كشفت Cisco IOS XE عن مشكلة المساءلة في مستويات الإدارة المتروكة على الإنترنت

الملخص

• سجل عام مؤكد:كشفت Cisco عن استغلال نشط لميزة واجهة الويب في برنامج IOS XE وقررت لاحقًا أن المهاجمين استغلوا مشكلتين غير معروفتين سابقًا: CVE-2023-20198 للوصول الأولي وإنشاء حساب بصلاحية 15، تليها CVE-2023-20273 لرفع الصلاحية إلى الجذر وكتابة برنامج ضار في نظام الملفات. (تنبيه أمني من Cisco)
• توجيه حكومي:قالت CISA إن الثغرتين أثرتا على واجهة الويب IOS XE وقد تسمحان لمهاجم عن بعد غير موثوق بالسيطرة على النظام المتأثر؛ وحثت CISA المؤسسات على تعطيل ميزة خادم HTTP على الأنظمة المتصلة بالإنترنت، والبحث عن نشاط ضار، والترقية إلى الإصدارات الثابتة عند توفرها. (توجيه CISA)
• مشكلة مستوى الإدارة:يدعم السجل العام فشل سطح تحكم يتضمن إدارة ويب مكشوفة، إنشاء حسابات، حقن أوامر، وزرع برامج ضارة. لا يدعم ادعاءً عامًا بأن كل جهاز IOS XE تأثر، أو أن كل جهاز مكشوف تم اختراقه، أو أن Cisco وحدها تتحكم في تعرض كل عميل للإنترنت.
• التقييم:سيطر المهاجمون على الاستغلال. سيطرت Cisco على كود المنتج، محتوى التنبيهات، تسليم الإصلاحات، إرشادات التحصين، ودعم الكشف. سيطر العملاء ومقدمو الخدمات المدارة والوكالات العامة على التعرض، الجرد، التكوين، التقسيم، المراقبة، وانضباط التعافي. حوّل الحدث سؤال "هل واجهة الويب مفعلة على الإنترنت؟" إلى سؤال استمرارية على مستوى مجلس الإدارة.

جهاز الشبكة كان نقطة التحكم، وليس مجرد خادم آخر

حادثة واجهة الويب Cisco IOS XE مهمة لأن جهاز التوجيه أو المحول أو وحدة التحكم اللاسلكية ليس مجرد عبء عمل. إنها نقطة تحكم لعبء عمل أخرى. جهاز شبكة مخترق قد يكون في مسار المصادقة، توجيه حركة المرور، التقسيم، اتصال الفروع، الوصول اللاسلكي، الصوت، المراقبة وحتى الاستجابة للحوادث. عندما يصل اختراق مستوى الإدارة إلى مثل هذا الجهاز، فإن سؤال التعافي ليس فقط ما إذا تم تصحيح CVE. بل هو ما إذا كان الجهاز لا يزال يُعتبر موثوقًا لوصف الشبكة المحيطة به وفرضها وحمايتها.

وضع تنبيه Cisco الحدث في ميزة واجهة الويب لبرنامج IOS XE وأوضح أن سلسلة الهجوم تضمنت استغلالًا نشطًا. استخدم المهاجم أولاً CVE-2023-20198 للوصول الأولي وإصدار أمر صلاحية 15 لإنشاء مستخدم محلي وكلمة مرور. ثم استغل المهاجم مكونًا آخر من ميزة واجهة الويب، CVE-2023-20273، باستخدام المستخدم المحلي المنشأ حديثًا لرفع الصلاحية إلى الجذر وكتابة البرنامج الضار في نظام الملفات. خصصت Cisco درجة CVSS 10.0 لـ CVE-2023-20198 و 7.2 لـ CVE-2023-20273. (تنبيه أمني من Cisco)

ترجم توجيه CISA العام نفس الحقائق إلى إلحاح تشغيلي. وصفت CISA استغلالًا نشطًا واسع النطاق لـ CVE-2023-20198 و CVE-2023-20273 يؤثر على واجهة الويب لبرنامج Cisco IOS XE، وقالت إن مهاجمًا عن بعد غير موثوق يمكنه استغلال الثغرات للسيطرة على النظام المتأثر، وأخبرت المؤسسات التي تشغل IOS XE Web UI بتنفيذ إجراءات التخفيف من Cisco، بما في ذلك تعطيل ميزة خادم HTTP على الأنظمة المتصلة بالإنترنت، والبحث عن نشاط ضار. (توجيه CISA)

جانب مستوى الإدارة هو الفرق بين قصة ثغرة وقصة مساءلة. عيب تطبيقي في خادم ويب عادي يمكن أن يكون خطيرًا؛ عيب في واجهة إدارة للأجهزة التي توجه الحزم وتفرض السياسة هو خطر في مستوى التحكم. لا يسرق المهاجم بيانات من تطبيق واحد فقط بل قد يحصل على موقع يمكنه من مراقبة الآليات الموثوقة للشبكة أو تغييرها أو الاستمرار فيها أو تحضير وصول إضافي إليها.

هذا لا يعني أن كل جهاز متأثر استخدم لاعتراض حركة المرور أو إجراءات تخريبية. السجل العام الأولي لا يدعم مثل هذا الادعاء العالمي. وثقت Cisco و CISA إنشاء الحسابات، رفع الصلاحية إلى الجذر، وكتابة البرامج الضارة كنمط استغلال. السؤال المسؤول هو ما الذي يمكن أن يعنيه هذا الوصول وما هي الأدلة المطلوبة قبل أن يتمكن المشغل من معالجة الجهاز على أنه موثوق مرة أخرى.

بالنسبة للعديد من المؤسسات، خاصة الشركات الصغيرة والمتوسطة والوكالات العامة ذات فرق الشبكات الصغيرة، تعتبر واجهات الإدارة تسهيلات عملية تاريخية. قد تجعل إدارة واجهة الويب التكوين عن بعد أسهل. قد يستخدمها مزودو الخدمات المدارة لدعم العملاء. قد تترك فرق الفروع واجهة الويب قابلة للوصول بعد النشر. سطح هجوم يبدأ كتسهيل يمكن أن يصبح سطحًا متصلاً بالإنترنت إذا لم يتم جرد التعرض وتقييده باستمرار.

كشفت Cisco عن السلسلة بينما كانت قصة الإصلاح لا تزال جارية

التسلسل الزمني العام مهم لأن الاستغلال والتخفيف والإصدارات الثابتة لم تأت كحزمة واحدة مرتبة. حذرت Cisco في البداية من استغلال نشط وأوصت بخطوات دفاعية، بما في ذلك تعطيل ميزة خادم HTTP على الأنظمة المتصلة بالإنترنت. أضافت تحديثات التنبيه اللاحقة CVE الثانية، معلومات الإصدار الثابت، ومدقق برمجيات. تم تحديث صفحة CISA بتوفر الإصدارات الثابتة للعديد من قطارات IOS XE وربطت المشغلين بتنبيه Cisco وتوثيق الإصلاح. (تنبيه Cisco, توجيه CISA)

خلق هذا التسلسل نافذة مساءلة عملية. عندما يكون الاستغلال نشطًا ومصفوفة الإصلاح الكاملة لا تزال قيد التجميع، يتحول عبء التخفيف بشكل حاد إلى تقليل التعرض والكشف. لا يستطيع المشغلون انتظار خطة تصحيح مثالية إذا كانت واجهة الإدارة قابلة للوصول. يجب عليهم تعطيل أو تقييد ميزة خادم HTTP/HTTPS على الأنظمة المتصلة بالإنترنت، والبحث عن مستخدمين جدد أو غير مفسرين، ومراجعة المؤشرات، والحفاظ على الأدلة، وتقرير ما إذا كان الجهاز قد يكون مخترقًا.

وثيقة توفر إصلاحات برمجيات Cisco أعطت المشغلين لاحقًا طريقة أكثر واقعية لربط معرّف الخطأ CSCwh87343 بالإصدارات الثابتة IOS XE. تحديث 1 نوفمبر من CISA أدرج الإصدارات الثابتة لقطارات الإصدار بما في ذلك 17.9 و 17.6 و 17.3 و 16.12 لأجهزة Catalyst 3650 و 3850 معينة. الفرق مهم: خلال نافذة الاستغلال المبكرة، كان أهم تحكم يمكن أن يكون "أغلق تعرض مستوى الإدارة الآن". بعد توفر الإصدارات الثابتة، يصبح التحكم "حدث، تحقق، ابحث، واستعد". (توفر إصلاحات Cisco, مدقق برمجيات Cisco)

بيانات قاعدة البيانات الوطنية للثغرات وسجلات CVE توفر نقاط ارتساء عامة إضافية للثغرات. تشير صفحة NVD لـ CVE-2023-20198 إلى تنبيه Cisco وتصف سياق الاستغلال النشط. تحافظ سجلات CVE.org على معرفات الثغرات كجزء من سجل الثغرات العام. (NVD CVE-2023-20198, NVD CVE-2023-20273, سجل CVE CVE-2023-20198, سجل CVE CVE-2023-20273)

تظهر السلسلة أيضًا لماذا CVSS وحده غير كافٍ للحوكمة. درجة 10.0 على CVE-2023-20198 تشير إلى شدة تقنية، ولكن المخاطر التجارية تختلف حسب التعرض والدور وقدرة التعافي. جهاز توجيه فرعي مكشوف على الإنترنت مع تسجيل ضعيف ولا صورة نظيفة معروفة يخلق مشكلة تشغيلية مختلفة عن جهاز مختبر داخلي خلف ضوابط VPN إدارية. تخبر الشدة القيادة بالانتباه. يخبر دليل الجرد والتعرض القيادة بما يجب فعله أولاً.

التعرض للإنترنت كان مضاعف العواقب

المتغير الأكثر أهمية الذي يتحكم فيه المشغل كان ما إذا كان سطح إدارة واجهة الويب قابلاً للوصول من الإنترنت. ركزت لغة التخفيف من Cisco و CISA على تعطيل ميزة خادم HTTP على الأنظمة المتصلة بالإنترنت. إرشادات تحصين Cisco متسقة مع هذا التحكم: تنص مواد تحصين IOS و IOS XE على أنه يمكن تعطيل خادم HTTP باستخدامno ip http serverوتعطيل خادم HTTP الآمن باستخدامno ip http secure-server. (دليل تحصين برمجيات Cisco IOS XE, دليل Cisco لتحصين أجهزة IOS)

هذا ليس مبدأ أمان جديدًا. لا ينبغي أن تكون واجهات الإدارة مكشوفة على نطاق واسع على الإنترنت ما لم يكن هناك سبب قوي ومراقب ومقيد وموثق. التوجيه التشغيلي الملزم BOD 23-02 من CISA بشأن واجهات الإدارة المكشوفة على الإنترنت وجه الوكالات الفيدرالية المدنية لتقليل المخاطر من واجهات الإدارة المكشوفة، وتوصياته لها صلة أوسع خارج الحدود الفيدرالية. (CISA BOD 23-02)

المشكلة هي أن الشبكات الحقيقية تتراكم فيها الاستثناءات. جهاز تم نشره أثناء اندماج يحتفظ بقواعد الوصول القديمة. مزود خدمة مدارة يفتح مسار إدارة لاستكشاف أخطاء عاجل ولا يغلقه أبدًا. فرع يرث قالبًا مع تمكين HTTP. عنوان IP عام يغير ملكيته. قاعدة جدار حماية مخصصة لترحيل مؤقت تصبح دائمة. واجهة الويب ليست بالضرورة مكشوفة لأن مهندسًا واحدًا اتخذ قرارًا متهورًا. يمكن أن تكون مكشوفة لأن جرد الأصول، تحكم التغيير، وتسليم الخدمة المدارة فشل في مواكبة تاريخ الشبكة.

هذا التاريخ مهم للتقييم. تحكمت Cisco في ما إذا كانت ثغرة المنتج موجودة ومدى سرعة تشخيصها وإصلاحها. تحكم العملاء في ما إذا كان سطح الإدارة الضعيف قابلاً للوصول. تحكم مزودو الخدمات المدارة في العديد من تكوينات العملاء. تحكمت الوكالات العامة في جردها الخاص وعمليات التعطيل الطارئ. استغل المهاجمون الأنظمة القابلة للوصول. تتبع المساءلة نقاط التحكم هذه بدلاً من الانهيار في جملة واحدة.

بالنسبة للشركات الصغيرة والمتوسطة، مشكلة التعرض صعبة بشكل خاص. مؤسسة صغيرة قد تعتمد على مزود خدمة مدارة لتكوين أجهزة الشبكة وقد لا تعرف ما إذا كانت واجهة الويب IOS XE ممكّنة أو مكشوفة أو مقيدة داخليًا أو غير مستخدمة. قد لا تعرف أي قطار إصدار تشغله، أو ما إذا كان البرنامج الثابت متاحًا، أو ما إذا كان مستخدم محلي غير مفسر قد ظهر. عندما تقول CISA بتعطيل ميزة خادم HTTP على الأنظمة المتصلة بالإنترنت والبحث عن نشاط ضار، قد تحتاج الشركة الصغيرة والمتوسطة إلى مزودها لترجمة ذلك إلى فحوصات جهاز محددة وأدلة.

لهذا السبب فإن الحادثة لا تتعلق فقط بـ Cisco والمؤسسات الكبيرة. إنها اختبار لاقتصاد دعم الشبكات المدارة. إذا كان بإمكان مزودي الخدمات المدارة مركزية إدارة شبكة العملاء، يجب عليهم أيضًا مركزية جرد التعرض الدقيق، التخفيف السريع، وإثبات التعافي. لا يمكن للعميل قبول "لقد قمنا بالتصحيح" كافياً إذا كان الجهاز قد يحتوي على برنامج ضار على مستوى الجذر قبل التصحيح.

البرنامج الضار حوّل التصحيح إلى تعافي

تشمل الحقائق العامة كتابة برنامج ضار، وهذا يغير العمل. عندما تسمح الثغرة فقط بإنشاء حساب غير موثوق، قد تكون إزالة الحساب والتصحيح كافية في بعض الحالات. عندما تتضمن السلسلة رفع صلاحية إلى الجذر وبرنامج ضار مكتوب في نظام الملفات، يجب على المشغلين معالجة الأجهزة المتأثرة كأنظمة مخترقة محتملة تتطلب فرزًا جنائيًا والتحقق من التعافي.

توجيه CISA يوجه المؤسسات للبحث عن نشاط ضار ويشير إلى طرق كشف Cisco Talos. مدونة Cisco Talos هي مصدر كشف عام رئيسي حتى عندما يكون الوصول الآلي إلى الصفحة مقيدًا؛ اقتبستها CISA للنصيحة العملية بأن المنظمات يجب أن تبحث عن مستخدمين غير مفسرين أو منشأين حديثًا على الأجهزة كدليل على نشاط ضار محتمل. (مدونة Cisco Talos, توجيه CISA)

عبارة "مستخدم منشأ حديثًا" قد تبدو عادية. على جهاز شبكة، ليست كذلك. مستخدم محلي بصلاحية تم إنشاؤه من خلال الاستغلال قد ينجو من المراجعة العادية، ويعاد استخدامه للوصول لاحقًا، أو يوفر دليلاً على العبث. تنفيذ أوامر على مستوى الجذر يثير أسئلة أعمق حول سلامة التكوين، حالة نظام الملفات، صور الإقلاع، الاستمرارية، السجلات، وما إذا كانت القياسات عن بعد للجهاز نفسه يمكن الوثوق بها.

التصحيح يغلق مسار الثغرة المعروفة. لا يثبت تلقائيًا أن الجهاز المخترق لا يحتوي على برنامج ضار متبقي، حساب غير مصرح به، تكوين مُعدَّل، أو استمرارية مخفية. لذلك يحتاج دليل التعافي إلى عدة طبقات: تحديد ما إذا كانت واجهة الويب ممكّنة؛ تحديد ما إذا كانت قابلة للوصول عبر الإنترنت؛ التحقق من وجود مستخدمين مشبوهين ومؤشرات؛ جمع السجلات والحفاظ عليها حيثما أمكن؛ إزالة الحسابات غير المصرح بها؛ الترقية إلى البرامج الثابتة؛ مقارنة التكوينات الجارية والتشغيلية؛ التحقق من سلامة الصورة؛ إعادة بناء أو إعادة تصوير الجهاز عند الاشتباه في الاختراق؛ والمراقبة بعد العودة إلى الخدمة.

إرشادات التعامل مع الحوادث من NIST مفيدة هنا لأنها تعالج التعافي كمرحلة وليس خانة اختيار. الكشف، الاحتواء، الاستئصال، والتعافي مرتبطون لكن ليسوا متطابقين. يمكن تصحيح الجهاز بينما لا تزال الأدلة قيد الجمع. يمكن إعادة الجهاز إلى الخدمة بينما لا تزال المراقبة مرتفعة. يمكن أن يكون الجهاز "مُصلَح" من وجهة نظر إدارة الثغرات ولكن لا يزال غير محلول من وجهة نظر الاستجابة للحوادث. (NIST SP 800-61 Rev. 2)

هذا التمييز يجب أن يشكل تقارير مجلس الإدارة. تقرير يقول "جميع الأجهزة تم تصحيحها" قد يكون صحيحًا من الناحية الفنية وما زال غير كامل. تحتاج القيادة إلى معرفة عدد الأجهزة التي كانت بها الميزة الضعيفة ممكّنة، وعددها الذي كان مكشوفًا على الإنترنت، وعددها الذي أظهر مؤشرات اختراق، وعددها الذي أعيد بناؤه، وعددها الذي كان به مستخدمون غير مصرح بهم، وما إذا كانت أي سجلات غير متاحة، وما إذا كان عملاء الخدمة المدارة قد تلقوا أدلة. هذه مقاييس تعافي، وليست فقط مقاييس تصحيح.

أدلة الكشف كانت غير متكافئة بالتصميم

غالبًا ما يتم التعامل مع أجهزة الشبكة كمصادر للحقيقة. تنتج سجلات، تفرض قوائم التحكم في الوصول، توجه حركة المرور، وتُبلغ عن الحالة. في اختراق مستوى الإدارة، يضعف هذا الافتراض. إذا كان بإمكان المهاجم إنشاء مستخدمين وتنفيذ أوامر بصلاحيات مرتفعة، فقد تكون سجلات الجهاز نفسه غير كاملة أو معدلة أو غائبة. قد يحتاج المشغل إلى أدلة خارجية: NetFlow، سجلات جدار الحماية، سجلات SIEM، نسخ احتياطية للتكوين، سجلات الإدارة خارج النطاق، سجلات TACACS أو RADIUS، القياسات عن بعد للشبكة المشابهة لـ EDR، ومقارنة مع التكوينات المعروفة الجيدة.

هذه هي مسألة "دليل مورد الشبكة" في البيان. المورد المخترق ليس فقط حاملاً للأدلة؛ إنه مشكّل للأدلة. إذا كان جهاز التوجيه أو المحول هو المكان الذي كان يجب أن تُنشأ فيه السجلات، وكان هذا الجهاز مخترقًا، فإن جودة الأدلة تعتمد على ما إذا كانت السجلات قد تم تصديرها وحمايتها قبل الحادثة. مخزن سجلات محلي على الجهاز قد يكون مفيدًا ولكنه هش. التسجيل المركزي وسجلات AAA يصبحان أكثر أهمية.

كتالوج الثغرات المستغلة المعروفة من CISA هو أيضًا بنية تحتية للأدلة. إدراج CVE-2023-20198 والثغرات المستغلة ذات الصلة يعطي الوكالات والمشغلين إشارة أولوية بأن القضية ليست نظرية. أنشأ كتالوج KEV والتوجيه التشغيلي الملزم BOD 22-01 عملية فيدرالية لمعالجة الثغرات المستغلة المعروفة، وتستخدم العديد من المنظمات الخاصة الكتالوج كإشارة فرز. (كتالوج الثغرات المستغلة المعروفة من CISA, CISA BOD 22-01)

مع ذلك، إدراج KEV لا يخبر المشغل ما إذا كان جهازه قد اخترق. يخبر المشغل بأن الاستغلال معروف وأن المعالجة يجب أن تكون ذات أولوية. يجب على المشغل still الإجابة على أسئلة الأدلة المحلية: هل كانت الميزة مفعلة؟ هل كانت قابلة للوصول؟ هل تم استكشافها؟ هل تم إنشاء مستخدم؟ هل كان البرنامج الضار موجودًا؟ هل تم تثبيت البرنامج الثابت؟ هل أعيد بناء الجهاز؟ هل تم تغيير التوجيهات السفلية أو قوائم ACL أو الشهادات؟

أدلة الشهادات مهمة بشكل خاص. إذا أنشأ المهاجم حسابًا محليًا، فقد يكون الجهاز قد وصل أيضًا إلى خوادم AAA، مجتمعات SNMP، أنظمة إدارة الشبكة، شهادات الأتمتة، مستودعات النسخ الاحتياطي، أو أرشيفات التكوين. تنبيهات Cisco و CISA العامة لا تقول أنه تم الوصول إلى جميع هذه الأنظمة السفلية. لكنها تخلق سببًا عقلانيًا للتحقق مما إذا كان الاختراق المحلي للجهاز يمكن أن يكون قد كشف شهادات إدارة أوسع أو علاقات ثقة.

للمؤسسات التي تستخدم المصادقة المركزية، يجب أن يكون الحساب المحلي شاذًا. للمؤسسات التي لديها مزيج من الحسابات المحلية الطارئة و AAA الخارجية، التحقيق أصعب. حساب مشبوه قد يختبئ بين حسابات الطوارئ المشروعة إذا كانت التسمية والتوثيق والمراجعة الدورية ضعيفة. لذلك تكافئ الحادثة الحوكمة المملة: حسابات فريدة، تسجيل AAA، قواعد تكوين، نسخ احتياطية متكررة، أقل صلاحية، وجرد نظيف.

دور Cisco كان أوسع من كتابة تصحيح

مساءلة Cisco تشمل ثغرة المنتج، لكنها لا تنتهي هناك. بائع برمجيات تشغيل الشبكات يتحكم في التصميم الآمن، مراجعة الكود، الوضع الافتراضي، وضوح التنبيه، تسليم الإصلاح، توافق البرمجيات، إرشادات الكشف، سعة TAC، توثيق التحصين، وقدرة العملاء على تحديد الإصدارات المتأثرة. في هذه الحادثة، كشفت Cisco عن السلسلة، حددت ثغرتين CVE، قدمت توصيات، نشرت معلومات الإصدار الثابت، وحافظت على إرشادات التحصين.

مصفوفة الإصلاح مهمة لأن IOS XE ليس إصدارًا واحدًا على جهاز واحد. الشبكات الكبيرة قد تشمل قطارات إصدار مختلفة، عائلات أجهزة، عقود دعم، قيود تشغيلية، ونوافذ صيانة. تعليمات "صحيح الآن" اتجاهيًا صحيحة ولكنها غير مكتملة تشغيليًا. يحتاج العملاء إلى معرفة أي الصور ثابتة، أي SMUs موجودة، أي القطارات لا تزال مدعومة، أي الأجهزة تحتاج ترقيات، وما إذا كانت الترقية تخاطر بالتوقف. وثيقة توفر إصلاحات Cisco ومدقق البرمجيات يساعدان في هذه الترجمة. (توفر إصلاحات Cisco, مدقق برمجيات Cisco)

وضوح التنبيه مهم بقدر توفر الإصلاح. أثناء الاستغلال النشط، يجب أن يخبر التنبيه المشغلين بما يجب تعطيله، وما الذي يجب البحث عنه، وما هو متأثر، وما هو غير متأثر، وما إذا كانت هناك حلول بديلة، ومتى يتوفر البرنامج الثابت، وكيفية تفسير المؤشرات. تنبيه Cisco لم يخصص درجات CVE فقط؛ شرح السلسلة الملاحظة من الوصول الأولي إلى إنشاء مستخدم محلي إلى رفع الجذر وكتابة البرنامج الضار. هذا هو نوع المعلومات الذي يغير الاستجابة من تصحيح روتيني إلى تقييم اختراق.

الإعدادات الافتراضية للبائع هي سؤال عادل لكنه دقيق. لا يكفي أن نسأل ما إذا كانت واجهة الويب موجودة. ميزات الإدارة غالبًا ما توجد لأسباب مشروعة. السؤال الأفضل هو ما إذا كان المنتج والتوثيق يجعلان التعرض غير الآمن صعبًا أو مرئيًا أو صاخبًا. إذا كان خادم إدارة HTTP/HTTPS ممكّنًا، هل يمكن للمشغلين رؤية بسهولة ما إذا كان قابلاً للوصول من شبكات غير موثوقة؟ هل القوالب والمعالجات متحيزة نحو أقل تعرض؟ هل التحذيرات توضح أن الإدارة على الإنترنت خطيرة؟ هل القياس عن بعد يظهر التعرض للإنترنت؟ هل يساعد البرنامج المشغلين في تعطيل خدمات الإدارة غير المستخدمة؟

وثائق تحصين Cisco تنصح بتقليل تعرض مستوى الإدارة. هذا مفيد. لكن وثائق التحصين تتنافس مع ضغط النشر، التكوينات الموروثة، والعادة التشغيلية "لقد عملت آخر مرة". توقعات التصميم الآمن تطلب بشكل متزايد من البائعين جعل المسار الآمن أسهل من المسار المكشوف. إرشادات التصميم الآمن من CISA تجادل بأن مصنعي التكنولوجيا يجب أن يتحملوا المزيد من المسؤولية عن نتائج أمن العملاء، وليس فقط نشر قوائم التحصين. (CISA Secure by Design)

تطبيق هذا المبدأ هنا لا يجعل Cisco مسؤولة وحدها عن كل جهاز مكشوف. لكنه يسأل ما إذا كانت منتجات الشبكات يمكنها فعل المزيد لكشف تعرض الإدارة، تثبيط الوصول عبر الإنترنت، تقليل الاعتماد على التحصين بعد النشر، ومساعدة المشغلين في إثبات الحالة الحالية. تحذير في دليل ليس مثل تحكم في منتج.

مساءلة العميل ومزود الخدمة المدارة لا يمكن الاستعانة بمصادر خارجية لشركة Cisco

تحكم العملاء في العديد من المتغيرات التي حددت نصف قطر الانفجار. هم الذين قرروا أو ورثوا ما إذا كانت واجهة الويب ممكّنة، وما إذا كانت إدارة HTTP/HTTPS قابلة للوصول من الإنترنت، وما إذا كان الوصول الإداري مقيدًا بالشبكات الافتراضية الخاصة أو الشبكات المخصصة، وما إذا كانت التكوينات مدعومة، وما إذا كانت السجلات مركزية، وما إذا كانت حسابات المستخدمين المحلية مراجعة، وما إذا كانت الأجهزة الضعيفة قابلة للاكتشاف بسرعة.

مزودو الخدمات المدارة تحكموا في هذه المتغيرات للعديد من العملاء. وهذا يجعل دور مزود الخدمة المدارة مركزيًا. إذا كان مزود الخدمة المدارة يدير أجهزة شبكة العملاء، يجب أن يحتفظ بجرد دقيق للأجهزة، جرد الإصدارات، جرد تعرض الإدارة، نموذج AAA، حالة النسخ الاحتياطي، حالة التسجيل، وكتيب التخفيف الطارئ. عندما يصل تنبيه Cisco، لا ينبغي للمزود أن يبدأ بالسؤال عن أي العملاء قد تكون الميزة مكشوفة لديهم. يجب أن يعرف بالفعل.

تأثير استمرارية الأعمال للشركات الصغيرة والمتوسطة ينبع من هذا الاعتماد. مصنع صغير، عيادة، مدرسة، متجر محلي أو مكتب مهني قد يواجه اختراق جهاز شبكة كتوقف، عدم يقين، أو نفقات مقاول طارئ. قد لا يكون لديه خبرة داخلية لتقييم قطارات إصدارات IOS XE أو مؤشرات الاختراق. إذا كان مزود الخدمة المدارة لا يستطيع تقديم أدلة، فإن العميل يظل عالقًا بين الثقة والآراء الثانية المكلفة.

يمكن أن يصبح هذا عدم اليقين انقطاعًا في العمل حتى قبل حدوث أي تلاعب ضار بحركة المرور. قد يحتاج العميل إلى جدولة صيانة طارئة، استبدال الأجهزة، تدوير الشهادات، مراجعة السجلات، إخطار القيادة، إيقاف الإدارة عن بعد، أو طمأنة المدققين. بالنسبة للشركات الصغيرة والمتوسطة، يمكن أن تكون هذه التكاليف كبيرة بالنسبة لسعة الموظفين. كون المنتج الضعيف من فئة المؤسسات لا يعني أن كل مشغل متأثر لديه سعة استجابة من فئة المؤسسات.

يجب أن تعكس العقود هذه الحقيقة. عقد الشبكة المدارة يجب أن يذكر من يحافظ على جرد التعرض، ومن يتلقى تنبيهات البائع، ومن يمكنه تعطيل الإدارة على الإنترنت، ومن يوافق على التغييرات الطارئة، ومن يحافظ على الأدلة، ومن يبلغ العملاء بالمؤشرات، ومن يدفع مقابل إعادة البناء الطارئ، وما هي الأدلة التي يتلقاها العميل بعد الإغلاق. بدون هذه الشروط، حادثة مثل IOS XE تصبح تدافعًا بين البائع ومزود الخدمة المدارة والعميل والمؤمن والمدقق.

الوكالات العامة لديها واجب مواز. غالبًا ما تدير شبكات موزعة بأجهزة قديمة، قيود شراء، ونوافذ صيانة. قد تواجه أيضًا عواقب خدمة عامة إذا تدهور التوجيه أو الشبكة اللاسلكية أو الاتصالات الطارئة أو شبكات المدارس أو الخدمات البلدية. التوجيهات التشغيلية الملزمة الفيدرالية لا تحكم تلقائيًا كل كيان عام محلي أو أجنبي، لكن المبادئ قابلة للنقل: اعرف واجهات الإدارة المكشوفة، أعط أولوية للثغرات المستغلة المعروفة، ووثق المعالجة. (CISA BOD 23-02, كتالوج KEV من CISA)

التنبيهات الدولية أظهرت الاعتماد المشترك

حادثة IOS XE كانت عالمية لأن أجهزة Cisco عالمية. وكالات الأمن السيبراني الحكومية خارج الولايات المتحدة أصدرت أو ضخمت التحذيرات. حذر مركز الأمن السيبراني الأسترالي من أن استغلال الثغرة قد يسمح لمستخدم عن بعد غير موثوق بإنشاء حساب عالي الامتياز على النظام الضعيف والسيطرة عليه. نشر مركز الأمن السيبراني الكندي تحديثات تتبع تنبيه Cisco وتوفر الإصلاح. (تنبيه مركز الأمن السيبراني الأسترالي, تنبيه مركز الأمن السيبراني الكندي)

هذه التنبيهات مهمة لأن ثغرات أجهزة الشبكة تعبر الحدود الوطنية أسرع من أنظمة الشراء. شركة متعددة الجنسيات، مزود خدمة إنترنت إقليمي، شبكة مدرسة، ووكالة مدينة قد تشغل جميعًا IOS XE بطرق مختلفة، بقطارات إصدار وعقود دعم مختلفة. نفس التنبيه يصبح مشكلة تشغيلية مختلفة في كل بيئة.

التضخيم الدولي أيضًا يقلل من فرصة رفض الحادثة كإشعار عميل خاص من بائع واحد. عندما تخبر وكالات وطنية متعددة المشغلين بالتحرك، تصبح القضية جزءًا من النظافة العامة للبنية التحتية. هذا له عواقب مساءلة. لا يمكن لمجالس الإدارة والمسؤولين التنفيذيين العموميين الادعاء بأن المخاطرة كانت غامضة بعد أن نشرت Cisco و CISA ووكالات سيبرانية أخرى توجيهات.

في نفس الوقت، التنبيهات العالمية لا تحل التنفيذ المحلي. لا يمكن لصفحة وكالة أن تسجل الدخول إلى جهاز توجيه عميل، تعطيل واجهة ويب، مراجعة المستخدمين المحليين، تثبيت برنامج ثابت، أو إعادة بناء جهاز مخترق. يمكنها فقط رفع الإشارة. الميل الأخير لا يزال ملكًا لأصحاب الأصول ومزوديهم.

لذلك توضح الحادثة عدم تناسق مألوف: التحذيرات عالمية، لكن التعافي محلي. يمكن لـ Cisco نشر إصلاح. يمكن لـ CISA نشر توجيه. يمكن للوكالات الوطنية التضخيم. يمكن للباحثين مسح الإنترنت. لكن منطقة مدرسية، شركة صغيرة ومتوسطة، أو سلطة عامة لا تزال بحاجة إلى معرفة الأجهزة التي تمتلكها، ومن يديرها، وكيفية إغلاق التعرض، وما هي نافذة التوقف المقبولة، وما هو دليل التنظيف الذي سيرضي قرار المخاطرة الخاص بها.

سجل التعافي النظيف الذي كان يجب على المشغلين الاحتفاظ به

سجل التعافي القابل للدفاع لحدث واجهة الويب IOS XE يجب أن يكون أكثر واقعية من "تم التصحيح". يجب أن يبدأ بالجرد: جميع أجهزة IOS XE، الطرازات، قطارات الإصدار، الأدوار، عناوين الإدارة، مسارات الوصول الإداري، حالة واجهة الويب، حالة التعرض للإنترنت، والمالك المسؤول. ثم يجب أن يوثق التخفيف: خادم HTTP و HTTPS معطل أو مقيد حسب الاقتضاء، تطبيق التحكم في الوصول، تحديد البرامج الثابتة، جدولة نافذة الصيانة، والموافقة على الاستثناءات الطارئة.

بعد ذلك يأتي تقييم الاختراق. يجب على المشغل تسجيل ما إذا كان كل جهاز أظهر مستخدمين غير مفسرين أو منشأين حديثًا، وما إذا كانت المؤشرات المعروفة موجودة، وما إذا كانت السجلات أظهرت وصولاً مشبوهًا، وما إذا كانت سجلات AAA متوافقة مع الإدارة المتوقعة، وما إذا كانت تغييرات التكوين تبدو غير مصرح بها، وما إذا كان الجهاز بحاجة إلى إعادة بناء. يجب أن يميز السجل بين "غير ضعيف" و"ضعيف ولكن غير مكشوف" و"مكشوف بدون مؤشرات" و"مكشوف مع مؤشرات" و"مؤكد الاختراق".

ثم يأتي الاستعادة. يجب تسجيل إصدار البرنامج الثابت، مصدر الصورة، المجموع الاختباري أو التحقق من السلامة، مقارنة النسخ الاحتياطي للتكوين، إزالة المستخدمين غير المصرح بهم، تدوير الشهادات، مراجعة AAA، مراجعة شهادات SNMP والأتمتة، التحقق من التسجيل، والمراقبة بعد التغيير. للأجهزة عالية القيمة، قد تكون إعادة البناء من وسائط موثوقة أكثر مصداقية من التنظيف في المكان عند الاشتباه في الاختراق.

أخيرًا، يجب أن يكون هناك تواصل مع العميل والقيادة. يحتاج المسؤولون التنفيذيون إلى ملخص يربط الحالة التقنية بمخاطر الأعمال. يحتاج عملاء مزودي الخدمات المدارة إلى أدلة خاصة بالجهاز، وليس مجرد رابط تنبيه عام. تحتاج الوكالات العامة إلى سجل مناسب للمدققين وشركات التأمين وهيئات الرقابة. الفرق بين التعافي الجيد والتعافي الضعيف غالبًا ما يكون الأدلة المحتجزة بعد انتهاء الطوارئ.

إرشادات إدارة التصحيح من NIST تعزز النقطة القائلة بأن معالجة الثغرات هي دورة حياة مُدارة وليس إجراءً واحدًا. تحتاج المؤسسات إلى جرد وأولويات واختبار ونشر وتحقق. في حادثة جهاز شبكة مستغل بنشاط، تضغط هذه الدورة ولكنها لا تختفي. (NIST SP 800-40 Rev. 4)

تدعم الحادثة أيضًا اختبارات التعرض المتكررة. فحص ربع سنوي أو مستمر لخدمات الإدارة المكشوفة على الإنترنت كان سيقلل المفاجأة. نظام إدارة تكوين يضع علامة علىip http serverأوip http secure-serverعلى الأجهزة المتصلة بالإنترنت كان سيقلل وقت الاستجابة. AAA مركزي كان سيجعل المستخدمين المحليين غير المتوقعين أسهل في الاكتشاف. هذه ليست ضوابط غريبة. إنها الضوابط الهادئة التي تصبح صاخبة فقط عند غيابها.

يستحق أصل التكوين سطرًا خاصًا به في هذا السجل. يمكن لجهاز شبكة أن يجتاز فحص ثغرات ومع ذلك يعمل من تكوين أصله غير مفهوم جيدًا. يجب أن يعرف المشغلون ما إذا كان التكوين الجاري جاء من قالب قياسي، تغيير طارئ، استثناء مزود خدمة مدارة، شبكة استحواذ موروثة، أو إصلاح لمرة واحدة من مسؤول محلي. في حالة IOS XE، يمكن أن يفسر الأصل لماذا تم تمكين واجهة الويب وجعلها قابلة للوصول. بدون هذا السياق، قد يغلق التصحيح التعرض الفوري بينما يترك المؤسسة عرضة لنفس النمط يعود من خلال دفع القالب التالي أو جهاز بديل.

يجب أن تكون أدلة المزود ملموسة بالمثل. يجب أن يكون مزود الخدمة المدارة قادرًا على إعطاء العميل قائمة مؤرخة بالأجهزة المتأثرة وغير المتأثرة، حالة التعرض قبل التخفيف، الأوامر أو تغييرات التكوين المستخدمة لإغلاق سطح الإدارة، هدف البرنامج الثابت، نتيجة تقييم الاختراق، وأي استثناءات متبقية. العميل لا يحتاج كل التقاط حزمة أو تفاصيل شهادة حساسة. يحتاج أدلة كافية لاتخاذ قرار بشأن ما إذا كانت استمرارية الأعمال أو إشعار التأمين السيبراني أو اتصال المدقق أو إخطار العميل مطلوبة. بيان عام بأن "أجهزة Cisco تمت مراجعتها" ليس مثل سجل التعافي.

يجب أن يحدد هذا السجل أيضًا من وافق على الحالة المكشوفة قبل الحادثة. في العديد من الشبكات، تصبح واجهة الإدارة قابلة للوصول بسبب استثناء قديم، تغيير مؤقت لاستكشاف الأخطاء، قالب موروث من سلف، أو نموذج دعم خارجي يطبع الوصول الواسع بهدوء. إغلاق التعرض بعد ثغرة يوم الصفر ضروري، لكن المساءلة تتطلب معرفة سبب وجود التعرض. إذا لم يتم التقاط السبب، يمكن أن يعود نفس النمط عند تثبيت جهاز بديل، أو استعادة تكوين احتياطي، أو قيام مزود دعم بتوحيد النشر التالي.

فجوات الأدلة في حد ذاتها مفيدة

السجل العام لا يوفر عددًا كاملاً للضحايا، أو إسنادًا كاملاً للمهاجمين، أو كل تفاصيل البرامج الضارة، أو كل منصة أجهزة متأثرة، أو حالة تعرض كل عميل، أو وصفة تعافي عالمية. بعض هذه المعلومات قد تكون غير معروفة علنًا. بعضها قد يكون مشاركًا بشكل خاص مع العملاء المتأثرين أو إنفاذ القانون. لا ينبغي ملء الغياب بتكهنات.

الاستنتاج العام الأكثر مسؤولية هو أضيق. وثقت Cisco و CISA استغلالًا نشطًا لثغرات واجهة الويب IOS XE، مع إنشاء حساب بصلاحية 15، رفع صلاحية إلى الجذر، وكتابة برنامج ضار. حثت CISA على تعطيل تعرض خادم HTTP على الإنترنت، والبحث، والترقية. أصبحت الإصدارات الثابتة متاحة عبر قطارات الإصدار. العواقب المسؤولة تعتمد على التعرض المحلي والجرد والتعافي.

حد الأدلة هذا يحمي من سردين سيئين. السرد السيئ الأول يقول إن الحدث كان ببساطة خطأ Cisco. هذا يتجاهل تحكم العميل ومزود الخدمة المدارة في الإدارة المكشوفة على الإنترنت. السرد السيئ الثاني يقول إن الحدث كان ببساطة خطأ العملاء في كشف الإدارة. هذا يتجاهل مسؤولية Cisco عن الثغرات وجودة التنبيه وتسليم الإصلاح وحوافز تصميم المنتج.

الحقيقة أقل إرضاءً وأكثر فائدة. عيوب المنتج وتعرض النشر اجتمعا. استغل المهاجمون كليهما. التعافي الجيد تطلب إصلاحات البائع وانضباط المشغل. لا سيطرة أي جانب كانت كاملة، لكن كلا الجانبين كان لديه سيطرة كافية ليكون مسؤولاً عن جانبه.

يظهر الحدث أيضًا مدى صعوبة إثبات الثقة السلبية بعد اختراق مستوى الإدارة. قد يتم تصحيح الجهاز، لكن هل يمكن للمشغل إثبات عدم وجود إنشاء حساب؟ قد يتم إزالة مستخدم، لكن هل يمكن للمشغل إثبات عدم تغيير تكوين؟ قد يختفي برنامج ضار بعد إعادة التشغيل، لكن هل يمكن للمشغل إثبات عدم وجود استمرارية لاحقة؟ رسالة حالة عامة نادرًا ما تجيب على هذه الأسئلة. بنية الأدلة المبنية قبل الحادثة تفعل.

المساءلة تتبع مستوى الإدارة

مستوى الإدارة هو حيث تتركز السلطة. حيث يتم مصادقة المسؤولين، تغيير التكوينات، إنشاء المستخدمين، تمكين الخدمات، عرض السجلات، وبدء التعافي. ترك هذا المستوى قابلاً للوصول من الإنترنت العام يخلق رهانًا دائمًا: أن المصادقة والكود والتكوين والمراقبة والتصحيح ستبقى جميعها قوية بما يكفي ضد كل استغلال حالي ومستقبلي.

أظهرت حادثة واجهة الويب IOS XE أن الرهان يمكن أن يفشل. كان لمنتج Cisco مشكلتان غير معروفتين سابقًا في سلسلة واجهة الويب. العملاء والمزودون كان لديهم واجهات إدارة مكشوفة. تحرك المهاجمون بسرعة كافية حتى أصبح التخفيف وتسليم الإصلاح حالة طوارئ. كان على الوكالات الحكومية تضخيم التوجيه. كان على المشغلين البحث عن إنشاء الحسابات والبرامج الضارة. كان على الشركات الصغيرة والمتوسطة الاعتماد على المزودين للحصول على إجابات.

الدرس ليس إلغاء جميع الإدارة عن بعد. الشبكات الحديثة تحتاج إلى إدارة عن بعد. الدرس هو معاملة الوصول الإداري كبنية تحتية مميزة ذات سطح هجوم أصغر، وهوية أقوى، وقيود شبكة، وتسجيل، وتحكم في التغيير، ومراجعة تعرض مستمرة. يجب أن تكون الإدارة عن بعد قابلة للوصول من خلال مسارات إدارة مدروسة، وليس من خلال تعرض واسع للإنترنت العام.

بالنسبة لـ Cisco، الدرس المستمر هو وضع مستوى الإدارة الآمن بالتصميم: جعل التعرض غير الآمن أصعب، جعل التكوينات الخطرة مرئية، جعل الإصلاحات قابلة للتتبع، جعل إرشادات الكشف قابلة للتنفيذ، وجعل تعيين الإصدار أقل إرباكًا. للعملاء ومزودي الخدمات المدارة، الدرس هو حقيقة الأصول والتعرض: اعرف ما يعمل، اعرف ما هو قابل للوصول، اعرف من يملكه، اعرف كيفية تعطيله، اعرف كيفية إعادة بنائه، واعرف ما هي الأدلة التي ستثبت التنظيف.

للوكالات العامة والمنظمين، الدرس هو أن واجهات إدارة أجهزة الشبكة تستحق نفس الرؤية مثل ثغرات CVE التطبيقية البارزة. جهاز توجيه أو محول مخترق يمكن أن يشوه بيئة الأدلة حول الحوادث الأخرى. يمكن أن يصبح بقعة عمياء داخل بنية الاستجابة. هذا يجعل تعرض مستوى الإدارة مخاطرة استمرارية، وليس فقط مسألة نظافة تقنية.

سجل استغلال واجهة الويب Cisco IOS XE لعام 2023 ذو قيمة لأنه يرفض نهاية بسيطة. التصحيحات كانت مهمة. التحصين كان مهمًا. التنبيهات كانت مهمة. الجرد كان مهمًا. مساءلة مزود الخدمة المدارة كانت مهمة. البرنامج الضار كان مهمًا. الواجهة المكشوفة كانت الأكثر أهمية لأنها قررت أي الأجهزة كانت قابلة للوصول قبل أن يكون لدى المدافعين معلومات مثالية.

الاستنتاج المسؤول هو عملي إذن. لا ينبغي أن يتعرض جهاز شبكة للاختراق قبل أن يكتشف مالكه أن واجهة ويب إدارية كانت مفتوحة للعالم. لا ينبغي للبائع الاعتماد على العملاء في العثور على كل تعرض غير آمن بعد أن هبطت ثغرة يوم الصفر بالفعل. لا ينبغي للمزود أن يقول للعميل "لقد تعاملنا معها" دون أدلة. في أمن مستوى الإدارة، الثقة ليست شعورًا حول علامة تجارية أو مستوى تصحيح. إنها سجل: تعرض مغلق، اختراق مقيم، برنامج مثبت، جهاز أعيد بناؤه عند الضرورة، وسلطة الشبكة أعيدت مع دليل.