Un attacco sofisticato diretto alla penetrazione di Solarwinds Orion e il successivo compromesso di migliaia di clienti è sorprendente con la sua scala e le sue potenziali conseguenze.
Per l'anno delle lezioni crudele, questo attacco funge da promemoria molto rumoroso e sgradevole - chiunque può hackerare. Chiunque. Nessun controllo della sicurezza, software, processi e formazione non può bloccare ogni attacco. Puoi sempre e dovresti sforzarti di ridurre i rischi, ma per sbarazzarsi di loro non riuscirà mai.
Abbiamo anche ricordato che abbiamo creato un'incredibile infrastruttura digitale, che, nel caso del suo compromesso e di catturare il suo ambiente e i suoi segreti, può avere un enorme impatto sul nostro mondo, l'economia e la vita a cui siamo lentamente abituati durante una pandemia. Per un utente malintenzionato, questa infrastruttura digitale è anche un mezzo per accumulare un'enorme ricchezza dal furto di segreti, proprietà intellettuale, requisiti per l'accesso a dati o ricatti, nonché sabotaggio dei piani avversari, sia di un concorrente che nazione.
Attacco di comunicazione Solarwinds e privilegi di applicazione
Nessun fornitore può garantire che la sua decisione impedirebbe completamente l'attacco a Solarwinds, e dovremmo fare attenzione a tali affermazioni. Allo stesso tempo, le aziende possono adottare misure strategiche per prevenire questo tipo di attacchi in futuro se si rendono conto e decidono uno dei problemi fondamentali di gestire l'infrastruttura ereditaria. Questo problema di sicurezza di base è la necessità di garantire che qualsiasi applicazione abbia accesso illimitato a tutto ciò che si trova nella rete, o, in termini di accesso privilegiato, accesso globale condiviso con amministratore o diritti di root.Qual è l'accesso amministrativo condiviso globale? Questo è un accesso del conto illimitato (voci) per l'ambiente. Questo di solito significa che l'applicazione senza restrizioni deve fare delle eccezioni alle politiche di sicurezza. Ad esempio, un account può essere incluso nell'elenco dei sistemi di controllo dell'applicazione ed è escluso dal software Anti-Virus, quindi non è bloccato e non contrassegnato con un flag. L'account può funzionare per conto dell'utente, il sistema stesso o l'applicazione su qualsiasi attività o risorsa nell'ambiente. Molti professionisti del cybersecurity chiamano questo tipo di accesso "Privilegi di Dio", trasporta un rischio enorme e poco complicabile.
L'accesso amministrativo condiviso globale è solitamente utilizzato nelle applicazioni ereditarie per il monitoraggio, la gestione e l'automazione della tecnologia locale. I conti dell'amministratore condivisi globali stanno mantenendo in molti strumenti installati in premessa e funzionano nei nostri ambienti. Ciò include soluzioni per la gestione della rete, le soluzioni di gestione delle vulnerabilità, gli strumenti per il rilevamento di attività e soluzioni per la gestione dei dispositivi mobili e questi sono solo alcuni dei più esempi.
Il problema principale è che questi conti amministrativi con pieno accesso sono necessari correttamente per funzionare correttamente, e quindi non possono funzionare utilizzando il concetto di gestione delle applicazioni con i privilegi più bassi, che è la migliore pratica di sicurezza. Se questi account hanno revocato privilegi e permessi, la domanda non sarà probabilmente in grado di funzionare. Pertanto, sono forniti con accesso completo e illimitato al lavoro, che è una zona massiccia per l'attacco.
In caso di Solarwinds, questo è esattamente quello che è successo. L'applicazione stessa è stata compromessa attraverso l'aggiornamento automatico e gli aggressori hanno utilizzato l'accesso privilegiato illimitato nell'ambiente delle vittime utilizzando questa applicazione. L'attacco potrebbe compiere quasi tutti i compiti mascherati da Solarwinds, e persino cercato molto difficile non eseguirli su sistemi su cui esistono mezzi di monitoraggio e garantendo la sicurezza dei fornitori avanzati. Pertanto, diventa ovvio come segue: Se il codice dannoso è sofisticato abbastanza da aggirare le soluzioni di sicurezza ed eseguirlo solo su tali oggetti in cui può evitare il rilevamento, lo farà utilizzando i privilegi amministrativi condivisi globali. Nessuna soluzione potrebbe rilevare e bloccare tale attacco.
L'anno scorso nel nostro blog, in cui abbiamo dato le previsioni del cybersecurity per il 2020, abbiamo fatto prima un aumento degli aggiornamenti automatici dannosi. Pertanto, anche se la minaccia totale non era una conseguenza sconosciuta o imprevista, scala e distruttiva di questo particolare attacco Solarwinds suonerà per molto tempo.
Come prevenire o eliminare gli attacchi nell'organizzazione delle quali sono coinvolte applicazioni ereditarie
C'è una grande domanda qui: come possiamo aggiornare i nostri ambienti e non dipendere da applicazioni e conti che richiedono privilegi eccessivi, che non è sicuro?
Prima di tutto, con per lo più applicazioni ereditate, soluzioni per la gestione della gestione della rete o della gestione delle vulnerabilità, ad esempio, in base alla tecnologia di scansione sono tutte in ordine. Solo tecnologia obsoleta e modelli di sicurezza per implementare tali applicazioni. Qualcosa richiede un cambiamento.
Se pensi che le violazioni di Solarwinds siano la cosa peggiore che sia mai accaduta nel campo del cybersecurity, potresti avere ragione. Per quei professionisti nel campo del cybersecurity, che sono ricordati da Sasser, Blaster, Big Giallo, Mirai e Wannacry, il volume delle influenze sul sistema sarà paragonabile, ma il bersaglio e il carico utile di questi vermi non hanno alcun confronto con il Attacco Solarwinds.
Le minacce serie sono già esistenti dozzine di anni, ma mai prima di aver visto la risorsa per essere attaccata così sofisticata che tutte le potenziali vittime e le conseguenze degli attacchi non ci sono noti finora. Quando Sasser o Wannacry colpiscono il sistema, i loro proprietari lo sapevano. Anche nel caso dei virus di estorsione, imparerai le conseguenze per un breve periodo di tempo.
In connessione con Solarwinds uno dei principali obiettivi degli aggressori doveva rimanere inosservati. E non dimenticare che oggi lo stesso problema globale esiste con altre applicazioni ereditate. Per l'organizzazione degli attacchi su migliaia di aziende, possono essere utilizzate altre applicazioni con privilegi amministrativi condivisi globali nei nostri media, che porterà a risultati terrificanti.
Sfortunatamente, questa non è una vulnerabilità che richiede una correzione, ma piuttosto un uso non autorizzato delle capacità dell'applicazione che richiede questi privilegi.
Allora da dove iniziare?
Prima di tutto, dobbiamo identificare e rilevare tutte le applicazioni nel nostro ambiente, che sono necessarie tali privilegi eccessivi:
- Utilizzando lo strumento di rilevamento della classe Enterprise, determinare quali applicazioni hanno lo stesso account privilegiato su più sistemi. Le credenziali sono più comuni e possono essere utilizzate per la distribuzione orizzontale.
- Effettuare un inventario del gruppo Gruppo Domain Administrators e identifica tutti i conti o i servizi di applicazione presenti. Qualsiasi applicazione che necessita dei privilegi dell'amministratore del dominio è un rischio elevato.
- Sfoglia tutte le applicazioni che si trovano nella tua lista di eccezioni antivirus globali (rispetto alle eccezioni su nodi specifici). Saranno coinvolti nel primo e più importante passo del tuo stack di sicurezza endpoint - prevenire il malware.
- Sfoglia l'elenco del software utilizzato nell'impresa e determinare quali privilegi sono necessari tramite un'applicazione per funzionare ed eseguire aggiornamenti automatici. Ciò può aiutare a determinare se sono necessari i privilegi dell'amministratore locale o gli account amministratori locali per il corretto funzionamento dell'applicazione. Ad esempio, un account impersonale per aumentare i privilegi dell'applicazione può avere un account su un nodo locale per questo scopo.
Quindi dobbiamo implementare dove è possibile gestire le applicazioni in base ai privilegi minimi necessari. Implica la rimozione di tutti i privilegi eccessivi dell'applicazione. Tuttavia, come menzionato sopra, non è sempre possibile. Infine, per eliminare la necessità di conti privilegiati condivisi globali, potrebbe essere necessario come segue:
- Aggiorna l'applicazione a una soluzione più recente
- Scegli un nuovo fornitore per risolvere il problema
- Traduci il carico di lavoro nel cloud o in un'altra infrastruttura
Considera come un'esempio di vulnerabilità di gestione. Gli scanner tradizionali di vulnerabilità utilizzano un account privilegiato condiviso globale (a volte più di uno) per connettersi in remoto all'attenzione e all'autenticazione come account amministrativo per determinare le vulnerabilità. Se il nodo è compromesso da una scansione software dannosa, l'hash utilizzato per l'autenticazione può essere raccolto e utilizzato per la distribuzione orizzontale sulla rete e stabilire una presenza costante.
I VENNDORI dei sistemi di gestione delle vulnerabilità hanno realizzato questo problema e invece di memorizzare un account amministrativo costante per la scansione, sono integrati con una soluzione di controllo degli accessi preferiti (PAM) per ottenere un account privilegiato corrente per completare la scansione. Quando non ci sono state soluzioni PAM, i fornitori di strumenti di gestione delle vulnerabilità hanno anche ridotto il rischio, lo sviluppo di agenti locali e strumenti che possono utilizzare API da valutare invece di un singolo account amministrativo condiviso per la scansione autorizzata.
Il mio punto di vista su questo esempio è semplice: la tecnologia di gestione della vulnerabilità ereditata si è evoluta in modo tale da non espelle più i clienti con un enorme rischio associato a conti di applicazione globali e accedere a loro. Sfortunatamente, molte altre tecnologie dei venditori non hanno cambiato le loro decisioni, e la minaccia rimane fino a quando le vecchie soluzioni sono sostituite o modernizzate.
Se si dispone di strumenti per gestire quali account amministrativi condivisi globali sono richiesti, il compito di fondamentale importanza per il 2021 dovrebbe sostituire questi strumenti o il loro aggiornamento. Assicurati che le soluzioni che acquisti siano sviluppate dai fornitori che già forniscono da questa minaccia.
Infine, pensa a gestire i privilegi di applicazioni in base al principio dei privilegi meno necessari. Le soluzioni PAM sono progettate per memorizzare i segreti e consentire alle applicazioni di lavorare con un livello di privilegio minimo, anche se non sono stati originariamente progettati per funzionare con queste applicazioni.
Ritornando al nostro esempio, le soluzioni di gestione delle vulnerabilità possono utilizzare i privilegi UNIX e Linux per eseguire scansioni di vulnerabilità, anche se non sono state fornite con il proprio accesso privilegiato. Lo strumento di gestione del privilegio esegue i comandi per conto dello scanner e restituisce i risultati. Esegue i comandi dello scanner con i privilegi più piccoli e non soddisfa i suoi comandi inappropriati, ad esempio, spegnendo il sistema. In un certo senso, il principio dei più piccoli privilegi su queste piattaforme assomiglia a sudo e può controllare, limitare ed eseguire applicazioni con privilegi, indipendentemente dal processo che chiama il comando. Questo è solo un modo per gestire l'accesso privilegiato può essere applicato ad alcune applicazioni obsolete nei casi in cui sono necessari privilegi eccessivi e la sostituzione appropriata non è possibile.
Ciberiano ridotto nel 2021 e inoltre: i seguenti passaggi principali
Qualsiasi organizzazione può essere l'obiettivo degli intrusi e qualsiasi applicazione con privilegi eccessivi può essere utilizzata contro l'intera società. L'incidente di Solarwinds deve incoraggiare tutti noi a rivedere e identificare tali applicazioni il cui lavoro è associato ai rischi di eccessivo accesso privilegiato. Dobbiamo determinare come si può ammorbidire la minaccia, anche se è impossibile eliminarla in questo momento.
In definitiva, i tuoi sforzi per ridurre i rischi ed eliminare le loro conseguenze possono portarti a sostituire applicazioni o transizione verso il cloud. Indubbiamente uno - il concetto di gestione degli accessi privilegiati è applicabile alle applicazioni nonché alle persone. Se le tue applicazioni non sono controllate correttamente, possono mettere a repentaglio la sicurezza dell'intera impresa. E nulla dovrebbe avere accesso illimitato nel tuo ambiente. Questo è un link debole che dobbiamo identificare, eliminare ed evitare in futuro.
Materiale più interessante su Cisoclub.ru. Iscriviti a noi: Facebook | VK |. Twitter |. Instagram |. Telegram |. Zen |. Messenger |. ICQ nuovo |. Youtube |. Pulsante.