Një sulm i sofistikuar i drejtuar në depërtimin e Solarwinds Orion dhe kompromisi pasues i mijëra klientëve të saj është e habitshme me shkallën e saj dhe pasojat e mundshme.
Për vitin e mësimeve mizore, ky sulm shërben si një kujtesë shumë e lartë dhe e pakëndshme - çdokush mund të hack. Kushdo. Asnjë kontroll i sigurisë, softuer, procese dhe trajnim nuk mund të bllokojë çdo sulm. Ju gjithmonë mund dhe duhet të përpiqeni të reduktoni rreziqet, por për të hequr qafe prej tyre nuk do të ketë kurrë sukses.
Ne gjithashtu kujtojmë se ne kemi krijuar një infrastrukturë dixhitale të mahnitshme, e cila, në rastin e kompromisit të saj dhe për të kapur mjedisin dhe sekretet e saj, mund të ketë një ndikim të madh në botën tonë, ekonominë dhe jetën për të cilën ne jemi të mësuar ngadalë për të gjatë një pandemie. Për një sulmues, kjo infrastrukturë digjitale është gjithashtu një mjet për të akumuluar një pasuri të madhe me vjedhje të sekreteve, pronës intelektuale, kërkesave për qasje në të dhëna ose shantazh, si dhe sabotazh të planeve kundërshtare, qoftë një konkurrent apo komb.
Sulmi i komunikimit Solarwinds dhe privilegje të aplikimit
Asnjë shitës nuk mund të garantojë se vendimi i tij do të parandalonte plotësisht sulmin ndaj solarwindings, dhe ne duhet të ruhammë nga deklarata të tilla. Në të njëjtën kohë, kompanitë mund të ndërmarrin hapa strategjikë për të parandaluar këtë lloj sulmesh në të ardhmen nëse ata e kuptojnë dhe vendosin një nga problemet themelore të menaxhimit të infrastrukturës së trashëguar. Ky problem themelor i sigurisë është nevoja për të siguruar që çdo aplikacion të ketë qasje të pakufizuar në gjithçka që është në rrjet, ose në aspektin e qasjes së privilegjuar, qasjen globale të përbashkët me administratorin ose të drejtat e rrënjës.Çfarë është qasja globale e përbashkët administrative? Ky është një akses i pakufizuar i llogarisë (shënimeve) në mjedis. Kjo zakonisht do të thotë se aplikacioni pa kufizime duhet të bëjë përjashtime nga politikat e sigurisë. Për shembull, një llogari mund të përfshihet në listën e sistemeve të kontrollit të aplikimit dhe përjashtohet nga softueri anti-virus, kështu që nuk është bllokuar dhe nuk është shënuar me një flamur. Llogaria mund të punojë në emër të përdoruesit, vetë sistemin ose aplikimin në ndonjë pasuri ose burim në mjedis. Shumë profesionistë të sigurisë kibernetike e quajnë këtë lloj qasjeje "Privilegat e Perëndisë", ajo mbart një rrezik masiv dhe të pakomplikueshëm.
Qasja administrative globale e përbashkët përdoret zakonisht në aplikimet e trashëguara për monitorimin, menaxhimin dhe automatizimin e teknologjisë lokale. Llogaritë e administratorit global të përbashkët janë duke shërbyer në shumë mjete që janë instaluar në premisat dhe punojnë në mjediset tona. Kjo përfshin zgjidhjet për menaxhimin e rrjetit, zgjidhjet e menaxhimit të cenueshmërisë, mjetet për zbulimin e aktiveve dhe zgjidhjet për menaxhimin e pajisjeve mobile, dhe këto janë vetëm disa nga shembujt e shumëfishtë.
Problemi kryesor është se këto llogari administrative me qasje të plotë janë të nevojshme për të punuar si duhet, prandaj ata nuk mund të punojnë duke përdorur konceptin e menaxhimit të aplikacioneve me privilegjet më të ulëta, që është praktika më e mirë e sigurisë. Nëse këto llogari kanë revokuar privilegjet dhe lejet, aplikacioni ka shumë të ngjarë të mos jetë në gjendje të punojë. Kështu, ato janë të pajisura me qasje të plotë dhe të pakufizuar në punë, e cila është një zonë masive për sulmin.
Në rastin e Solarwinds, kjo është pikërisht ajo që ndodhi. Vetë aplikimi u komprometua përmes përditësimit automatik dhe sulmuesit përdorën qasje të pakufizuar të privilegjuar në mjedisin e viktimës duke përdorur këtë kërkesë. Sulmimi mund të kryejë pothuajse çdo detyrë të maskuar nga solarwinds, dhe madje u përpoq shumë të mos i kryejnë ato në sistemet në të cilat ekzistojnë mjete monitorimi dhe sigurimi i sigurisë së shitësve të avancuar. Kështu, bëhet e qartë si më poshtë: Nëse kodi me qëllim të keq është mjaft i sofistikuar për të anashkaluar zgjidhjet e sigurisë dhe për të kryer atë vetëm në ato objekte ku mund të shmangë zbulimin, do ta bëjë këtë duke përdorur privilegjet globale të përbashkëta administrative. Asnjë zgjidhje nuk mund të zbulojë dhe të bllokojë një sulm të tillë.
Vitin e kaluar në blogun tonë, në të cilin i dhamë parashikimin e sigurisë kibernetike për vitin 2020, së pari vendosim një rritje në përditësime automatike me qëllim të keq. Kështu, edhe pse kërcënimi i përgjithshëm nuk ishte një pasojat e panjohura ose të papritura, shkallë dhe destruktive të këtij sulmi të veçantë që solarwinds do të tingëllojë për një kohë të gjatë.
Si të parandaloni ose eliminoni sulme në organizimin e të cilave aplikacionet e trashëguara janë të përfshira
Ka një pyetje të madhe këtu: Si mund të përmirësojmë mjediset tona dhe të mos varemi nga aplikimet dhe llogaritë që kërkojnë privilegje të tepruara, e cila është e pasigurt?
Para së gjithash, me më së shumti aplikacione të tilla të trashëguara, zgjidhjet për menaxhimin e rrjetit ose menaxhimin e dobësive, për shembull, bazuar në teknologjinë e skanimit janë të gjitha në rregull. Vetëm modelet e vjetruara dhe modelet e sigurisë për të zbatuar aplikacione të tilla. Diçka kërkon një ndryshim.
Nëse mendoni se shkeljet e Solarwinds janë gjëja më e keqe që ka ndodhur ndonjëherë në fushën e sigurisë kibernetike, mund të keni të drejtë. Për ata profesionistë në fushën e sigurisë kibernetike, të cilat mbahen mend nga sasser, blaster, të verdhë të madhe, Mirai dhe Wannacry, vëllimi i ndikimeve në sistem do të jetë i krahasueshëm, por objektivi dhe ngarkesa e këtyre krimbave nuk kanë ndonjë krahasim me Solarwinds sulmi.
Kërcënimet serioze kanë ekzistuar tashmë dhjetëra vjet, por kurrë më parë para se të kemi parë burimin për t'u sulmuar kaq i sofistikuar se të gjitha viktimat e mundshme dhe pasojat e sulmeve nuk janë të njohura deri më tani. Kur sasser ose wannacry goditi sistemin, pronarët e tyre e dinin për këtë. Edhe në rastin e viruseve të zhvatjes, do të mësoni për pasojat për një periudhë të shkurtër kohore.
Në lidhje me Solarwinds një nga qëllimet kryesore të sulmuesve ishte të mbeteshin pa u vënë re. Dhe mos harroni se sot i njëjti problem global ekziston me aplikacione të tjera të trashëguara. Për organizimin e sulmeve në mijëra kompani, mund të përdoren aplikime të tjera me privilegje të përbashkëta globale të përbashkëta në mediat tona, të cilat do të çojnë në rezultate të tmerrshme.
Për fat të keq, kjo nuk është një dobësi që kërkon korrigjim, por një përdorim i paautorizuar i aftësive të aplikimit që ka nevojë për këto privilegje.
Pra, ku të filloni?
Para së gjithash, ne duhet të identifikojmë dhe zbulojmë të gjitha aplikacionet në mjedisin tonë, të cilat janë të nevojshme privilegje të tilla të tepruara:
- Përdorimi i mjetit të zbulimit të klasës së ndërmarrjes, përcaktoni cilat aplikacione kanë të njëjtin llogari të privilegjuar në sisteme të shumëfishta. Kredencialet kanë më shumë gjasa të jenë të zakonshme dhe mund të përdoren për shpërndarje horizontale.
- Bëni një inventar të grupit të Administratorëve të Domainit dhe identifikoni të gjitha llogaritë ose shërbimet e aplikimit të pranishëm. Çdo aplikim që ka nevojë për privilegjet e administratorit të domain-it është një rrezik i lartë.
- Shfletoni të gjitha aplikacionet që janë në listën tuaj globale të përjashtimit të antivirus (në krahasim me përjashtimet nga nyjet specifike). Ata do të përfshihen në hapin e parë dhe më të rëndësishëm të stack tuaj të sigurisë të sigurisë - parandaloni malware.
- Shfletoni listën e softuerit të përdorur në ndërmarrje dhe të përcaktojë se cilat privilegje janë të nevojshme nga një aplikacion për të punuar dhe për të kryer përditësime automatike. Kjo mund të ndihmojë në përcaktimin nëse nevojiten privilegjet e administratorit lokal ose administratori lokal përbën operacionin e duhur të aplikacionit. Për shembull, një llogari e papërcaktuar për rritjen e privilegjeve të aplikacionit mund të ketë një llogari në një nyje lokale për këtë qëllim.
Pastaj duhet të zbatojmë aty ku është e mundur të menaxhojmë aplikacionet bazuar në privilegjet minimale të nevojshme. Kjo nënkupton heqjen e të gjitha privilegjeve të tepruara të aplikacionit. Megjithatë, siç u përmend më lart, nuk është gjithmonë e mundur. Së fundi, për të eliminuar nevojën për llogaritë globale të privilegjuara të privilegjuara, mund të keni nevojë si më poshtë:
- Përditësoni aplikacionin në një zgjidhje më të re
- Zgjidhni një shitës të ri për të zgjidhur problemin
- Përkthejeni ngarkesën e punës në cloud ose një infrastrukturë tjetër
Konsideroni si një shembull dobësi të menaxhimit. Skanerët tradicionalë të cenueshmërisë përdorin një llogari globale të privilegjuar (nganjëherë më shumë se një) për t'u lidhur me distancë për të synuar dhe vërtetuar si një llogari administrative për të përcaktuar dobësitë. Nëse nyja është e komprometuar nga një skanim i softuerit me qëllim të keq, atëherë hash përdoret për autentifikim mund të mblidhet dhe përdoret për shpërndarje horizontale mbi rrjet dhe të krijojë një prani të vazhdueshme.
Vennndors e sistemeve të menaxhimit të cenueshmërisë e kanë kuptuar këtë problem dhe në vend që të ruajnë një llogari të vazhdueshme administrative për skanimin, ato janë të integruara me një zgjidhje të kontrollit të qasjes së preferuar (PAM) për të marrë një llogari aktuale të privilegjuar për të përfunduar skanimin. Kur nuk kishte zgjidhje PAM, shitësit e mjeteve të menaxhimit të dobësive gjithashtu reduktuan rrezikun, zhvillimin e agjentëve dhe mjeteve lokale që mund të përdorin API për të vlerësuar në vend të një llogarie të përbashkët administrative për skanimin e autorizuar.
Pikëpamja ime për këtë shembull është e thjeshtë: teknologjia e trashëguar e menaxhimit të cenueshmërisë ka evoluar në mënyrë të tillë që të mos e ekspozojë klientët me një rrezik të madh që lidhet me llogaritë globale të aplikimit dhe qasjen në to. Për fat të keq, shumë teknologji të tjera të shitësve nuk kanë ndryshuar vendimet e tyre, dhe kërcënimi mbetet derisa zgjidhjet e vjetra të zëvendësohen ose modernizohen.
Nëse keni mjete për të menaxhuar cilat llogaritë administrative të përbashkëta globale janë të nevojshme, atëherë detyra me rëndësi të madhe për vitin 2021 duhet të zëvendësojë këto mjete ose përditësimin e tyre. Sigurohuni që zgjidhjet që blini janë zhvilluar nga shitësit që tashmë ofrojnë nga ky kërcënim.
Së fundi, mendoni për menaxhimin e privilegjeve të aplikacioneve bazuar në parimin e privilegjeve më pak të nevojshme. Zgjidhjet PAM janë të dizajnuara për të ruajtur sekretet dhe për të lejuar aplikimet për të punuar me një nivel minimal të privilegjit, edhe nëse nuk janë projektuar fillimisht për të punuar me këto aplikacione.
Duke u kthyer në shembullin tonë, zgjidhjet e menaxhimit të dobësive mund të përdorin privilegjet e Unix dhe Linux për të kryer skanime të cenueshmërisë, edhe nëse nuk janë siguruar me qasjen e tyre të privilegjuar. Mjeti i menaxhimit të privilegjve ekzekuton komandat në emër të skanerit dhe i kthen rezultatet. Ai ekzekuton komandat e skanerit me privilegjet më të vogla dhe nuk përmbushin komandat e saj të papërshtatshme, për shembull, duke e fikur sistemin. Në një kuptim, parimi i privilegjeve më të vogla në këto platforma i ngjan sudo dhe mund të kontrollojë, kufizojë dhe ekzekutojë aplikacionet me privilegje, pavarësisht nga procesi që e quajnë komandën. Kjo është vetëm një mënyrë për të menaxhuar qasjen e privilegjuar mund të aplikohet në disa aplikacione të vjetruara në rastet kur kërkohet privilegje të tepërta dhe zëvendësimi i duhur nuk është i mundur.
Reduktuar Ciberian në vitin 2021 dhe më tej: hapat e mëposhtëm kryesorë
Çdo organizatë mund të jetë objektivi i ndërhyrës, dhe çdo aplikim me privilegje të tepruar mund të përdoret kundër të gjithë kompanisë. Incidenti i Solarwinds duhet të inkurajojë të gjithë ne që të rishikojmë dhe identifikojmë ato aplikacione, puna e të cilëve është e lidhur me rreziqet e qasjes së tepruar të privilegjuar. Ne duhet të përcaktojmë se si mund ta zbutni kërcënimin, edhe nëse është e pamundur të eliminoni atë tani.
Në fund të fundit, përpjekjet tuaja për të zvogëluar rreziqet dhe për të eliminuar pasojat e tyre mund t'ju çojnë në zëvendësimin e aplikacioneve ose kalimit në re. Pa dyshim, një - koncepti i menaxhimit të privilegjuar të qasjes është i zbatueshëm për aplikimet si dhe për njerëzit. Nëse aplikacionet tuaja nuk kontrollohen siç duhet, ata mund të rrezikojnë sigurinë e të gjithë ndërmarrjes. Dhe asgjë nuk duhet të ketë qasje të pakufizuar në mjedisin tuaj. Kjo është një lidhje e dobët që ne duhet të identifikojmë, fshijmë dhe të shmangim në të ardhmen.
Materiale më interesante në Cisoclub.ru. Regjistrohu për ne: Facebook | Vk | Twitter | Instagram | Telegram | Zen | Messenger | ICQ New | YouTube | Impuls.