Aktivni napadi ubrzavaju zakrpavanje

Američka agencija za kibernetičku i infrastrukturnu sigurnost u katalog potvrđeno iskorištavanih propusta uvrstila je ranjivosti povezane s Appleovim proizvodima, Microsoftovim SharePointom, MikroTik RouterOS-om i Cisco Catalyst SD-WAN Managerom. Time je za savezne ustanove počeo teći obvezni rok sanacije, a privatnim je organizacijama poslan jasan signal da te sustave stave ispred ranjivosti s visokom ocjenom za koje nema dokaza da se iskorištavaju u stvarnim napadima.

Katalog ne mjeri samo tehničku ozbiljnost. Ulazak znači da postoje vjerodostojni podaci o iskorištavanju, pa napadač već ima postupak koji funkcionira protiv barem dijela instalacija. Sigurnosni tim zato prvo mora utvrditi postoji li ranjivi proizvod u vlastitom okruženju, je li dostupan s interneta ili iz kompromitirane mreže te postoje li tragovi pokušaja prije nego što je zakrpa primijenjena.

SharePoint je osjetljiv jer često povezuje dokumente, identitete i interne poslovne procese. Uspješan napad na poslužitelj ne završava nužno na jednoj aplikaciji: ukradeni računi ili izvršavanje koda mogu otvoriti put prema pošti, bazama i sustavima za upravljanje dokumentima. Kod starijih izdanja koja više nemaju punu podršku sama nadogradnja pojedine komponente možda nije dovoljna, pa je potrebno ograničiti pristup ili ukloniti poslužitelj.

Mrežni uređaji nose drukčiji operativni rizik. Sustav RouterOS i upravljačka konzola SD-WAN-a nalaze se na mjestima kroz koja prolazi velik dio prometa, a često ih održava manji broj administratora. Ako je upravljačko sučelje izloženo ili zaštićeno ponovljenom lozinkom, napadač može promijeniti pravila usmjeravanja, preusmjeriti promet, stvoriti trajni račun ili prikriti komunikaciju s kompromitiranim sustavom.

Appleov propust zahtijeva provjeru verzija na telefonima i računalima, uključujući uređaje koji se koriste izvan ureda. Mobilni uređaj može sadržavati tokene za pristup oblaku, aplikacije za višefaktorsku autentikaciju i poslovnu komunikaciju, pa kompromitacija osobnog profila može prijeći u korporativno okruženje. Uređaj koji se tjednima ne spaja na sustav upravljanja ostaje slijepa točka čak i kada je zakrpa službeno dostupna.

Redoslijed sanacije treba vezati uz izloženost i poslovnu važnost. Prvi su javno dostupni sustavi, zatim upravljačke konzole i uređaji s privilegiranim pristupom, a potom ostale instalacije. Ako se zakrpa ne može odmah postaviti, privremene mjere uključuju isključivanje vanjskog pristupa, ograničavanje dopuštenih adresa, izdvajanje sustava u zasebnu mrežu i pojačano bilježenje događaja.

Zakrpa ne zatvara istragu. Budući da je iskorištavanje potvrđeno prije sanacije, organizacija mora pregledati zapise prijava, administrativne promjene, nove račune, neočekivane procese i izlazne veze. Na mrežnim uređajima treba usporediti aktivnu konfiguraciju sa sigurnosnom kopijom, a na SharePointu provjeriti web-komponente, zakazane zadatke i pristup osjetljivim zbirkama dokumenata.

Ako se pronađe znak prodora, vjerodajnice koje su prolazile kroz pogođeni sustav treba smatrati izloženima. Slijedi promjena administratorskih lozinki, ukidanje sumnjivih sesija i obnova ključeva ili certifikata koji su bili dostupni procesu. Povratak sigurnosne kopije bez rotacije pristupnih podataka može vratiti uslugu, ali napadaču ostaviti isti put. Izvješće o incidentu treba povezati tehničku radnju s vremenom, odgovornom osobom i dokazom da je mjera doista provedena.

Najvažniji rezultat sanacije nije broj instaliranih zakrpa, nego potpuna evidencija pogođenih sredstava i potvrda da prije sanacije nije ostvaren pristup. Organizacije koje još nemaju jedinstveni popis SharePoint poslužitelja, mrežnih konzola i službenih Appleovih uređaja trebaju ga uspostaviti prije sljedeće dopune kataloga. Rok napadača počinje objavom funkcionalnog postupka, a ne datumom u internom planu održavanja. Upravitelj mora dokumentirati verziju prije i poslije zahvata te sačuvati zapise dovoljno dugo za naknadnu forenziku. Bez sačuvanih zapisa prodor se poslije ne može pouzdano isključiti.