Serangan yang canggih yang diarahkan kepada penembusan Solarwinds Orion dan kompromi berikutnya dari ribuan pelanggannya yang menarik dengan skala dan akibat yang berpotensi.
Untuk tahun pelajaran kejam, serangan ini berfungsi sebagai peringatan yang sangat kuat dan tidak menyenangkan - sesiapa sahaja boleh menggodam. Sesiapa. Tiada kawalan keselamatan, perisian, proses dan latihan tidak boleh menghalang setiap serangan. Anda sentiasa boleh dan harus berusaha untuk mengurangkan risiko, tetapi untuk menyingkirkan mereka tidak akan berjaya.
Kami juga teringat bahawa kami mencipta infrastruktur digital yang menakjubkan, yang, dalam hal kompromi dan menangkap persekitaran dan rahsia, boleh memberi impak besar kepada dunia kita, ekonomi dan kehidupan yang kita perlahan-lahan terbiasa semasa pandemik. Bagi penyerang, infrastruktur digital ini juga merupakan cara untuk mengumpulkan kekayaan yang besar dengan kecurian rahsia, harta intelek, keperluan untuk akses kepada data atau pemerasan, serta sabotaj pelan lawan, sama ada pesaing atau negara.
Serangan Komunikasi Solarwinds dan Keistimewaan Aplikasi
Tiada vendor boleh menjamin bahawa keputusannya akan benar-benar menghalang serangan terhadap Solarwinds, dan kita harus berhati-hati dengan kenyataan tersebut. Pada masa yang sama, syarikat boleh mengambil langkah-langkah strategik untuk mengelakkan jenis serangan ini pada masa akan datang jika mereka menyedari dan memutuskan salah satu masalah asas untuk menguruskan infrastruktur yang diwarisi. Masalah keselamatan asas ini adalah keperluan untuk memastikan bahawa apa-apa permohonan mempunyai akses yang tidak terhad kepada semua yang ada dalam rangkaian, atau, dari segi akses istimewa, akses bersama global dengan pentadbir atau hak akar.Apakah akses pentadbiran global global? Ini adalah akses akaun tanpa had (penyertaan) kepada alam sekitar. Ini biasanya bermaksud bahawa aplikasi tanpa sekatan perlu membuat pengecualian kepada dasar keselamatan. Sebagai contoh, akaun boleh dimasukkan dalam senarai sistem kawalan aplikasi dan dikecualikan daripada perisian anti-virus, jadi ia tidak disekat dan tidak ditandakan dengan bendera. Akaun ini boleh berfungsi bagi pihak pengguna, sistem itu sendiri atau permohonan ke atas apa-apa aset atau sumber dalam alam sekitar. Banyak profesional CyberSecurity memanggil jenis akses "keistimewaan Tuhan" ini, ia membawa risiko yang besar dan tidak dapat dikembalikan.
Akses pentadbiran bersama global biasanya digunakan dalam aplikasi yang diwarisi untuk pemantauan, pengurusan dan automasi teknologi tempatan. Akaun pentadbir bersama global adalah servis dalam banyak alat yang dipasang di premis dan bekerja di persekitaran kami. Ini termasuk penyelesaian untuk pengurusan rangkaian, penyelesaian kelemahan, alat untuk mengesan aset dan penyelesaian untuk menguruskan peranti mudah alih, dan ini hanya beberapa contoh berganda.
Masalah utama adalah bahawa akaun pentadbiran ini dengan akses penuh diperlukan untuk berfungsi dengan baik, dan oleh itu mereka tidak boleh bekerja menggunakan konsep pengurusan dengan keistimewaan yang paling rendah, yang merupakan amalan keselamatan yang terbaik. Jika akaun-akaun ini telah membatalkan keistimewaan dan keizinan, permohonan itu kemungkinan besar tidak dapat berfungsi. Oleh itu, mereka disediakan dengan akses penuh dan tidak terhad kepada kerja, yang merupakan kawasan besar untuk serangan.
Sekiranya Solarwinds, ini adalah apa yang berlaku. Aplikasi itu sendiri telah dikompromi melalui kemas kini automatik, dan penyerang menggunakan akses istimewa yang tidak terhad dalam persekitaran mangsa menggunakan aplikasi ini. Menyerang boleh melakukan hampir apa-apa tugas yang disamar oleh Solarwinds, dan juga berusaha keras untuk tidak melakukannya pada sistem yang mana terdapat cara pemantauan dan memastikan keselamatan vendor yang lebih maju. Oleh itu, ia menjadi jelas seperti berikut: Jika kod berniat jahat cukup canggih untuk memintas penyelesaian keselamatan dan melaksanakannya hanya pada objek tersebut di mana ia boleh mengelakkan pengesanan, ia akan melakukan ini menggunakan keistimewaan pentadbiran bersama global. Tiada penyelesaian yang dapat mengesan dan menghalang serangan sedemikian.
Tahun lepas di blog kami, di mana kami memberikan ramalan siber untuk 2020, kami mula-mula meletakkan peningkatan dalam kemas kini automatik berniat jahat. Oleh itu, walaupun jumlah ancaman bukanlah akibat yang tidak diketahui atau tidak dijangka, skala dan merosakkan serangan ini Solarwinds akan berbunyi untuk masa yang lama.
Bagaimana untuk mencegah atau menghapuskan serangan dalam organisasi yang mana aplikasi yang diwarisi terlibat
Terdapat soalan besar di sini: Bagaimanakah kita dapat meningkatkan persekitaran kita dan tidak bergantung kepada aplikasi dan akaun yang memerlukan keistimewaan yang berlebihan, yang tidak selamat?
Pertama sekali, dengan kebanyakannya aplikasi yang diwarisi, penyelesaian untuk pengurusan rangkaian atau kelemahan pengurusan, sebagai contoh, berdasarkan teknologi pengimbasan semuanya teratur. Hanya teknologi ketinggalan zaman dan model keselamatan untuk melaksanakan aplikasi tersebut. Sesuatu memerlukan perubahan.
Jika anda berfikir bahawa pelanggaran Solarwinds adalah perkara paling buruk yang pernah berlaku dalam bidang keselamatan siber, anda mungkin betul. Bagi para profesional dalam bidang CyberSecurity, yang diingati oleh Sasser, Blaster, Big Yellow, Mirai dan Wannacry, jumlah pengaruh pada sistem akan dibandingkan, tetapi sasaran dan muatan cacing ini tidak mempunyai perbandingan dengan Serangan Solarwinds.
Ancaman yang serius telah wujud berpuluh-puluh tahun, tetapi tidak pernah sebelum kita melihat sumber yang akan diserang begitu canggih bahawa semua mangsa yang berpotensi dan akibat serangan tidak diketahui oleh kita setakat ini. Apabila Sasser atau Wannacry melanda sistem, pemiliknya tahu mengenainya. Walaupun dalam kes virus pemerasan, anda akan belajar tentang akibat untuk tempoh yang singkat.
Sehubungan dengan Solarwinds Salah satu matlamat utama penyerang adalah untuk kekal tanpa disedari. Dan jangan lupa bahawa hari ini masalah global yang sama wujud dengan aplikasi yang diwarisi yang lain. Bagi organisasi serangan ke atas beribu-ribu syarikat, aplikasi lain dengan keistimewaan pentadbiran bersama global di media kami boleh digunakan, yang akan membawa kepada hasil yang menakutkan.
Malangnya, ini bukan kelemahan yang memerlukan pembetulan, tetapi penggunaan yang tidak dibenarkan keupayaan aplikasi yang memerlukan keistimewaan ini.
Jadi di mana hendak bermula?
Pertama sekali, kita perlu mengenal pasti dan mengesan semua aplikasi dalam persekitaran kita, yang memerlukan keistimewaan yang berlebihan itu:
- Menggunakan alat pengesanan kelas perusahaan, tentukan aplikasi mana yang mempunyai akaun istimewa yang sama pada pelbagai sistem. Kredensial yang paling mungkin biasa dan boleh digunakan untuk pengedaran mendatar.
- Buat inventori Kumpulan Pentadbir Domain Kumpulan dan mengenalpasti semua akaun permohonan atau perkhidmatan yang ada sekarang. Sebarang permohonan yang memerlukan keistimewaan pentadbir domain adalah risiko yang tinggi.
- Semak imbas semua aplikasi yang berada dalam senarai pengecualian antivirus global anda (berbanding dengan pengecualian pada nod tertentu). Mereka akan terlibat dalam langkah pertama dan paling penting dalam timbunan keselamatan akhir anda - menghalang malware.
- Semak imbas senarai perisian yang digunakan dalam perusahaan dan tentukan keistimewaan yang diperlukan oleh aplikasi untuk bekerja dan melakukan kemas kini automatik. Ini dapat membantu menentukan sama ada keistimewaan pentadbir tempatan diperlukan atau akaun pentadbir tempatan untuk operasi yang betul aplikasi. Sebagai contoh, akaun tidak peribadi untuk meningkatkan keistimewaan permohonan itu boleh mempunyai akaun di atas nod tempatan untuk tujuan ini.
Kemudian kita mesti melaksanakan di mana ia mungkin untuk menguruskan aplikasi berdasarkan keistimewaan minimum yang diperlukan. Ia membayangkan penyingkiran semua keistimewaan yang berlebihan dari aplikasi. Walau bagaimanapun, seperti yang dinyatakan di atas, ia tidak selalu mungkin. Akhirnya, untuk menghapuskan keperluan untuk akaun istimewa bersama global, anda mungkin perlu seperti berikut:
- Kemas kini permohonan kepada penyelesaian yang lebih baru
- Pilih vendor baru untuk menyelesaikan masalah ini
- Terjemah beban kerja di awan atau infrastruktur lain
Pertimbangkan sebagai contoh kelemahan pengurusan. Pengimbas kerentanan tradisional menggunakan Akaun Keistimewaan Bersama Global (kadang-kadang lebih daripada satu) untuk menghubungkan secara jauh ke sasaran dan pengesahan sebagai akaun pentadbiran untuk menentukan kelemahan. Sekiranya nod dikompromikan oleh pengimbasan perisian yang berniat jahat, maka hash yang digunakan untuk pengesahan boleh dikumpulkan dan digunakan untuk pengedaran mendatar di atas rangkaian dan mewujudkan kehadiran yang berterusan.
Venndors sistem pengurusan kerentanan telah menyedari masalah ini dan bukannya menyimpan akaun pentadbiran yang berterusan untuk mengimbas, mereka disepadukan dengan penyelesaian kawalan akses pilihan (PAM) untuk mendapatkan akaun istimewa semasa untuk menyelesaikan imbasan. Apabila tidak ada penyelesaian PAM, vendor alat pengurusan kelemahan juga mengurangkan risiko, membangunkan agen dan alat tempatan yang boleh menggunakan API untuk menilai dan bukannya satu akaun pentadbiran yang dikongsi untuk pengimbasan yang diberi kuasa.
Pandangan saya mengenai contoh ini adalah mudah: teknologi pengurusan kelemahan yang diwariskan telah berkembang sedemikian rupa sehingga tidak lagi mendedahkan pelanggan dengan risiko yang besar yang berkaitan dengan akaun aplikasi global dan akses kepada mereka. Malangnya, banyak teknologi vendor lain tidak mengubah keputusan mereka, dan ancaman itu kekal sehingga penyelesaian lama diganti atau dimodenkan.
Jika anda mempunyai alat untuk menguruskan akaun pentadbiran yang dikongsi global yang diperlukan, maka tugas yang sangat penting untuk 2021 harus menggantikan alat-alat ini atau kemas kini mereka. Pastikan penyelesaian yang anda beli dibangunkan oleh vendor yang telah menyampaikan dari ancaman ini.
Akhir sekali, berfikir tentang menguruskan keistimewaan permohonan berdasarkan prinsip keistimewaan yang paling rendah. Penyelesaian PAM direka untuk menyimpan rahsia dan membolehkan aplikasi untuk bekerja dengan tahap keistimewaan minimum, walaupun mereka tidak pada asalnya direka untuk bekerja dengan aplikasi ini.
Kembali ke contoh kami, penyelesaian pengurusan kelemahan boleh menggunakan keistimewaan UNIX dan Linux untuk melakukan imbasan kelemahan, walaupun mereka tidak diberikan akses istimewa mereka sendiri. Alat Pengurusan Keistimewaan melaksanakan arahan bagi pihak pengimbas dan mengembalikan hasilnya. Ia melaksanakan arahan pengimbas dengan keistimewaan terkecil dan tidak memenuhi perintah yang tidak sesuai, contohnya, mematikan sistem. Dalam erti kata, prinsip keistimewaan terkecil di platform ini menyerupai sudo dan boleh mengawal, mengehadkan dan melaksanakan aplikasi dengan keistimewaan, tanpa mengira proses yang memanggil perintah itu. Ini hanya satu cara untuk mengurus akses istimewa boleh digunakan untuk beberapa aplikasi yang ketinggalan zaman dalam kes di mana keistimewaan yang berlebihan diperlukan dan penggantian yang sesuai tidak mungkin.
Mengurangkan Ciberian pada tahun 2021 dan seterusnya: langkah utama berikut
Mana-mana organisasi boleh menjadi sasaran penceroboh, dan apa-apa aplikasi dengan keistimewaan yang berlebihan boleh digunakan terhadap seluruh syarikat. Insiden Solarwinds mesti menggalakkan kita semua untuk menyemak dan mengenal pasti aplikasi yang kerjanya dikaitkan dengan risiko akses istimewa yang berlebihan. Kita mesti menentukan bagaimana anda boleh melembutkan ancaman, walaupun mustahil untuk menghapuskannya sekarang.
Pada akhirnya, usaha anda untuk mengurangkan risiko dan menghapuskan akibatnya boleh membawa anda untuk menggantikan aplikasi atau peralihan ke awan. Tidak dinafikan satu - konsep pengurusan akses istimewa boleh digunakan untuk aplikasi dan juga kepada orang. Sekiranya aplikasi anda tidak dikawal dengan betul, mereka boleh menjejaskan keselamatan seluruh perusahaan. Dan tiada apa yang sepatutnya mempunyai akses tanpa had dalam persekitaran anda. Ini adalah satu pautan yang lemah yang perlu kita kenali, memadam dan mengelakkan masa depan.
Bahan yang lebih menarik di Cisoclub.ru. Langgan kepada kami: Facebook | VK | Twitter | Instagram | Telegram | Zen | Messenger | ICQ baru | YouTube | Pulse.