Що сталося під час злому Check Point

Check Point, один із найбільш широко розгорнутих постачальників корпоративної безпеки у світі, підтвердив, що зловмисники знайшли спосіб проникнути в його власну захисну інфраструктуру. Згідно з повідомленням CSO Online, дві вразливості з оцінкою CVSS 9.8, майже максимальним балом серйозності за стандартною галузевою шкалою, були використані для компрометації систем, пов'язаних із сервісом Security Management від Check Point. Однією з цих уразливостей був нещодавно виявлений нульовий день, тобто він був невідомий захисникам і не мав патча на момент, коли зловмисники почали його експлуатувати.

Уразливості з оцінкою CVSS 9.8 є рідкісними та небезпечними, оскільки вони зазвичай вимагають мінімальної автентифікації або взагалі її не потребують і можуть бути використані віддалено з мінімальною складністю. Коли настільки серйозна вразливість знаходиться всередині платформи управління безпекою — інструменту, який організації використовують для налаштування та моніторингу своїх міжмережевих екранів, VPN-шлюзів і мережевого захисту, — ризик поширюється далеко за межі одного неправильно налаштованого сервера. Він завдає удару по контрольному рівню, на який підприємства покладаються, щоб забезпечити безпеку всього іншого.

Чому компрометація міжмережевих екранів і шлюзів має значення поза межами підприємства

Продукти Check Point розташовані на периферії тисяч корпоративних мереж, фільтруючи трафік, керуючи VPN-з'єднаннями та забезпечуючи дотримання політик доступу як для співробітників, так і для клієнтів. Саме це розташування й робить цей злом значним. Шлюзи безпеки покликані бути укріпленими вхідними дверима мережі, останньою лінією оборони між відкритим інтернетом і чутливими внутрішніми системами. Коли постачальник, який надає ці вхідні двері, сам зазнає злому через нульовий день, модель довіри, на яку покладаються організації, перевертається з ніг на голову.

Це не вузькоспеціалізована технічна проблема, обмежена ІТ-відділами. Шлюзи безпеки, такі як у Check Point, — це інфраструктура, яка маршрутизує та перевіряє дані співробітників, що працюють віддалено, клієнтів, які входять у портали, та партнерів, які обмінюються інформацією. Якщо зловмисник отримує опору в рівні управління цієї інфраструктури, він може отримати можливість спостерігати за трафіком, змінювати конфігурації або просуватися глибше в мережу, яка вважала себе захищеною. Саме програмне забезпечення, яке рекламувалося як щит, у цьому випадку стало потенційною точкою входу.

Як відкрита корпоративна інфраструктура наражає на ризик персональні дані

Практична небезпека порушення периметрової безпеки полягає в тому, що воно рідко залишається обмеженим постачальником. Корпоративні клієнти, які використовують постраждалі продукти, успадковують цю вразливість, а отже, і співробітники та клієнти, чиї дані проходять через ці системи. Скомпрометований міжмережевий екран або консоль управління може стати плацдармом для бокового переміщення в HR-системи, клієнтські бази даних або фінансові платформи.

Ця схема — злом, який починається на стороні підприємства й каскадом поширюється назовні, призводячи до розкриття персональних даних, — не є унікальною для Check Point. Вона віддзеркалює те, що сталося, коли енергетична компанія Shell була змушена розслідувати заяву угруповання Cl0p про викрадення 89 ГБ даних з її систем. В обох випадках початкова вразливість або компрометація існувала на організаційному рівні, але наслідки зрештою досягають окремих осіб, чия інформація зберігалася, оброблялася або передавалася через цю інфраструктуру. Незалежно від того, чи точкою входу є оператор програм-вимагачів, який використовує відому слабкість, чи нульовий день, що вражає власний сервіс управління постачальника безпеки, результат для кінцевих користувачів однаковий: дані, які мали бути захищені корпоративною обороною, раптово опиняються під загрозою.

Додавання незалежного шифрування: що можуть зробити користувачі, які дбають про приватність, уже зараз

Урок тут не в тому, що міжмережеві екрани та шлюзи безпеки марні. Вони залишаються необхідними. Урок у тому, що жоден окремий рівень захисту, включаючи ті, що створені надійними корпоративними постачальниками, не слід вважати непогрішимим. Периметрова безпека може зазнати невдачі, патчі можуть відставати від активної експлуатації, і навіть уразливості з оцінкою CVSS 9.8 іноді залишаються невиявленими, доки їх уже не починають використовувати в реальних атаках.

Для окремих осіб це підкріплює цінність контролю над власним шифруванням, а не повної залежності від довіри на мережевому рівні. Персональний VPN шифрує трафік незалежно від того, яку інфраструктуру безпеки має веб-сайт, роботодавець або постачальник послуг. Якщо корпоративний шлюз десь на шляху скомпрометовано, трафік, який уже зашифрований від кінця до кінця на пристрої користувача, набагато важче перехопити або значущо маніпулювати ним.

Що це означає для вас

Якщо ваша організація використовує продукти Check Point, негайним пріоритетом є підтвердження того, що екстрені патчі або гарячі виправлення були застосовані та що інтерфейси управління не є без потреби відкритими для публічного інтернету. Для звичайних користувачів цей злом є нагадуванням, що обіцянки безпеки від великих постачальників не є гарантіями. Периметровий захист може тихо зазнати невдачі, і на момент, коли злом стає публічним, розкриття могло вже відбутися.

Саме тому сценарій злому нульового дня Check Point із VPN має значення не лише для ІТ-адміністраторів. Він ілюструє, як швидко довіра до корпоративної безпеки може бути підірвана, і чому окремі особи виграють від додавання власного рівня шифрування, а не від припущення, що мережеві оператори подбали про все.

Практичні висновки

  • Якщо ви працюєте в мережі або керуєте нею з використанням продуктів Check Point, переконайтеся, що доступні патчі для розкритих уразливостей були негайно застосовані.
  • Уникайте прямого відкриття консолей управління безпекою або адміністративних інтерфейсів для інтернету, коли це можливо.
  • Ставтеся до будь-якої заяви організації про безпечний периметр як до одного рівня захисту, а не як до повної гарантії.
  • Розгляньте використання персонального VPN для конфіденційного перегляду або віддаленої роботи, щоб ваш трафік шифрувався незалежно від того, яка інфраструктура знаходиться між вами та місцем призначення.
  • Будьте уважні до того, як корпоративні зломи, як цей та інцидент із Shell, пов'язаний з Cl0p, можуть поширюватися назовні, призводячи до розкриття персональних даних, навіть коли початкова вразливість не мала до вас прямого відношення.