แนวโน้มที่คุ้นเคยทวีความรุนแรง: ช่องโหว่ VPN ที่ถูกใช้โดยแรนซัมแวร์กำลังถูกโจมตี

VPN ควรเป็นประตูหน้าบ้านที่ล็อกแน่นหนาของเครือข่ายองค์กร แต่กลับกลายเป็นประตูที่ผู้โจมตีมักงัดเปิดก่อนเป็นลำดับแรก นักวิจัยด้านความปลอดภัยที่ติดตามกิจกรรมแรนซัมแวร์ได้ระบุแคมเปญที่มุ่งเป้าช่องโหว่ในระบบความปลอดภัยจาก Palo Alto, Fortinet, Citrix และ Check Point ซึ่งเป็นผู้จำหน่ายอุปกรณ์ VPN และระบบความปลอดภัยเครือข่ายระดับองค์กรที่ใช้งานแพร่หลายที่สุดสี่รายในตลาด รูปแบบดังกล่าวตอกย้ำแนวโน้มที่เพิ่มขึ้นว่าอาชญากรไซเบอร์หาช่องทางแรกในการเจาะเข้าสู่เครือข่ายองค์กรอย่างไร: ไม่ใช่เพียงผ่านอีเมลฟิชชิ่งหรือรหัสผ่านที่ถูกขโมย แต่ผ่านตัวอุปกรณ์ที่มีไว้เพื่อให้การเชื่อมต่อระยะไกลปลอดภัย

นี่ไม่ใช่เรื่องราวเกี่ยวกับบริษัทเดียวหรือผลิตภัณฑ์เดียว แต่เป็นสัญญาณว่าช่องโหว่ VPN ที่ถูกใช้โดยแรนซัมแวร์ได้กลายเป็นพื้นผิวการโจมตีที่นิยมทั่วทั้งอุตสาหกรรม โดยไม่คำนึงถึงชื่อเสียงของผู้จำหน่ายหรือส่วนแบ่งการตลาด

ผู้จำหน่าย VPN ใดกำลังถูกมุ่งเป้า และเพราะเหตุใด

Palo Alto, Fortinet, Citrix และ Check Point ต่างจำหน่ายอุปกรณ์ VPN และระบบความปลอดภัยเครือข่ายที่ตั้งอยู่ตรงขอบของโครงสร้างพื้นฐานองค์กร ซึ่งเป็นจุดที่พนักงานระยะไกล ผู้รับเหมา และพันธมิตรเชื่อมต่อเข้ามา ตำแหน่งดังกล่าวทำให้อุปกรณ์เหล่านี้เป็นเป้าหมายที่มีคุณค่าและมองเห็นได้ชัดเจน อุปกรณ์เหล่านี้ถูกออกแบบมาให้เชื่อมต่อกับอินเทอร์เน็ต หมายความว่าผู้โจมตีไม่จำเป็นต้องหลอกให้ใครคลิกลิงก์ที่เป็นอันตราย พวกเขาเพียงแค่ต้องค้นหาระบบที่ใช้ซอฟต์แวร์ที่มีช่องโหว่และยังไม่ได้รับการแพตช์ แล้วเชื่อมต่อโดยตรง

สิ่งที่ดึงดูดผู้ปฏิบัติการแรนซัมแวร์นั้นตรงไปตรงมา ช่องโหว่เพียงจุดเดียวในเกตเวย์ VPN อาจให้สิทธิ์การเข้าถึงเครือข่ายภายในทั้งหมด โดยข้ามผ่านการป้องกันหลายชั้นที่องค์กรมักสร้างไว้เกี่ยวกับความปลอดภัยของอีเมลและอุปกรณ์ปลายทาง แทนที่จะต้องเจาะเข้ามาผ่านแล็ปท็อปที่ถูกบุกรุก ผู้โจมตีสามารถเดินผ่านเกตเวย์ที่ควรจะเป็นจุดตรวจสอบที่แข็งแกร่งที่สุด

ช่องโหว่ VPN ที่ไม่ได้รับการแพตช์กลายเป็นจุดเริ่มต้นของแรนซัมแวร์ได้อย่างไร

กลไกของการโจมตีเหล่านี้ค่อนข้างสอดคล้องกันในแต่ละแคมเปญ ช่องโหว่ถูกค้นพบในผลิตภัณฑ์ VPN ไม่ว่าจะผ่านการวิจัยด้านความปลอดภัย การเปิดเผยของผู้จำหน่าย หรือการวิศวกรรมย้อนกลับจากแพตช์ กลุ่มแรนซัมแวร์และนายหน้าขายสิทธิ์การเข้าถึงที่ทำงานร่วมกับพวกเขาจะรีบสแกนหาองค์กรในอินเทอร์เน็ตที่ยังคงใช้เวอร์ชันที่มีช่องโหว่อยู่ เมื่อพบเป้าหมายแล้ว ช่องโหว่จะถูกใช้เพื่อยึดช่องทางแรก มักจะด้วยสิทธิ์ระดับผู้ดูแลระบบ ภายในเครือข่าย

จากนั้นแผนการก็เป็นไปตามบทที่คุ้นเคย: ผู้โจมตีเคลื่อนที่ไปด้านข้างผ่านระบบต่างๆ ระบุข้อมูลที่มีค่า ปิดการใช้งานการสำรองข้อมูลหากทำได้ และปรับใช้แรนซัมแวร์เพื่อเข้ารหัสไฟล์ พร้อมกับขโมยข้อมูลที่ละเอียดอ่อนเพื่อเพิ่มอำนาจต่อรอง ห่วงโซ่ทั้งหมดตั้งแต่ VPN ที่มีช่องโหว่ไปจนถึงการเจาะเครือข่ายเต็มรูปแบบ สามารถเกิดขึ้นได้เร็วกว่าที่ทีมไอทีจำนวนมากพร้อมรับมือ โดยเฉพาะอย่างยิ่งหากรอบการแพตช์ล่าช้ากว่าการเปิดเผยข้อมูลของผู้จำหน่าย

สิ่งที่ทำให้แนวโน้มนี้น่ากังวลเป็นพิเศษคือ อุปกรณ์ VPN มักถูกมองว่าเป็นโครงสร้างพื้นฐานแบบ "ตั้งค่าแล้วลืม" เมื่อกำหนดค่าเสร็จแล้ว อุปกรณ์เหล่านั้นอาจไม่ได้รับการตรวจสอบอย่างสม่ำเสมอเท่ากับแล็ปท็อปของพนักงานหรือบัญชีคลาวด์ ทำให้เป็นจุดบอดที่น่าสนใจสำหรับผู้โจมตีที่รู้ดีว่าต้องมองหาที่ใด

ผลกระทบในโลกจริงเมื่อการเจาะระบบ VPN ทำให้ข้อมูลส่วนบุคคลรั่วไหล

เมื่อการเจาะระบบที่เกี่ยวข้องกับ VPN นำไปสู่การโจมตีแรนซัมแวร์ที่สำเร็จ ผลที่ตามมาขยายวงกว้างเกินกว่าเหตุขัดข้องทางเทคนิค องค์กรที่จัดเก็บข้อมูลส่วนบุคคล ข้อมูลทางการเงิน หรือข้อมูลสุขภาพ จะต้องเผชิญภาระเพิ่มเติมจากข้อผูกพันตามกฎหมายความเป็นส่วนตัว การแจ้งเตือนการรั่วไหลของข้อมูล และการตรวจสอบด้านกฎระเบียบ เมื่อผู้โจมตีเข้าถึงระบบภายในได้

ตัวอย่างที่ชัดเจนของผลกระทบต่อเนื่องเหล่านี้มาจากไอร์แลนด์ ที่ HSE ถูกปรับ 300,000 ยูโร หลังจากเหตุโจมตีแรนซัมแวร์ที่โรงพยาบาล Tullamore กรณีดังกล่าวแสดงให้เห็นว่าการเจาะระบบเครือข่ายที่สำเร็จเพียงครั้งเดียวสามารถลุกลามไปสู่บทลงโทษทางการเงินที่มีนัยสำคัญและความเสียหายต่อชื่อเสียงที่ยาวนาน นานหลังจากที่การเจาะระบบครั้งแรกถูกค้นพบและจำกัดวงได้ เป็นเครื่องเตือนใจว่าค่าใช้จ่ายของ VPN ที่ไม่ได้รับการแพตช์ไม่ได้วัดเพียงแค่ค่าไถ่หรือเวลาหยุดทำงาน แต่รวมถึงค่าปรับด้านกฎระเบียบและการสูญเสียความเชื่อมั่นของสาธารณชนเมื่อข้อมูลส่วนบุคคลรั่วไหล

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากองค์กรของคุณพึ่งพาอุปกรณ์ VPN จากผู้จำหน่ายรายใหญ่ใด ๆ รวมถึง Palo Alto, Fortinet, Citrix หรือ Check Point แนวโน้มนี้คือคำเรียกร้องโดยตรงให้ทบทวนแนวทางปฏิบัติในการจัดการแพตช์ของคุณ ช่องโหว่ VPN ที่ถูกใช้โดยแรนซัมแวร์ไม่เลือกปฏิบัติตามขนาดบริษัท ธุรกิจขนาดเล็กและองค์กรขนาดใหญ่ต่างถูกมุ่งเป้าโดยพิจารณาจากว่าระบบของพวกเขาถูกเปิดเผยและไม่มีการแพตช์หรือไม่ ไม่ใช่จากการที่พวกเขาเป็นที่รู้จักมากแค่ไหน

สำหรับผู้ใช้รายบุคคลและผู้ดูแลระบบไอที ข้อความก็เหมือนกัน: โครงสร้างพื้นฐาน VPN ต้องการความใส่ใจด้านความปลอดภัยอย่างเข้มงวดเช่นเดียวกับระบบสำคัญอื่น ๆ ไม่ใช่น้อยกว่า

สิ่งที่บุคคลและธุรกิจควรตรวจสอบเกี่ยวกับความปลอดภัย VPN ของตน

ขั้นตอนปฏิบัติบางประการที่สามารถลดความเสี่ยงจากแคมเปญเหล่านี้ได้อย่างมีนัยสำคัญ:

  • ยืนยันว่าอุปกรณ์ VPN และเฟิร์มแวร์ทั้งหมดใช้แพตช์ล่าสุดจากผู้จำหน่าย และสมัครรับคำแนะนำด้านความปลอดภัยจากผู้ให้บริการ VPN ของคุณเพื่อไม่ให้พลาดการอัปเดต
  • ตรวจสอบว่าอินเทอร์เฟซการจัดการ VPN ใดถูกเปิดเผยต่ออินเทอร์เน็ตโดยตรง และจำกัดการเข้าถึงหากเป็นไปได้โดยใช้การแบ่งส่วนเครือข่ายหรือรายการอนุญาต
  • เปิดใช้งานการยืนยันตัวตนหลายปัจจัยในทุกบัญชี VPN เนื่องจากการเข้าถึงด้วยข้อมูลประจำตัวมักเป็นวิธีสำรองที่ผู้โจมตีใช้ควบคู่ไปกับการใช้ประโยชน์จากช่องโหว่ซอฟต์แวร์
  • ทบทวนการบันทึกและการเฝ้าติดตามบนเกตเวย์ VPN เพื่อตรวจจับรูปแบบการเข้าสู่ระบบที่ผิดปกติหรือการเปลี่ยนแปลงการกำหนดค่าตั้งแต่เนิ่น ๆ
  • มีแผนตอบสนองต่อเหตุการณ์ที่เฉพาะเจาะจงสำหรับการเจาะระบบที่เกี่ยวข้องกับ VPN เนื่องจากกรณีที่เกี่ยวข้องกับ ค่าปรับ HSE จากแรนซัมแวร์ แสดงให้เห็นว่าการเจาะระบบเครือข่ายสามารถลุกลามไปเป็นปัญหาความเป็นส่วนตัวของข้อมูลและการเงินได้รวดเร็วเพียงใด

กลุ่มแรนซัมแวร์จะยังคงตามล่าหาช่องโหว่ VPN ที่ไม่ได้รับการแพตช์ต่อไป เพราะวิธีนี้ได้ผล การก้าวนำหน้าช่องโหว่ VPN ที่ถูกใช้โดยแรนซัมแวร์หมายถึงการปฏิบัติต่อการอัปเดตแพตช์ การควบคุมการเข้าถึง และการเฝ้าติดตามเป็นลำดับความสำคัญที่ต่อเนื่อง ไม่ใช่เป็นงานตั้งค่าเพียงครั้งเดียว การดำเนินการตามขั้นตอนเหล่านี้ตอนนี้เป็นการลงทุนที่จัดการได้ง่ายกว่าการรับมือกับผลพวงของการเจาะระบบในภายหลัง