Citrix, aktif olarak sömürülen iki sıfır gün güvenlik açığını yamaladıktan sadece bir hafta sonra NetScaler cihazları için bir acil durum düzeltmesi daha yayınladı. BankInfoSecurity tarafından "ateş altında" olarak tanımlandığı bir başlıkla bildirilen en son Citrix NetScaler sıfır gün yaması, yaklaşık yedi gün içinde üçüncü acil güvenlik güncellemesini oluşturuyor. NetScaler'ı kurumsal sistemlere açılan bir ön kapı olarak kullanan herkes için bu hız dikkate değer.
Elimizdeki kaynak raporu kısa, bu nedenle bu makale doğrulanmış olanlara sadık kalıyor: zamanlama, ürün ve örüntü. Yayımlanmamış teknik ayrıntılar hakkında spekülasyon yapmayacağız.
Citrix NetScaler sıfır gün yamasının bize açıkların hızı hakkında söyledikleri
Doğrulanmış gerçekler açık ve net. Citrix, saldırganların zaten sömürdüğü NetScaler'daki iki sıfır gün güvenlik açığını yamaladı. Bir hafta sonra başka bir acil durum yaması yayınladı. Sıfır gün, basit ifadeyle, saldırganların bir düzeltme mevcut olmadan önce bulup kullandığı bir açıktır ve savunuculara hiçbir avantaj bırakmaz.
Yaklaşık bir hafta içinde üç acil durum düzeltmesi olağandışıdır ve saldırganlar ile araştırmacıların bu ürün hattına yakından dikkat ettiğini gösterir. Bir açık bulunup düzeltildiğinde, inceleme yoğunlaşma eğilimindedir ve ilgili zayıflıklar hızla ortaya çıkabilir. Bu, güvenlik çalışmalarında genel bir örüntüdür; kaynağın ayrıntılandırmadığı buradaki spesifik nedene dair bir ifade değildir.
Yöneticiler için pratik sonuç basittir: bir zamanlar haftalar veya aylara yayılan yama pencereleri artık tehdide uymuyor. Aktif olarak sömürülen bir açık, saldırganların zaten iş başında olduğu anlamına gelir.
Ele geçirilmiş bir VPN ağ geçidi neden şirketten daha fazlasını ifşa eder
NetScaler genellikle bir VPN ve uzaktan erişim ağ geçidi olarak konuşlandırılır. Bu rol onu internet ile iç kaynaklar arasına yerleştirir ve bu da onu bir ağdaki en hassas cihazlardan biri yapar. Uzaktan oturum açan herkes genellikle onun üzerinden geçer.
Bu nedenle bir ağ geçidindeki zayıflık BT departmanının ötesinde önem taşır. Bir cihazın nasıl yapılandırıldığına bağlı olarak şunları işleyebilir:
- Çalışan oturum açmaları ve oturum belirteçleri
- İç uygulamalara giden trafik
- Yükleniciler ve iş ortakları için erişim yolları
- Aynı altyapının arkasında bulunan müşteriye dönük portallar
Bir saldırgan bir ağ geçidinin kontrolünü ele geçirirse, risk yalnızca cihazın sahibi olan kuruluşa değil, onu kullanan kişilere de uzanabilir. Cihaza girilen kimlik bilgileri ve aktif oturumlar, herhangi bir ağ geçidi ihlalinden sonra ikinci bir bakışı hak eden veri türleridir. Mevcut rapordan bu saldırılarda herhangi bir spesifik verinin alınıp alınmadığını söyleyemeyiz, bu nedenle bu bir ifşa iddiası değil, inceleme nedenidir.
Önceki NetScaler çökmelerinin yama güvenilirliği hakkında öne sürdükleri
Güvenlik güncellemeleri yalnızca kuruluşların bunları güvenle uygulayabilmesi durumunda faydalıdır. Tamamen yamalanmış ağ geçitlerinde NetScaler sıfır gün çökmeleri hakkındaki önceki haberimizde, NetScaler'ı bir VPN ve uzaktan erişim ağ geçidi olarak çalıştıran yöneticilerin cihazların kendiliğinden ve büyük sayılarda yeniden başlatıldığını bildirdiğini anlatmıştık.
Bu bağlam burada önemlidir. Bir ağ geçidi hem yüksek değerli bir hedef hem de yöneticilerin öngörülemez davranabileceğinden endişe ettiği bir cihaz olduğunda, operasyon ekipleri üzerindeki baskı ikiye katlanır. Saldırganların önünde kalmak için hızlı yama yapmalı, aynı zamanda uzaktan çalışanlar için çalışma süresini korumalıdırlar. Hızlı bir dizi acil güncelleme bu denge eylemini zorlaştırır, çünkü her biri test, bir bakım penceresi ve geri alma planı gerektirir.
Önceki kararlılık raporları ile bu en yeni düzeltme arasında kanıt olmadan kesin bir bağ kurmak yanlış olur. Yine de birleşik tablo, ağ geçidi güvenilirliği ile ağ geçidi güvenliğinin neden birlikte ele alınması gerektiğini gösteriyor.
Bu Sizin İçin Ne Anlama Geliyor
NetScaler'ı yönetiyorsanız, mesaj acildir: en son Citrix yamasını mümkün olan en kısa sürede uygulayın ve önceki güncellemelerin sizi kapsadığını varsaymayın. Düzeltme dizisini üç ayrı olay yerine tek bir süregelen olay olarak ele alın.
Kuruluşu NetScaler kullanan bir çalışan veya müşteriyseniz, doğrudan kontrolünüz daha azdır ama güçsüz değilsiniz. Panik yapmanıza gerek yok, çünkü kaynakta verilerinizin alındığına dair doğrulanmış bir kanıt yok. Ancak, özellikle işvereniniz veya kullandığınız bir hizmet bir ağ geçidi güvenlik olayı duyurursa, makul önlemler alabilirsiniz.
Yöneticiler ve günlük kullanıcılar şimdi ne yapmalı
Yöneticiler için:
- Citrix'in acil durum yamasını, internetle yüz yüze olan ağ geçitlerinden başlayarak her NetScaler cihazına uygulayın.
- Bu açıkların sömürülmesi henüz düzeltilmedikleri sırada gerçekleştiğinden, yamalamadan önceki döneme ait olağandışı etkinlik için günlükleri inceleyin.
- Yamalamadan sonra aktif oturumları sonlandırın ve oturum belirteçlerini geçersiz kılmayı düşünün.
- Ağ geçidinden geçen kimlik bilgilerini, ayrıcalıklı ve hizmet hesaplarına öncelik vererek döndürün.
- Çok faktörlü kimlik doğrulamanın zorunlu kılındığını doğrulayın, böylece tek başına çalınan bir parola yeterli olmasın.
- Mümkün olduğunda güncellemeleri bir hazırlık ortamında test edin ve daha önce dile getirilen kararlılık endişeleri göz önüne alındığında bir geri alma planınız olsun.
Günlük kullanıcılar için:
- İşvereniniz veya sağlayıcınız isterse parolanızı değiştirin ve bunu hemen yapın.
- İş sistemleri için benzersiz bir parola kullanın, asla başka bir yerde yeniden kullanılan bir parola kullanmayın.
- Sunulduğu her yerde çok faktörlü kimlik doğrulamayı açın.
- Bir güvenlik olayına atıfta bulunan kimlik avı mesajlarına dikkat edin, çünkü saldırganlar genellikle bir olayın ardından oluşan kafa karışıklığını sömürür.
Çıkarılacak ders
En son Citrix NetScaler sıfır gün yaması, uzaktan erişim ağ geçitlerinin modern çalışmanın merkezinde yer aldığını ve saldırganların bunu bildiğini hatırlatıyor. Yöneticiler şimdi yama yapmalı, ardından güncellemede durmak yerine oturum ve kimlik bilgisi maruziyetini inceleyerek daha ileri gitmelidir. Bu hikayenin operasyonel tarafı için, zaten yamalanmış ağ geçitlerinde neler olduğu dahil, tamamen yamalanmış cihazları etkileyen NetScaler çökmeleri hakkındaki raporumuzu okuyun. Sakin kalmak, hızlı yama yapmak ve kimlik bilgilerini sıkılaştırmak bugün mevcut en etkili yanıttır.
