zero-day ก่อนลงมือเป็นกลยุทธ์ที่แพ้ การตอบสนองที่ได้ผลคือสิ่งเดียวกับที่ทีมความปลอดภัยย้ำมาหลายปี และมันยังได้ผล precisely เพราะไม่ขึ้นกับการรู้รายละเอียดทุกอย่างของช่องโหว่เฉพาะ:
- ติดตั้งแพตช์ความปลอดภัยทันทีที่ผู้ขายเผยแพร่ และให้ความสำคัญกับระบบที่หันหน้าไปทางอินเทอร์เน็ตหรือจัดการข้อมูลอ่อนไหว
- ติดตามประกาศจากผู้ขายและสรุปข่าวกรองภัยคุกคามอย่างใกล้ชิดในช่วงที่มีการยืนยันการใช้ zero-day ที่ยังไม่ถูกแพตช์ คล้ายกับการเปลี่ยนแพตช์อย่างรวดเร็วที่จำเป็นสำหรับแพตช์ zero-day ของ Chrome V8 เมื่อเร็ว ๆ นี้
- ป้องกันหลายชั้นแทนที่จะพึ่งการควบคุมเดียว VPN ช่วยปกป้องข้อมูลระหว่างส่งและลดความเสี่ยงบนเครือข่ายที่ไม่น่าเชื่อถือได้ แต่มันไม่หยุดช่องโหว่ที่พุ่งเป้าแอปพลิเคชันที่มีช่องโหว่โดยตรง ดังนั้นควรใช้ร่วมกับการป้องกันปลายทาง การแบ่งส่วนเครือข่าย และการควบคุมการเข้าถึงที่เข้มแข็ง
- ติดตามข่าวผ่านสรุปความปลอดภัยเป็นประจำ เพราะการเปิดเผยช่องโหว่และกำหนดการแพตช์เคลื่อนไหวเร็วและมักถูกฝังในวงจรข่าว ดังที่เห็นในความครอบคลุมต่อเนื่องเช่นสรุปประจำสัปดาห์เกี่ยวกับ Certighost และการเปิดเผย zero-day อื่น ๆ
สิ่งนี้หมายความว่าอะไรสำหรับคุณ
ผู้อ่านส่วนใหญ่จะไม่ถูกกลุ่มแฮกเกอร์ที่หนุนหลังโดยรัฐพุ่งเป้าโดยตรง แต่ซอฟต์แวร์และบริการที่ทุกคนพึ่งพาอาจติดอยู่ในวงไฟได้ บทเรียนจริงจากงานวิจัยนี้ไม่ใช่การมีอยู่ของเรื่องราว zero-day ของแฮกเกอร์ที่หนุนหลังโดยรัฐอีกหนึ่งเรื่อง แต่เป็นความเร็วที่ช่องโหว่นั้นแพร่กระจายข้ามผู้เล่นระดับรัฐหลายรายที่เป็นอิสระต่อกัน ความเร็วนั้นหมายความว่าองค์กร และโดยปริยายผู้ใช้ของพวกเขา มีเวลาน้อยกว่าเดิมในการแพตช์ก่อนช่องโหว่จะถูกนำไปใช้เป็นอาวุธอย่างกว้างขวาง จงให้ความสำคัญกับการแจ้งเตือนแพตช์วิกฤตทุกครั้งและอย่าคิดว่าการล่าช้าสองสามวันนั้นไม่เป็นไร
ประเด็นสำคัญ
งานวิจัยนำโดย Proofpoint เป็นเครื่องเตือนใจว่า zero-day ไม่ได้คงอยู่เฉพาะกลุ่มเป็นเวลานานอีกต่อไปเมื่อมันปรากฏขึ้น สำหรับบุคคล นั่นหมายถึงการอัปเดตซอฟต์แวร์โดยไม่ล่าช้า การใส่ใจประกาศความปลอดภัย และการใช้การป้องกันหลายชั้นเช่น VPN ควบคู่ไปกับ ไม่ใช่แทนที่ นิสัยการแพตช์ที่ดี สำหรับองค์กร มันตอกย้ำคุณค่าของการแบ่งปันข่าวกรองภัยคุกคามข้ามผู้ขาย เพราะความร่วมมือระหว่าง Proofpoint, Google, Microsoft และ Volexity นั่นเองที่เปิดโปงรูปแบบนี้ก่อนที่มันจะถูกมองข้ามไปนานกว่านี้ การติดตามสรุปความปลอดภัยและการเผยแพร่แพตช์อย่างทันสมัยยังคงเป็นวิธีที่ง่ายและได้ผลที่สุดในการหลีกเลี่ยงการเป็นความเสียหายข้างเคียงในปฏิบัติการไซเบอร์ของรัฐชาติ
