Olemme tottuneet kuulemaan, kuinka perinteinen verkon kehä on kuollut. Pilvisovellusten, kotityöskentelyn ja kaikkialla olevien mobiililaitteiden tulo on luonut sujuvamman, hajautetumman yrityksen IT-ympäristön. Se voi olla totta tiettyyn pisteeseen asti. Mutta vaikka työntekijät käyttävät yrityksen SaaS-sovelluksia, siellä on yleensä silti olemassa jonkinlainen yritysverkko. Ja sovellukset tai laitteet, jotka ovat sen reunalla.

IT-tietoturvatiimien haasteena on, että näihin tuotteisiin kohdistuu yhä enemmän hyökkäyksiä uhkatoimijoilta. Tilanne on niin huono, että Yhdysvaltain kansallinen kyberturvallisuuskeskus (NCSC) julkaisi äskettäin ohjeita näiden riskien lieventämiseksi. Verkkopuolustajien tulisi ottaa tämä huomioon.

Sieltä nyt

Kuten NCSC selittää, nykyinen kehätuotteiden kohdistus on eräänlainen takaisku Internetin alkuaikaan, jolloin uhkatoimijat käyttivät hyväkseen kehikosta turvallisuutta hyödyntääkseen haavoittuvuuksia ja kaapatakseen tilejä. Tämä antoi heille jalansijan verkkoihin, joiden valvonta oli rajoitettua, mikä antoi hyökkääjille mahdollisuuden viipyä pitkiä aikoja näkymättömissä.

Kuitenkin lopulta verkon puolustajat tarttuivat kiinni ja tekivät näistä palveluista vaikeampaa tinkiä. Uhkailijat kiinnittivät myöhemmin huomionsa turvattomiin asiakasohjelmistoihin ja selaimiin sekä tietojenkalasteluviesteihin.

Nyt heiluri heilahtaa taas taaksepäin. Asiakasohjelmistot suunnitellaan yhä useammin turvallisuutta ajatellen (ajattele hiekkalaatikoita, kokonaisia ​​uudelleenkirjoituksia ja muistiturvallisia kieliä), ja Office-makrot estetään oletusarvoisesti. NCSC:n mukaan tämä pakottaa uhkatoimijat kääntämään huomionsa takaisin perimetrituotteisiin.

Miksi kehähyökkäykset tekevät paluun?

"Tieten, että he eivät todennäköisesti pysty luottamaan huonoihin salasanoihin tai virheellisiin määrityksiin, he etsivät yhä useammin verkon kehällä olevia tuotteita (kuten tiedostonsiirtosovelluksia, palomuureja ja VPN-verkkoja) ja löytävät näistä tuotteista uusia nollapäivän haavoittuvuuksia, ja valssi suoraan sisään”, NCSC varoittaa. "Kun haavoittuvuus on tiedossa, muut hyökkääjät liittyvät siihen, mikä johtaa massahyökkäämiseen."

Näiden nollapäivien löytäminen ei ole niin vaikeaa kuin miltä se saattaa näyttää – koska tällaisten tuotteiden koodi on tyypillisesti vähemmän turvallinen suunnittelultaan kuin asiakasohjelmisto, virasto sanoo. Nämä kehäpohjaiset tarjoukset kärsivät myös tehokkaan kirjauksen puutteesta, toisin kuin asiakaslaitteet, jotka käyttävät nykyään yhä useammin "high-end" tunnistus- ja vastaustyökaluja. Kaikki tämä tekee niistä täydellisen kohteen uhkatoimijoille, jotka haluavat saada jalansijaa yritysverkostoissa datavarkauksia, kiristystä ja muuta varten.

Varoitustarina: Ivanti

NCSC:n varoitukset tulevat keskellä hyökkäysten sarjaa suojaustuotteita vastaan. Merkittävimpiä olivat sarja nollapäivähyökkäyksiä, jotka kohdistuivat Ivantin Connect Secure VPN -tuotteeseen ja sen Policy Secure -verkon käyttöoikeuksien hallintaratkaisuun (NAC). CVE-2023-46805 ja CVE-2024-21887 paljastuivat valmistajan toimesta tammikuussa, vaikka kiinalaisen uhkatoimijan uskotaankin hyödyntäneen niitä yli kuukauden ajan sijoittaakseen web-kuoria uhriorganisaatioiden sisäisille ja ulkoisille web-palvelimille.

Viikkoja myöhemmin kävi ilmi , että hakkerit hyödynsivät toista nollapäivähaavoittuvuutta (CVE-2024-21893) ohittaakseen Ivantin julkaiseman alkuperäisen lieventävän ohjelman, joka oli tarkoitettu kahden alkuperäisen nollapäivähaittaohjelman korjaamiseksi. Organisaatioille aiheutuva mahdollinen uhka on niin akuutti, että Five Eyes -tiedustelupalvelut julkaisivat pitkän turvallisuustiedotteen helmikuun lopussa.

"Haavoittuvuudet vaikuttavat kaikkiin tuettuihin versioihin (9.x ja 22.x), ja niitä voidaan käyttää hyväksikäyttöketjussa, jotta haitalliset kyberuhkien toimijat voivat ohittaa todennuksen, laatia haitallisia pyyntöjä ja suorittaa mielivaltaisia ​​komentoja korotetuilla oikeuksilla", se huomauttaa. .

Kehäpuolustusten tukeminen

CISO:n kysymys on, kuinka tällaisia ​​uhkia voidaan lieventää. Pitkällä aikavälillä NCSC kannattaa sitä, että myyjiä painostetaan rakentamaan turvallisempia tuotteita ja vältyttäisiin sellaisilta, jotka eivät pysty osoittamaan turvallisia ohjelmistoja. Se ei kuitenkaan estä tämän päivän uhkia. Sen muut ehdotukset voivat olla käyttökelpoisempia:

1) Harkitse näiden perimetrituotteiden pilvipalveluita eikä paikallisia versioita. Vaikka nämä eivät ehkä vieläkään ole turvallisia, ne korjataan nopeammin, ja myyjän tulee valvoa niitä säännöllisesti. Lisäksi, jos pahin tapahtuu ja ne vaarantuvat, se ei ainakaan anna hyökkääjille jalansijaa yritysverkostoon. Parhaimmassa tapauksessa uhkatekijät voivat jopa jättää yritystietosi rauhaan.

2) Jos siirtyminen pilviversioon ei ole mahdollista, sammuta tai estä palomuuritasolla kaikki käyttämättömät "internet-ohjelmistojen rajapinnat, portaalit tai palvelut". Nollapäivät näissä Ivanti-tuotteissa vaikuttivat tällaiseen lisäpalveluun (tässä tapauksessa niiden "verkkokomponentteihin").

3) Varmista, että kaikki sisäiset kehätuotteet on kehitetty turvallisuuden etupuolella ja keskellä – pilvipalveluilla ja palvelimettomilla vaihtoehdoilla, joita kannattaa harkita, jotta voidaan rajoittaa mahdollisia putoamisia, jos niihin hyökätään.

Richard Werner, Trend Micron kyberturvallisuusneuvoja, väittää, että pilvipalveluiden (SaaS) sovellusten valitseminen oletuksena ei ole ihmelääke.

”SaaS-lähestymistavoista on tullut houkuttelevia kohteita rikollisille, jotka pyrkivät vaikuttamaan useisiin kohteisiin yhdellä hyökkäyksellä, mistä on esimerkkinä vuoden 2021 Kaseya-tapaus ”, hän kertoo ISMS.online-sivustolle. ”Vaikka SaaS voi tehokkaasti lieventää tunnettuja kyberriskejä, sitä ei pitäisi pitää lopullisena ratkaisuna ydinongelmaan.”

Hän lisää, että haavoittuvuuksien hyödyntämisen estäminen tulee todennäköisesti olemaan erittäin haastavaa – ja vaatii monitasoista puolustusta.

"Parhaiden turvallisuuskäytäntöjen noudattaminen on ratkaisevan tärkeää, mutta jopa ihanteellisissa skenaarioissa riskien täydellinen välttäminen on mahdotonta", Werner väittää. "Siksi yritysten on täydennettävä turvatoimiaan teknologioilla, kuten laajennetulla havainnolla ja vasteella (XDR), jotka ovat nykyaikaisten lakien, kuten NIS 2:n, edellyttämiä."

Viime kädessä, jos uhkatekijöiden on vaikeampi kohdistaa äärialuetta, he siirtyvät hyökkäyspinnan toiselle osalle, joka on huonommin suojattu.

”On tärkeää ymmärtää turvallisuuskeskustelujen syklinen luonne, jossa hyökkääjät käyttävät hyväkseen haavoittuvuuksia ja puolustajat pyrkivät estämään ne. Nämä puolustusmekanismit saavat hyökkääjät etsimään uusia sisääntulokohtia tai tehostamaan ponnistelujaan”, Werner päättää.

”Puolustuksen tehokkuutta mitataan sillä, että hyökkääjille on liian kallista löytää onnistunut polku. Menestyksen mittaaminen on kuitenkin edelleen haastavaa puolustajille vaihtelevien hyökkääjien maalien vuoksi.

Koska nämä tavoitteet muuttuvat jatkuvasti, verkon puolustajien ja toimittajayhteisön on mukauduttava. Haasteena on, että tähän asti hyökkäävän puolen ketteryys on ylittänyt reaktionopeuden.