Ivanti, yeni sömürülen Ivanti Connect Secure sıfır gün açığının arkasındaki kusurun bir kısmını saldırganlar kullanmadan aylar önce tespit ettiğini, ancak sorunun plan dışı bir sürüm için gereken eşiği karşılamadığına karar verdiğini söylüyor. CyberScoop'un haberine göre şirket, kusurun bir bölümünü Haziran ayındaki iç güvenlik kontrolleri sırasında buldu. Düzeltme acil hale geldiğinde ise saldırganlar açığı çoktan gerçek dünyada sömürüyordu.
Bu sıralama, haberi dikkat çekici kılan şey. Mesele beklenmedik bir güvenlik açığından çok, iyi sonuçlanmayan bir muhakeme kararıyla ilgili.
Ivanti'nin Haziran'da bulduğu şey ve neden beklediği
CyberScoop'un özetlediğine göre Ivanti'nin açıklaması dar kapsamlı ama önemli. Şirketin kendi iç kontrolleri, kusurun bir bölümünü Haziran'da ortaya çıkardı. Ivanti daha sonra bunu, normal planlanmış güncelleme döngüsü dışında gönderilen bir yama anlamına gelen plan dışı sürüm kriterlerine göre değerlendirdi ve bu eşiğin altında kaldığı sonucuna vardı.
Pratikte satıcılar bulguları önem derecesi, sömürülebilirlik ve kötüye kullanım kanıtlarına göre sınıflandırır. Tek başına erişilmesi zor veya düşük etkili görünen bir açık genellikle bir sonraki düzenli güncellemeyi bekler. İşin püf noktası, şirketin kusurun yalnızca bir bölümünü gördüğünü söylemesi. Bir açığın kısmi görünümü, biri geri kalanını bulduğunda ne kadar tehlikeli olduğunu olduğundan az gösterebilir.
Burada sağlanan kaynak materyal, açığın tam teknik doğasını ayrıntılandırmıyor, dolayısıyla neyin bilinip neyin bilinmediği konusunda dikkatli olmakta fayda var. Bildirilenler: keşif tarihi, iç değerlendirme ve bir düzeltmeyi aceleye getirmeme kararı.
Açık nasıl sömürülen bir sıfır güne dönüştü
Bir güvenlik açığı, saldırganlar tarafından bir yama mevcut olmadan önce sömürüldüğünde sıfır gün haline gelir. Connect Secure için bildirilen durum budur. Düzeltme gönderilmediği için, aktif sömürü başladığında savunucuların resmi bir çözümü yoktu.
Connect Secure yaygın olarak kullanılan bir VPN ağ geçididir ve bu önemlidir. Bu tür ağ geçitleri bir ağın kenarında yer alır, tasarım gereği internete bakar ve genellikle dış kullanıcılar ile iç sistemler arasında ayrıcalıklı bir konuma sahiptir. Bunlardan birindeki zayıflık saldırganlar için çekicidir çünkü tek bir ele geçirilmiş cihaz, bir çalışanın dizüstü bilgisayarına veya gelen kutusuna dokunmadan içeri girmenin bir yolunu sunabilir.
Bu tür cihazların peşine genellikle kimin düştüğünü hatırlamak da faydalıdır. DOJ ve FBI'ın Flax Typhoon araçları Microscan ve FishHub'a nasıl el koyduğuna dair haberimiz, devlet bağlantılı grupların internete açık altyapıyı hedefleyen araçlara yoğun yatırım yaptığını gösteriyor. Ivanti hakkındaki haber bu sömürüyü belirli bir aktöre atfetmiyor, dolayısıyla bunu bir sonuç değil bağlam olarak değerlendirin.
Connect Secure yöneticileri şimdi neyi kontrol etmeli
Kuruluşunuz Connect Secure çalıştırıyorsa bu adımlar makul bir başlangıç noktasıdır:
- Sürümünüzü doğrulayın. Test ve yedek birimler dahil olmak üzere her ağ geçidindeki tam yazılım yapısını kontrol edin; bunlar kolayca gözden kaçar.
- Güncel Ivanti bildirimini okuyun. Bu açığa bağlı yamayı veya geçici hafifletmeyi arayın ve değişiklik süreciniz izin verir vermez uygulayın.
- Yerleşik bütünlük araçlarını kullanın. Ivanti cihaz için bir bütünlük denetleyicisi sağlıyorsa çalıştırın ve çıktısını daha sonra karşılaştırmak üzere saklayın.
- Günlükleri olağandışı etkinlik için inceleyin. Beklenmedik yönetici oturumları, yeni hesaplar, tuhaf giden bağlantılar veya sizin yapmadığınız yapılandırma değişikliklerini arayın.
- Ele geçirilme olasılığı olan yerlerde kimlik bilgilerini yenileyin. Kötüye kullanım belirtileri bulursanız ağ geçidinde saklanan veya kullanılan parolaları ve sırları sıfırlayın. Kimlik bilgisi ifşası ayrı ve yaygın bir sorundur; SpyCloud'un bilgi çalan kötü amaçlı yazılımlara maruz kalan su kuruluşlarına ilişkin bulguları, çalınan oturum açma bilgilerinin uç cihaz riskini nasıl büyütebileceğinin bir hatırlatıcısıdır.
- Maruziyeti sınırlayın. Yönetim arayüzlerini açık internetten erişilemeyecek şekilde kısıtlayın.
Hemen yama uygulayamıyorsanız, satıcının yayımladığı hafifletme rehberini izleyin ve yama uygulayana kadar cihazı daha yakından izleyin.
Satıcı yama politikalarının VPN güveni için anlamı
Haziran'daki keşif, satıcıların acil düzeltmeler için eşiği nasıl belirlediğine dair haklı bir soruyu gündeme getiriyor. Plan dışı yamalar müşteriler için aksatıcıdır, dolayısıyla satıcılar her bulgu için bunları yayımlamak istemez. Ancak ürün, çevrede yer alan bir güvenlik ağ geçidi olduğunda beklemenin maliyeti dengesizdir.
Bu ödünleşimin her iki tarafı da ilk bakışta mantıksızdır denemez. Ders şu ki bir satıcının iç önem derecesi, gerçek dünya riskiyle aynı şey değildir. Saldırganlar bir açığın sürüm eşiğinin altında sınıflandırılıp sınıflandırılmadığını önemsemez; işe yarayıp yaramadığını önemser.
Müşteriler açısından bu, satıcılara doğrudan sorular sormayı gerektirir: Neyin plan dışı bir düzeltmeyi hak ettiğine nasıl karar veriyorsunuz? İçeride bulunan sorunlar hakkında müşterileri ne kadar hızlı bilgilendiriyorsunuz? Kısmen anlaşılan bir açığın daha sonra sömürülebilir olduğu ortaya çıktığında ne oluyor? Bu soruların yanıtları, güven hakkında bir pazarlama sayfasından daha fazlasını söyler.
Bu Sizin İçin Ne Anlama Geliyor
Connect Secure'a dayanan bir işveren veya okulun VPN'ini kullanan bir bireyseniz, ağ geçidine kendiniz yama uygulayamazsınız ama harekete geçebilirsiniz. BT ekibinize cihazın güncellenip güncellenmediğini sorun ve ona dokunan her hesapta güçlü, benzersiz parolalar ve çok faktörlü kimlik doğrulama kullanın. Parola değiştirmeniz söylenirse bunu hemen yapın.
Ağ geçidini siz çalıştırıyorsanız bunu tek bir ürünü değil tüm uç envanterinizi gözden geçirmek için bir vesile olarak değerlendirin. İnternete açık her cihaz, sürüm, maruziyet ve günlükleme konusunda aynı özeni hak eder.
Önemli çıkarımlar
Ivanti Connect Secure sıfır gün açığı, keşif ile düzeltme arasındaki pencerenin açığın kendisi kadar önemli olduğunu hatırlatıyor. Ivanti, kusurun bir bölümünü Haziran'da bulduğunu ve bunu plan dışı eşiğin altında değerlendirdiğini söylüyor; ardından saldırganlar ona önce ulaştı.
Ivanti ağ geçitlerini çalıştırıyor veya bunlara bağımlıysanız sürümünüzü bugün doğrulayın, en son yamaları ve hafifletmeleri uygulayın ve durum geliştikçe Ivanti'nin güvenlik bildirimlerini kontrol etmeye devam edin. Uç cihazları kimin ve neden hedeflediğine dair daha geniş bağlam için Flax Typhoon araç el koymaları hakkındaki raporumuzu okuyun.
 haberimizde de görülüyor, ancak o vaka donanım yerine yazılımı içeriyor.
## AB akıllı gözlüklerin ne yapmasını istiyor
Aynı Risky Bulletin sayısı, AB'nin akıllı gözlüklerin kayıt yaparken yüksek sesle bip çıkarmasını istediğini belirtiyor. Fikir basit: giyilebilir bir kamera insanları habersizce görüntüleyebiliyorsa, çevredekiler net bir sinyal almalıdır.
Özet, yasal mekanizmayı veya takvimi ayrıntılı olarak belirtmiyor, bu nedenle şimdilik bunu bir öneri olarak ele almak en iyisidir. Yine de bu, Ledger hikayesiyle bağlantılıdır. Her iki durumda da endişe gizli yakalamadır: sessizce bir ekranı izleyen bir çip ya da sessizce bir odayı izleyen bir kamera. Düzenleyiciler ve güvenlik araştırmacıları aynı ilkede birleşiyor: gizli veri toplama, tasarım gereği görünür kılınmalı veya engellenmelidir.
Bülten ayrıca süpermarket buzdolaplarını çözen ve Ahold Delhaize mağazalarını birçok yerde çevrimdışı bırakan bir siber saldırıdan da bahsetti. Bu ayrı bir olay, ancak dijital arızaların çok fiziksel sonuçları olabileceğini vurguluyor.
## Mahremiyete önem veren kullanıcılar cihaz riskini nasıl azaltabilir
Her cihazdaki her çipi inceleyemezsiniz, ancak maruziyetinizi azaltabilirsiniz.
- **Üreticiden veya yetkili bir satıcıdan satın alın.** Satıcı kanalları, göremediğiniz ek elleçleme adımları ekler. Satın almadan önce üreticinin yetkili satıcılar listesini kontrol edin.
- **Ambalajı inceleyin.** Kırık mühürler, yeniden mühürleme izleri veya olağandışı görünen herhangi bir şey arayın. Ancak yalnızca ambalaja güvenmeyin.
- **Önceden ayarlanmış bir kurtarma ifadesini asla kullanmayın.** Bir cihaz, ifadesi zaten yazılı olarak gelirse, kullanmayı bırakın. Her zaman kendi ifadenizi cihazda oluşturun.
- **Üreticinin orijinallik kontrolünü çalıştırın.** Donanım cüzdan üreticileri genellikle bir cihazı doğrulamanın bir yolunu sunar. Bunu geldiğinde ve herhangi bir şüpheniz varsa tekrar kullanın.
- **Olağandışı donanıma dikkat edin.** Beklenmeyen radyolar, ekstra bileşenler veya ısınma ya da hızlı güç tüketimi gibi tuhaf davranan bir cihaz inceleme gerektirir.
- **Tek bir cihazda risk altında olanı sınırlayın.** Varlıkları cüzdanlar arasında dağıtmak, tek bir ihlalin hasarını azaltır.
## Bu Sizin İçin Ne Anlama Geliyor
Bir donanım cüzdanınız varsa, özellikle üçüncü taraf bir satıcıdan satın alınmışsa, nereden geldiğini kontrol edin. CryptoBilis tarafından satıldıysa, Ledger'ın resmi rehberliğini izleyin ve doğrulanmış bir cihazdan yeni oluşturulmuş bir cüzdana fon taşımayı düşünün. Cihazınızın kaynağından emin değilseniz, aynı temkinli adım geçerlidir.
Kripto sahibi değilseniz bile ders geçerliliğini koruyor. Bir güvenlik anahtarından bir yönlendiriciye kadar mahremiyet açısından kritik olan her cihaz, yalnızca tedarik zinciri kadar güvenilirdir. Resmi kanallardan satın almak, mevcut en ucuz ve en etkili korumalardan biridir.
## Çıkarımlar
Ledger cüzdan casus yazılım çipi hikayesi hâlâ gelişiyor ve Ledger ile soruşturmacılar daha fazlasını paylaştıkça ayrıntılar netleşebilir. Şimdiden açık olan şu ki donanım güveni varsayılamaz. Sahip olduğunuz herhangi bir donanım cüzdanının veya mahremiyet açısından kritik cihazın bütünlüğünü doğrulayın, yalnızca üreticiden veya yetkili satıcılardan satın alın ve önceden yapılandırılmış olarak gelen her şeye şüpheyle yaklaşın. Bu alışkanlıklar dakikalar alır ve hiçbir yazılım düzeltmesinin geri alamayacağı kayıpları önleyebilir.](/api/img?p=articles%2F8056%2Fimage-0.jpg&w=640)
