ช่องโหว่ใหม่ที่ถูกเปิดเผยซึ่งมีชื่อว่า ShieldCrash กำลังสร้างความฮือฮาในชุมชนความปลอดภัย หลังจากที่นักวิจัยพบว่ามันสามารถเลี่ยงแพตช์เดือนกันยายนของ Microsoft Defender ได้อย่างสิ้นเชิง ทำให้ผู้โจมตีสามารถควบคุมเครื่อง Windows ที่ได้รับผลกระทบได้เต็มรูปแบบในระดับ SYSTEM สำหรับผู้ใช้ทั่วไปและทีมไอที alike การค้นพบนี้เป็นการเตือนใจว่าแม้แต่ซอฟต์แวร์ความปลอดภัยที่ติดตั้งมาใน Windows ก็ไม่ได้ไร้ข้อผิดพลาด และไม่มีเครื่องมือใดเพียงอย่างเดียวที่สามารถรับประกันการป้องกันได้

ShieldCrash คืออะไรและเลี่ยงแพตช์ของ Defender ได้อย่างไร

ShieldCrash เป็น zero-day exploit หมายความว่ามันมุ่งเป้าไปที่ช่องโหว่ที่ Microsoft ไม่รู้จัก (หรือยังไม่ได้แพตช์) ในขณะที่ถูกใช้งาน สิ่งที่ทำให้กรณีนี้โดดเด่นคือ Microsoft ได้ออกอัปเดตความปลอดภัยในเดือนกันยายนซึ่งมีจุดประสงค์เฉพาะในการปิดการโจมตีประเภทนี้ ShieldCrash ถูกรายงานว่าสามารถหลบเลี่ยงการแก้ไขนั้นได้ ทำให้ผู้โจมตียกระดับสิทธิ์การเข้าถึงบนเครื่องที่ถูกบุกรุกไปจนถึงสิทธิ์ระดับ SYSTEM ซึ่งเป็นระดับการควบคุมสูงสุดที่มีอยู่บนอุปกรณ์ Windows ด้วยสิทธิ์ SYSTEM ผู้โจมตีสามารถติดตั้งซอฟต์แวร์ ปิดใช้งานเครื่องมือความปลอดภัย อ่านหรือแก้ไขไฟล์ใดๆ ก็ได้แทบทั้งหมด และเคลื่อนตัวลึกเข้าไปในเครือข่าย โดยไม่จำเป็นต้องมีข้อมูลรับรองผู้ดูแลระบบในการเริ่มต้น

ข้อเท็จจริงที่ว่า exploit นี้หลบเลี่ยงแพตช์ที่ควรจะแก้ไขปัญหาพื้นฐานได้แล้ว คือสิ่งที่แยก ShieldCrash ออกจากรายงานช่องโหว่ทั่วไป มันบ่งชี้ว่าการแก้ไขเดิมอาจไม่ได้จัดการกับสาเหตุรากอย่างสมบูรณ์ หรือผู้โจมตีพบเส้นทางใหม่ไปสู่ผลลัพธ์ที่มีสิทธิ์สูงเช่นเดียวกัน

ใครบ้างที่มีความเสี่ยง: Windows 10, 11 และ Server อธิบาย

ตามการเปิดเผย ShieldCrash ส่งผลกระทบต่อ Windows 10, Windows 11 และ Windows Server ซึ่งรวมกันเป็นเครื่องเดสก์ท็อปและองค์กรส่วนใหญ่ที่ใช้ Microsoft Defender เป็นโปรแกรมป้องกันไวรัสและป้องกัน端点ในตัว ขอบเขตผลกระทบที่กว้างนี้มีความสำคัญ: นี่ไม่ใช่ข้อบกพร่องเฉพาะกลุ่มที่จำกัดอยู่เพียง edition เดียวหรือการกำหนดค่าเฉพาะอย่างเดียว ผู้ใช้ตามบ้านที่ใช้ Defender เป็นโปรแกรมป้องกันไวรัสเริ่มต้น ธุรกิจขนาดเล็กที่พึ่งพามันสำหรับการป้องกันพื้นฐาน และองค์กรขนาดใหญ่ที่ใช้ Windows Server สำหรับโครงสร้างพื้นฐานที่สำคัญ ล้วนมีความเสี่ยงที่อาจเกิดขึ้น

เนื่องจาก Defender มาพร้อมกับระบบ Windows สมัยใหม่โดยค่าเริ่มต้น และมักเป็นแนวป้องกันไวรัสเชิงรุกเพียงอย่างเดียวสำหรับผู้ใช้หลายคน ขนาดของอุปกรณ์ที่อาจได้รับผลกระทบจึงมีมาก ใครก็ตามที่ยังไม่ได้ใช้มาตรการบรรเทาเพิ่มเติมหรือกำลังรอการแก้ไขอย่างเป็นทางการ ควรถือว่านี่เป็นความเสี่ยงที่เกิดขึ้นจริง ไม่ใช่เชิงทฤษฎี

ขั้นตอนบรรเทาความเสี่ยงเร่งด่วนจนกว่า Microsoft จะออกการแก้ไข

จนกว่า Microsoft จะออกอัปเดตที่จัดการกับ ShieldCrash โดยเฉพาะ มีขั้นตอนปฏิบัติที่ผู้ใช้และผู้ดูแลระบบสามารถทำได้เพื่อลดการเปิดรับความเสี่ยง:

  • อัปเดต Windows และนิยามของ Defender อยู่เสมอ แม้ว่าแพตช์เดือนกันยายนจะไม่ได้ปิดช่องว่างนี้อย่างสมบูรณ์ การอัปเดตอยู่เสมอช่วยให้คุณได้รับการบรรเทาชั่วคราวหรือลายเซ็นการตรวจจับที่ Microsoft ผลักดันออกมา
  • จำกัดบัญชีผู้ดูแลระบบท้องถิ่น เนื่องจากการยกระดับสิทธิ์ระดับ SYSTEM มักเริ่มจากจุดยึดบนอุปกรณ์ การลดจำนวนบัญชีที่มีสิทธิ์ท้องถิ่นสูงช่วยจำกัดความเสียหายที่ผู้โจมตีสามารถทำได้แม้พวกเขาได้รับการเข้าถึงในขั้นต้น
  • ตรวจสอบกิจกรรมการยกระดับสิทธิ์ที่ผิดปกติ องค์กรที่มีเครื่องมือตรวจจับ端点ควรเฝ้าระวังกระบวนการที่ผิดปกติซึ่งพยายามได้รับสิทธิ์ SYSTEM โดยเฉพาะผ่านกระบวนการที่เกี่ยวข้องกับ Defender
  • ใช้หลักการสิทธิ์น้อยที่สุดทั่วทั้งเครือข่าย การแบ่งส่วนการเข้าถึงและจำกัดสิ่งที่บัญชีหรือเครื่องที่ถูกบุกรุกใดๆ สามารถเข้าถึงได้ช่วยลดรัศมีผลกระทบของ exploit เช่นนี้
  • ติดตามช่องทางความปลอดภัยอย่างเป็นทางการของ Microsoft อย่างใกล้ชิด เนื่องจากนี่เป็น zero-day ที่ยังใช้งานอยู่ แพตช์ติดตามผลมีแนวโน้มที่จะได้รับความสำคัญเมื่อ Microsoft ยืนยันการหลบเลี่ยง

ทำไมการรักษาความปลอดภัยหลายชั้น ไม่ใช่แค่โปรแกรมป้องกันไวรัส จึงจำเป็น

ShieldCrash เป็นกรณีศึกษาที่มีประโยชน์ว่าทำไมการพึ่งพาผลิตภัณฑ์ความปลอดภัยเพียงอย่างเดียว แม้จะเป็นตัวที่ติดตั้งมาพร้อมระบบปฏิบัติการโดยตรง ก็ไม่ใช่กลยุทธ์ที่สมบูรณ์ โปรแกรมป้องกันไวรัสและการป้องกัน端点เป็นสิ่งจำเป็น แต่เป็นเพียงชั้นหนึ่งในหลายชั้นที่ควรรวมถึงการควบคุมการเข้าถึงที่แข็งแกร่ง การแบ่งส่วนเครือข่าย การสำรองข้อมูลเป็นประจำ และการจัดการข้อมูลส่วนบุคคลอย่างระมัดระวัง ตรรกะเดียวกันนี้ใช้กับความเป็นส่วนตัวดิจิทัลในวงกว้าง: เช่นเดียวกับที่ไม่มีเครื่องมือป้องกันไวรัสใดเพียงอย่างเดียวที่สามารถหยุดการโจมตีทุกครั้งได้ ไม่มีเทคโนโลยีหรือกฎหมายชิ้นใดชิ้นเดียวที่สามารถปกป้องข้อมูลส่วนบุคคลได้อย่างสมบูรณ์ด้วยตัวเอง การถกเถียงอย่างต่อเนื่องเกี่ยวกับข้อเสนอเช่น Chat Control กฎหมาย EU ที่สแกนแชทของคุณ แสดงให้เห็นว่าความกังวลด้านความเป็นส่วนตัวและความปลอดภัยทับซ้อนกันมากขึ้นในระดับนโยบายเช่นเดียวกับระดับเทคนิค เสริมว่าการปกป้องข้อมูลส่วนบุคคลต้องให้ความสนใจหลายด้านพร้อมกัน

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณใช้ Windows 10, 11 หรือ Server และพึ่งพา Microsoft Defender เป็นแนวป้องกันหลัก ShieldCrash เป็นสัญญาณให้ประเมินท่าทีความปลอดภัยโดยรวมของคุณใหม่ แทนที่จะตื่นตระหนก ความสามารถของ exploit ในการเลี่ยงแพตช์ที่มีอยู่และให้สิทธิ์การเข้าถึงระดับ SYSTEM หมายความว่าจนกว่าการแก้ไขอย่างเป็นทางการจะมาถึง ทางเลือกที่ปลอดภัยที่สุดของคุณคือการผสมผสานสุขอนามัยของบัญชีที่ดี การจำกัดสิทธิ์ และการเฝ้าระวังอย่าง vigilant เข้ากับซอฟต์แวร์ความปลอดภัยที่คุณใช้อยู่ การรอแพตช์แบบเฉยๆ โดยไม่ทำอะไรเลยจะทิ้งช่องว่างจริงในการป้องกันของคุณ

ประเด็นสำคัญที่นำไปปฏิบัติได้

  • ใช้อัปเดต Windows และ Defender ที่ค้างอยู่ทั้งหมดทันที และตรวจสอบอย่างสม่ำเสมอสำหรับการแก้ไขเฉพาะ ShieldCrash จาก Microsoft
  • ลดบัญชีผู้ดูแลระบบท้องถิ่นและบังคับใช้การเข้าถึงแบบสิทธิ์น้อยที่สุดบนอุปกรณ์ส่วนตัวและธุรกิจ
  • เพิ่มการตรวจสอบพฤติกรรมการยกระดับสิทธิ์ที่ผิดปกติหากคุณจัดการหลายเครื่องหรือเครือข่าย
  • มองว่าโปรแกรมป้องกันไวรัสเป็นเพียงชั้นหนึ่งของกลยุทธ์ความปลอดภัยที่กว้างขึ้นซึ่งรวมถึงการสำรองข้อมูล การรับรองความถูกต้องที่แข็งแกร่ง และการจัดการข้อมูลอย่างระมัดระวัง
  • ติดตามข้อมูลเกี่ยวกับทั้งช่องโหว่ทางเทคนิคเช่น ShieldCrash และการพัฒนานโยบายที่ส่งผลต่อความเป็นส่วนตัวดิจิทัล เนื่องจากทั้งสองสิ่งกำหนดว่าข้อมูลของคุณปลอดภัยจริงเพียงใด