Güvenlik firması Rescana'nın bir raporuna göre, Ivanti Connect Secure VPN cihazlarını hedef alan bir zero-day istismar zinciri gerçek dünyada gözlemlendi. Bildirilen etki ciddi: kimliği doğrulanmamış saldırganlar, tamamen yamanmış cihazlarda bile root düzeyinde uzaktan kod yürütmeye ulaşabilir ve kimlik bilgilerini çalabilir. Bu Ivanti Connect Secure zero-day istismarı, bir ağın kenarında duran bir VPN geçidinin, bir saldırganın seçebileceği en değerli hedeflerden biri olduğunu hatırlatmaktadır.
Kaynak rapor bizim için yalnızca kısmen erişilebilir durumda, bu nedenle bu makale doğrulanmış olanla sınırlı kalmakta ve teknik ayrıntılar hakkında spekülasyon yapmaktan kaçınmaktadır. Rehberlik sunduğumuz yerlerde, bu satıcı tarafından yayımlanmış talimatlar değil, genel güvenlik uygulamalarıdır.
Tamamen yamanmış bir VPN cihazı neden hâlâ ele geçirildi
"Zero-day" kelimesi bunun çoğunu açıklıyor. Zero-day, saldırganların bir düzeltme mevcut olmadan önce istismar ettiği bir kusurdur, dolayısıyla mevcut tüm güncellemeleri yüklemek buna karşı koruma sağlamaz. Tamamen yamanmış bir cihaz yalnızca hâlihazırda bilinen ve düzeltilmiş sorunlara karşı korunur.
Rapor bir istismar zincirini tanımlamaktadır; yani birbirine bağlı birkaç zayıflığı. Zincirler ciddi saldırılarda yaygındır çünkü tek bir hata nadiren tek başına tam kontrol sağlar. Bir araya geldiğinde, bir dizi küçük kusur bir saldırganı hiç erişimi yokken cihazın tam kontrolüne taşıyabilir ve hiçbir giriş gerekmez.
Zamanlama bağlamında, vpn.social daha önce Ivanti'nin kusurun bir kısmını daha önceden bilmesini ele almıştı. O haberde Ivanti, kusurun bir kısmını saldırganlar kullanmadan aylar önce fark ettiğini, ancak bunun bant dışı bir sürüm için gereken eşiği karşılamadığına karar verdiğini söylemişti. Bu geçmiş önemlidir çünkü bir satıcının bir sorunu fark etmesi ile müşterilerin bir düzeltme alması arasındaki boşluğun ne kadar uzun olabileceğini göstermektedir.
Root erişimi ve kimlik bilgisi hırsızlığı kullanıcılar için ne anlama geliyor
Root, Linux tabanlı bir sistemdeki en yüksek ayrıcalık düzeyidir. Bir VPN cihazında root yetkisine sahip bir saldırgan, normal bir kullanıcının yapabilecekleriyle sınırlı değildir. Cihazın işlediği her şeyi potansiyel olarak okuyabilir veya değiştirebilir, yapılandırmasını değiştirebilir ve kendi kodunu çalıştırabilir.
Kimlik bilgisi hırsızlığı, sıradan kullanıcıları en çok etkileyen kısımdır. Bir VPN cihazı çalışanlar, yükleniciler ve iş ortakları için oturum açma işlemlerini işler. Bir saldırgan bu kimlik bilgilerini ele geçirebilirse, hasar cihazın çok ötesine yayılabilir:
- Çalınan kullanıcı adları ve parolalar, dahili sistemlere, e-postaya ve bulut hizmetlerine erişmek için yeniden kullanılabilir.
- Ele geçirilmiş hesaplar meşru uzaktan çalışanlar gibi görünebilir, bu da kötü niyetli etkinliği fark etmeyi zorlaştırır.
- Saldırganlar, cihazın kendisi temizlendikten sonra bile çalınan kimlik bilgileri aracılığıyla erişimi koruyabilir.
İş yerinize Connect Secure üzerinden bağlanıyorsanız, pratik risk, siz hiçbir yanlış yapmadan oturum açma bilgilerinizin açığa çıkabilmesidir.
Connect Secure cihazınızın açıkta olup olmadığını nasıl kontrol edersiniz
Ivanti Connect Secure çalıştırıyorsanız, aksine dair kanıtınız olana kadar bunun olası bir hedef olduğunu varsayın. Birkaç makul kontrol:
- Maruziyetinizi doğrulayın. Cihazın internetten erişilebilir olup olmadığını ve yönetim arayüzüne kimlerin erişebildiğini öğrenin. Genel erişime açık olması gerekmeyen hiçbir şey açık olmamalıdır.
- Ivanti'nin uyarılarını takip edin. Resmi düzeltmeler, hafifletmeler ve algılama rehberliği için yetkili kaynak satıcıdır ve bu ayrıntılar soruşturma devam ettikçe değişebilir.
- Satıcının bütünlük araçlarını kullanın. Ivanti ürününüz için bir bütünlük denetleyicisi veya benzer bir araç sağlıyorsa, çalıştırın. Temiz bir sonuca biraz temkinli yaklaşın, çünkü root düzeyinde bir saldırgan cihazın kendisi hakkında bildirdiklerini kurcalamış olabilir.
- Günlükleri inceleyin. Olağandışı oturum açmalar, beklenmeyen yönetici değişiklikleri, tuhaf giden bağlantılar ve garip saatlerde veya bilinmeyen konumlardan gelen kimlik doğrulama etkinliği arayın.
- Güvenlik ekibinize veya sağlayıcınıza sorun. Yönetici siz değilseniz, cihazın kontrol edilip edilmediğini doğrudan onlara sorun.
Hafifletme adımları: kimlik bilgilerini değiştirin, izleyin ve savunmayı katmanlayın
Bir yama bir zero-day sorununu tamamen çözemeyeceği için savunmanın katmanlı olması gerekir.
- Kimlik bilgilerini değiştirin. Ele geçirilme olasılığı varsa, VPN kullanıcıları, hizmet hesapları ve cihazda depolanan veya cihazdan geçen tüm gizli bilgiler için parolaları değiştirin. Bunu cihazı güvence altına aldıktan sonra yapın, aksi takdirde yeni kimlik bilgileri de ele geçirilebilir.
- Çok faktörlü kimlik doğrulamayı zorunlu kılın. Yalnızca çalınan parolaların neler yapabileceğini sınırlar, ancak bir saldırgan geçidin kendisini kontrol ediyorsa bu tam bir çözüm değildir.
- Ağı bölümlere ayırın. VPN kullanıcıları yalnızca ihtiyaç duydukları sistemlere erişebilmelidir, böylece ele geçirilmiş bir hesap veya cihaz serbestçe hareket edemez.
- Sürekli izleyin. Cihaz günlüklerini, cihazın değiştiremeyeceği ayrı bir sisteme gönderin ve anormalliklerde uyarı verin.
- Yeniden oluşturma planı yapın. Ele geçirilme belirtileri bulursanız, basit bir temizliğin yeterli olacağını varsaymak yerine cihazı yeniden oluşturma konusunda satıcı rehberliğini izleyin.
Bu Sizin İçin Ne Anlama Geliyor
Bir yöneticiyseniz, ders şudur: yama durumu güvenlikle aynı şey değildir. Kenar cihazlarının yalnızca güncellemelere değil, izlemeye, kısıtlı maruziyete ve bir olay planına ihtiyacı vardır. Connect Secure çalıştıran bir kuruluşta VPN kullanıcısıysanız, cihazı siz kontrol etmiyorsunuz, ancak parolanızı değiştirebilir, sunulduğu yerlerde çok faktörlü kimlik doğrulamayı etkinleştirebilir ve beklenmeyen oturum açma istemleri veya güvenlik uyarıları gibi olağandışı her şeyi bildirebilirsiniz.
Sonraki adımlar
Ivanti Connect Secure zero-day istismarına maruziyetinizi bugün gözden geçirin: cihaza kimlerin erişebildiğini kontrol edin, en son Ivanti rehberliğini okuyun ve herhangi bir ele geçirilme belirtisi varsa kimlik bilgilerini değiştirin. İfşa ve yamalama zaman çizelgesinin nasıl geliştiğine dair arka plan için, Ivanti'nin kusuru Haziran'da bulup düzeltme yayımlamaması hakkındaki önceki raporumuzu okuyun. Bu istismar zincirinin ayrıntıları daha fazla bilgi ortaya çıktıkça değişebilir, bu nedenle resmi kaynakları kontrol etmeye devam edin.
