جعلت Fortinet من تصحيح أجهزة الطرفية اختبارًا لمساءلة مخاطر العملاء

الملخص

• يُظهر سجل ثغرات FortiGate وFortiOS من Fortinet سبب حاجة أجهزة أمن الطرفية إلى معيار مساءلة مختلف عن تحديثات البرامج العادية: عندما يفشل جهاز مكشوف، قد يرث المهاجم مسارًا مميزًا إلى شبكات العملاء.
• تعد CVE-2023-27997 عنصر الأدلة المركزي لأن Fortinet وCISA وNVD ووكالات الأمن السيبراني الوطنية تعاملت جميعها مع ثغرة SSL-VPN في FortiOS كمشكلة تصحيح عاجلة، بينما أظهرت التحذيرات اللاحقة حول تقنيات ما بعد الاستغلال أن التصحيح وحده لم يكن دائمًا دليلاً كافيًا على الإصلاح.
• سؤال المساءلة مشترك ولكنه غير متساوٍ. سيطرت Fortinet على محتوى التوجيه والإصدارات الثابتة وتعزيز المنتج وتوجيه العملاء؛ سيطر العملاء على مخزون التعرض ونشر التصحيح وتعطيل SSL-VPN والسجلات وتقييم الاختراق؛ غالبًا ما كان مزودو الخدمات المدارة يتحكمون في التنفيذ العملي للمشترين الصغار.
• لا يثبت السجل العام أن كل جهاز مكشوف تم اختراقه. لكنه يثبت أن العملاء احتاجوا إلى أكثر من إشعار. احتاجوا إلى إجابات خاصة بالجهاز: هل هذا الجهاز مكشوف؟ هل هو متأثر؟ هل تم تصحيحه قبل الاستغلال؟ هل هناك مؤشرات على الثبات؟ ما الأدلة التي تدعم هذه الإجابة؟
• يجب أن يُظهر سجل الإصلاح الموثوق مخزونًا أسرع للطرفية، والتحقق من التصحيح، وتقليل التعرض المرئي خارجيًا، والصيد بعد الاستغلال، وتوجيه الموردين المكتوب للمشغلين الذين يجب عليهم الدفاع عن البنية التحتية للطرفية الحية تحت ضغط الوقت.

منتج الطرفية يمكن أن يصبح خطر الطرفية

تعتبر قضية Fortinet مهمة لأن فئة المنتج تحمل توترًا مدمجًا في المساءلة. يتم شراء أجهزة FortiGate وأنظمة FortiOS وميزات SSL-VPN لتركيز السيطرة الدفاعية عند الحافة. إنها تنهي الوصول عن بُعد، وتفرض السياسة، وتوسط حركة المرور، وغالبًا ما تجلس بالقرب من الهويات والمسارات والفروع والعمليات الإدارية. هذا التركيز قيم عندما يكون الجهاز سليمًا. إنه خطير عندما يكون الجهاز نفسه هو المسار المكشوف.

مدونة PSIRT الخاصة بـ Fortinet حول CVE-2023-27997، تحليل CVE-2023-27997 وتوضيحات حول حملة Volt Typhoon، أطرت الثغرة الأمنية على أنها مشكلة SSL-VPN في FortiOS وFortiProxy ووجهت العملاء إلى الإصدارات الثابتة. حمل التوجيه التفصيلي من FortiGuard، FG-IR-23-097، سجل الإصدارات المتأثرة والترقية. تم تضخيم نفس السجل العام من قبل CISA في Fortinet تصدر تحديثات أمنية لـ FortiOS وFortiProxy، ومن قبل إدخال قاعدة البيانات الوطنية للثغرات لـ CVE-2023-27997، ومن قبل المركز الكندي للأمن السيبراني في ثغرة تؤثر على FortiGate/FortiOS.

هذه المصادر لا تلعب جميعها نفس الدور. تتحكم Fortinet في التوجيه الخاص بالمنتج والإصدارات المتأثرة ومسار الإصلاح. يوفر NVD سجلًا عامًا للثغرات وسياق التسجيل. تعطي CISA والمركز الكندي إلحاحًا تشغيليًا وطنيًا. يحتاج العميل الذي يحاول اتخاذ قرار قابل للدفاع إلى كل هذه المصادر، لكن لا أحد منها بمفرده يثبت الشيء المهم بعد أن يكون جهاز مواجه للإنترنت ضعيفًا: ما إذا كان هذا الجهاز المعين قد تم اختراقه قبل التصحيح.

هذا هو أول درس في المساءلة. لا يمكن لمورد أمن الطرفية التعامل مع نشر التصحيح على أنه نهاية واجبه، ولا يمكن للعميل التعامل مع تثبيت التصحيح على أنه نهاية عمل الأدلة. الحافة ليست طبقة تطبيق عادية حيث يمكن غالبًا تحديد الاسترداد من خلال حالة النشر. إنها حدود ثقة. إذا وصل المهاجم إلى الجهاز قبل التصحيح، يصبح السؤال ذو الصلة هو ما إذا كانت بيانات الاعتماد أو الجلسات أو التكوين أو الأنفاق أو السجلات أو مسارات الوصول الثانوية قد تم تغييرها أو مراقبتها. قد يغلق الثنائي الثابت الباب بينما يترك سؤال من مشى عبره دون إجابة.

لا يتحكم المورد في كل نشر للعميل. يختار العملاء ما إذا كان SSL-VPN مكشوفًا، وما إذا كانت واجهات الإدارة قابلة للوصول، وما إذا تم الاحتفاظ بالسجلات، وما إذا تم تنفيذ الترقيات بسرعة، وما إذا كان مخزون سطح الهجوم الخارجي دقيقًا. لكن المورد يتحكم في وضوح التحذير، وخريطة الإصدار الثابت، وتوفر إرشادات الكشف، واستقرار الترقية، واللغة التي تساعد المسؤولين التنفيذيين على فهم ما إذا كان "تحديث جهاز أمني" هو في الواقع قرار استجابة للحوادث. المساءلة تتبع نقاط السيطرة هذه.

يحذر السجل العام أيضًا من التوزيع الكسول للوم. سيكون من السهل جدًا القول إن Fortinet كانت مسؤولة لأن الثغرة كانت في كود Fortinet، أو أن العملاء كانوا مسؤولين لأنهم اختاروا عدم التصحيح بالسرعة الكافية. الإجابة الأصعب هي أن خطر جهاز الطرفية يقع داخل سلسلة. إن ضمان إصدار المورد، ودقة التوجيه، ومخزون تعرض العميل، وتنفيذ مزود الخدمات المدارة، وإلحاح المنظم، وأدلة ما بعد الاستغلال كلها تحدد ما إذا كان CVE يتحول إلى خرق للعميل.

توقيت التصحيح هو مشكلة أدلة، وليس مشكلة بيان صحفي

قد يبدو التصحيح الطارئ بسيطًا من بعيد. يصدر المورد إصلاحًا، ويكون التوجيه عامًا، ويقوم العملاء بتثبيت الترقية. في الواقع، غالبًا ما يكون جهاز الأمن المكشوف جزءًا من النظام الذي يستخدمه المسؤولون للوصول إلى الشبكة، ودعم العمل عن بُعد، وربط الفروع، والحفاظ على استمرارية الأعمال. يمكن أن يؤدي إيقاف تشغيله أو ترقيته بشكل سيء إلى تعطيل العمليات. وتركه مكشوفًا يمكن أن يدعو إلى الاختراق. سؤال المساءلة ليس إذن ما إذا كان التصحيح مهمًا. إنه مدى سرعة قدرة المؤسسة على إثبات ما لديها، وما هو مكشوف، وما هو متأثر، وما تم إصلاحه، وما قد حدث قبل الإصلاح.

دليل NIST لإدارة تصحيح المؤسسات مفيد هنا لأنه يعامل التصحيح كبرنامج وليس كرد فعل لمرة واحدة. إنه يؤكد على المخزون، وتحديد الأولويات، والاختبار، والنشر، والتحقق، والمعالجة القائمة على المخاطر. تظهر CVE-2023-27997 لماذا تصبح هذه الخطوات أكثر إلحاحًا عند الطرفية. العميل الذي ليس لديه مخزون موثوق به من FortiGate ليس بطيئًا فقط. لا يمكنه حتى تحديد السكان الذين يحملون الخطر. العميل الذي ليس لديه بيانات الإصدار والتعرض لا يمكنه تحديد ما إذا كان سيعطل SSL-VPN مؤقتًا. العميل الذي ليس لديه سجلات لا يمكنه الإجابة عما إذا كان التصحيح قد وصل قبل الاستغلال.

كان التوجيه الكندي عمليًا بشكل غير معتاد لهذا السبب. أخبر المنظمات بالترقية، وإذا لم تستطع، بتعطيل SSL-VPN. هذا النوع من التعليمات يعترف بمعضلة جهاز الطرفية. قد يكون التخفيف مزعجًا، لكن تكلفة الأعمال المترتبة على الاحتكاك المؤقت للوصول عن بُعد يمكن أن تكون أقل من التكلفة غير المعروفة لترك مسار مواجه للإنترنت مفتوحًا. يوضح كتالوج نقاط الضعف المعروفة المستغلة من CISA نفس النقطة الأوسع: بمجرد أن يكون الاستغلال معروفًا أو ذا أولوية عالية، يجب التعامل مع مواعيد العلاج على أنها التزامات تشغيلية وليس كنظافة اختيارية.

بالنسبة لـ Fortinet، يتجلى تحدي الأدلة في الفرق بين توجيه الإصدار الثابت وتوجيه الاختراق. يمكن للتوجيه تحديد الإصدارات المتأثرة والإصلاحات، لكن العميل يحتاج أيضًا إلى معرفة ما يجب فحصه. ما هي السجلات المهمة؟ ما هي ملفات التكوين التي يجب مراجعتها؟ ما هي الحسابات التي يجب تدويرها؟ كيف يبدو الثبات المشبوه؟ كيف يمكن لمزود الخدمات المدارة أن يثبت للعميل أنه تم تصحيح الجهاز وفحصه؟ هذه الأسئلة ليست مجرد تفاصيل دعم. إنها تحدد ما إذا كان الطرف المكشوف يمكنه فهم مخاطره الخاصة.

تحتاج فرق الأمان أيضًا إلى معيار قرار لـ "متأخر لكن مصحح". إذا كان جهاز FortiGate ضعيفًا لأسابيع وتم تصحيحه فقط بعد ارتفاع قلق الاستغلال العام، فإن التصحيح ضروري لكنه غير كافٍ. يجب أن تميز الإجابة المسؤولة بين أربع حالات على الأقل. أولاً، غير متأثر أو غير مكشوف. ثانيًا، متأثر لكن تم تصحيحه قبل نافذة استغلال محتملة. ثالثًا، متأثر وتم تصحيحه بعد التعرض، مع عدم وجود مؤشرات اختراق تم العثور عليها في بحث محدد. رابعًا، متأثر مع مؤشرات اختراق أو أدلة غير كافية لاستبعادها. نادرًا ما تجبر التوجيهات العامة العملاء على كتابة هذه الفئات، لكن برنامج الاستجابة الناضج يجب أن يفعل ذلك.

الضغط شديد بشكل خاص على المؤسسات الصغيرة والمتوسطة. قد يكون لدى المؤسسة الكبيرة إدارة الثغرات واكتشاف الأصول والاحتفاظ بـ SIEM ونوافذ التغيير. قد تعتمد الشركة الأصغر على بائع أو مزود خدمات مدارة لمعرفة ما إذا كان جهاز Fortinet مكشوفًا وما إذا كانت الترقية آمنة. هذا الاعتماد يغير سلسلة المساءلة. لا يزال المشتري يحمل الضرر التشغيلي، لكن السيطرة العملية قد تكون مع المورد الذي قام بتثبيت الجهاز، أو مزود الخدمات المدارة الذي يديره، أو المورد الذي يحدد توجيهه الإلحاح.

تحذيرات الثبات اللاحقة غيرت معنى الإصلاح

أصبح سجل Fortinet أكثر أهمية عندما أظهرت التحذيرات العامة اللاحقة أن أجهزة الطرفية القديمة الضعيفة يمكن أن تظل جزءًا من الخطر بعد فترة طويلة من انتهاء دورة التصحيح. تحذير CISA لعام 2025، Fortinet تصدر توجيهًا حول تقنية جديدة لما بعد الاستغلال للثغرات المعروفة، هو تذكير بأن تاريخ الاستغلال يمكن أن يعيش بعد الإصدار الثابت. إذا استخدم المهاجم ثغرة معروفة قبل معالجة الجهاز، فقد لا تجيب الترقية اللاحقة بشكل كامل على ما إذا كان الجهاز قد استخدم للحفاظ على الوصول أو لتنظيم نشاط متابعة.

هذه هي النقطة التي تنتقل فيها المساءلة من الامتثال للتصحيح إلى الكفاءة الجنائية. قد تظهر لوحة الامتثال حالة خضراء لأن البرنامج الثابت الحالي ثابت. قد يظل المستجيب للحوادث يسأل عما إذا كان الجهاز قد تم اختراقه قبل أن تتحول اللوحة إلى اللون الأخضر. هذه ليست حقائق متعارضة. إنها طبقات مختلفة من نفس الواجب. حالة التصحيح تجيب على ما إذا كان يجب أن تظل الثغرة المعروفة قابلة للاستغلال. الحالة الجنائية تجيب على ما إذا كان المهاجم قد دخل بينما كانت قابلة للاستغلال.

يضيف توجيه FortiGuard ذو الصلة FG-IR-24-015 سياقًا للنمط لأن ضغط ثغرة SSL-VPN الطرفية لم ينتهِ مع CVE واحدة. لا تحتاج المقالة إلى الخلط بين الأخطاء المنفصلة. يجب بدلاً من ذلك أن تلاحظ أن فئة المنتج تخلق أسئلة تحكم متكررة. يحتاج العملاء إلى نموذج تعرض ينجو من التوجيه التالي: أي الأجهزة عامة، وأي الميزات ممكّنة، وأي الإصدارات قيد التشغيل، وأي السجلات محتفظ بها، وأي التخفيفات الطارئة معتمدة مسبقًا.

لقد تعاملت التوجيهات الحكومية بشكل متزايد مع أجهزة الطرفية كأهداف ذات أولوية للجهات الفاعلة المتطورة. يصف التوجيه المشترك AA24-038A أنماطًا أوسع تستخدم فيها جهات فاعلة مرتبطة بالدولة أجهزة الطرفية والشبكات المخترقة كجزء من حملات الوصول الخفي والعيش على الأرض. هذا التوجيه ليس تقرير حادثة خاص بـ Fortinet. قيمته على مستوى الفئة: الأجهزة التي تعتبرها الشركات بنية تحتية واقية يمكن أن تكون جذابة على وجه التحديد لأنها موثوقة ومواجهة للإنترنت ويصعب فحصها تشغيليًا.

الآثار المترتبة على المساءلة العامة غير مريحة. المنظمة التي تقول "لقد قمنا بالتصحيح" قد لا تزال تروي قصة غير مكتملة إذا لم تستطع أن تقول "لقد تحققنا مما إذا كان الجهاز قد استخدم قبل التصحيح." بالنسبة لـ VPN أو جدار حماية مواجه للإنترنت، قد يتطلب هذا البيان الثاني سجلات لم يتم الاحتفاظ بها، أو أدوات مورد غير متوفرة، أو خبرة لا يمتلكها العميل. يمكن للمورد تقليل هذه الفجوة من خلال نشر مواد كشف أوضح، وبناء فحوصات سلامة أفضل، والحفاظ على سجلات مفيدة، وجعل تقييم الاختراق أقل اعتمادًا على العمل اليدوي البطولي.

نفس المشكلة تؤثر على المنظمين وشركات التأمين. لا يمكن للمنظم الذي يقيم خرقًا الاعتماد فقط على حالة الإصدار الحالية إذا كان الجدول الزمني يظهر فاصل زمني طويل للضعف. لا يمكن لشركة التأمين التي تسعير المخاطر السيبرانية التعامل مع جهاز مصحح على أنه مكافئ لجهاز لم يتعرض أبدًا. لا يمكن لمجلس الإدارة قبول إغلاق من سطر واحد إذا كان فريق الشبكة لا يستطيع إثبات ما إذا كان جهاز الطرفية أصبح نقطة دخول. الإصلاح هو إذن ادعاء أدلة محدود زمنيًا، وليس ادعاء تكوين ثابت.

وضوح المورد يجب أن يلبي واقع المشغل

كان لدى Fortinet واجب واضح لنشر الإصدارات الثابتة والتوجيه الفني. كان لدى العملاء واجب واضح لتصحيح الأنظمة المتأثرة. فجوة المساءلة هي ما يحدث في المسافة بين هذين البيانين. يجب على المشغلين قراءة التوجيه، ورسم خريطة الإصدارات المتأثرة، وتحديد التعرض، وتخطيط نوافذ التغيير، واختبار التوافق، والإبلاغ عن وقت التوقف، والتحقق من الترقية، والبحث عن الاختراق، والإبلاغ عن المخاطر للقيادة. إذا كانت أي خطوة غامضة أو متأخرة أو مفوضة بدون أدلة، تصبح القصة العامة أنيقة للغاية.

تظهر كتابات الممارسين من Huntress وRapid7 وTenable لماذا احتاج المشغلون إلى أكثر من تصنيف CVE. تحليل Huntress لثغرة FortiGate الحرجة من Fortinet، وتوجيه Rapid7 لتنفيذ التعليمات البرمجية عن بعد في FortiOS، وتحليل Tenable لـ CVE-2023-27997 كلها خدمت الجمهور التشغيلي: ما هو المتأثر، وما مدى إلحاحه، وما الذي يجب أن تفعله فرق الأمان، وكيف يجب أن يستجيب المسح أو إدارة التعرض. هذه مصادر ثانوية، لكنها توضح وظيفة سوقية حقيقية. عندما يكافح المشغلون لتحويل توجيهات الموردين إلى إجراءات، يصبح باحثو الأمن ومنصات التعرض مترجمين.

دور الترجمة هذا مفيد لكنه ليس بديلاً عن مساءلة المورد. يجب أن يفترض مورد منتجات أمن الطرفية أن العديد من العملاء لن يكون لديهم خبرة عميقة في FortiOS. يجب أن يجعل التوجيه الإلحاح مفهومًا لمسؤولي أمن المعلومات ومزودي الخدمات المدارة والمسؤولين التنفيذيين، وليس فقط للمهندسين. يجب أن يميز بين الميزات المتأثرة والمنتجات المتأثرة. يجب أن يقول متى يكون تعطيل الميزة إجراء تحكم مؤقت معقول. يجب أن يحدد أي السجلات والقطع الأثرية مهمة. يجب أن يحدث التوجيه عندما تصبح أنماط الاستغلال أو ما بعد الاستغلال أكثر وضوحًا.

يتضمن واقع العميل أيضًا مخاطر التغيير. يمكن أن يؤدي انقطاع جدار الحماية أو VPN إلى حظر الموظفين عن بُعد والمقاولين والفروع والدعم الطارئ. إذا كان المنتج يحمي العمليات الحرجة، يمكن أن تشعر الترقية المتسرعة بالمخاطر التشغيلية. هذا لا يعفي عن التأخير.这意味着 أن حوكمة التصحيح المسؤولة يجب أن تخطط مسبقًا لنوافذ الطوارئ لأجهزة أمن الطرفية. الوقت المناسب لتقرير من يمكنه تفويض ترقية خارج الدورة لـ FortiGate هو قبل إصدار توجيه FortiGuard التالي.

يستحق مزودو الخدمات المدارة تدقيقًا خاصًا. العديد من العملاء الصغار لا يعرفون أي إصدارات Fortinet يشغلونها. قد لا يكون لديهم حتى وصول إداري مباشر. إذا كان مزود الخدمات المدارة يتحكم في الجهاز، فإن مزود الخدمات المدارة يتحكم في المسار العملي من التوجيه إلى الإصلاح. يجب أن يوفر استجابة مزود الخدمات المدارة القابلة للدفاع للعميل حزمة أدلة موجزة: معرفات الجهاز، وحالة الإصدار المتأثر، وحالة التعرض، ووقت التصحيح، والتخفيفات المؤقتة، وفحوصات الاختراق المنفذة، وعدم اليقين المتبقي، وأي تدوير موصى به لكلمة المرور أو الرمز المميز. بدون هذه الحزمة، قد يضطر العميل إلى الثقة في تأكيد شفهي بينما لا يزال يتحمل العواقب القانونية والتشغيلية.

ينطبق نفس المنطق على المشتريات. يجب على المشترين أن يسألوا عما إذا كان المورد يمكنه دعم التصحيح الطارئ عند الطرفية. هل يعرض المنتج بيانات مخزون مفيدة؟ هل يتم اختبار الترقيات وعكسها؟ هل يتم الاحتفاظ بالسجلات عبر إعادة التشغيل والترقية؟ هل يوفر المورد توجيهات قابلة للقراءة آليًا؟ هل يدعم الجهاز خطوط الأساس للتكوين؟ معايير التكوين الآمن من CISA وعملها الأوسع آمن بالتصميم ذات صلة ليس لأنها تحدد حقائق Fortinet، ولكن لأنها تحدد التوقع بأن موردي التكنولوجيا يجب أن يقللوا عبء التشغيل الآمن بدلاً من نقل كل التعقيد إلى العميل.

مخزون التعرض هو السيطرة الخفية

أهم سيطرة من جانب العميل في هذا السجل ليست ببساطة "تصحيح أسرع." إنها مخزون التعرض. لا يمكن للشركة تصحيح ما لا يمكنها تحديده. لا يمكنها تعطيل SSL-VPN على جهاز لا تعرف أنه عام. لا يمكنها إخبار المسؤولين التنفيذيين بكمية المخاطر المتبقية إذا كانت لا تعرف عدد الأجهزة المتأثرة. في اللحظة التي يظهر فيها توجيه FortiOS حرج، فإن السؤال الأول للمساءلة هو: أين توجد جميع أجهزة Fortinet الطرفية، وما الخدمات المكشوفة، ومن يملكها، وأيها ضعيف؟

يبدو هذا عاديًا حتى يحين وقت طارئ حقيقي. قد يتم تثبيت أجهزة الطرفية عن طريق عمليات الاستحواذ أو المكاتب الفرعية أو المقاولين أو فرق تكنولوجيا المعلومات الإقليمية أو مزودي الخدمات المدارة. قد يتم إدارة بعضها رسميًا؛ وقد يتم توريث البعض الآخر. قد يكون بعضها موجودًا في مناطق ذات تقويمات تغيير مختلفة. قد يخدم البعض حالات استخدام الوصول عن بُعد القديمة التي لا يريد أحد لمسها لأنها هشة. هذه هي بالضبط الأنظمة التي تصبح خطيرة عندما يقرأ المهاجم نفس التوجيه العام الذي يقرأه المدافع.

يجب بالتالي قراءة سجل Fortinet CVE-2023-27997 كاختبار مخزون. يجب أن تكون المنظمة الناضجة قادرة على إنشاء قائمة بأسطح SSL-VPN لـ FortiGate وFortiOS المواجهة للإنترنت بسرعة، ومقارنتها بمصفوفة الإصدارات المتأثرة من FortiGuard، وتسجيل كل قرار علاج. قد تكون المنظمة الأضعف قد أمضت الساعات الحرجة في التساؤل عن أي فريق يملك أي جهاز. في حادث الطرفية، التأخير الناجم عن عدم اليقين في المخزون ليس عبئًا إداريًا. إنه تعرض.

هذا هو المكان الذي يمكن أن تساعد فيه أدوات التنبؤ بالاستغلال وتحديد الأولويات ولكنها قد تضلل أيضًا. يساعد نظام التسجيل للتنبؤ بالاستغلال من FIRST المؤسسات على التفكير في احتمالية الاستغلال. يساعد كتالوج KEV من CISA في تحديد الثغرات ذات الاستغلال المعروف. لكن لا يمكن لأي من الأداتين استبدال التعرض الخاص بالجهاز. درجة EPSS عالية لجهاز غير موجود في بيئتك ليست مشكلتك. ثغرة ذات درجة أقل على جهاز مكشوف بسجلات ضعيفة قد تكون مشكلة محلية خطيرة. تتطلب المساءلة الجمع بين الإشارات العالمية والحقائق المحلية.

يجب على المسؤولين التنفيذيين طلب أدلة المخزون في شكل يمكنهم فهمه. ليس "نحن نعمل على Fortinet." ليس "الماسح الضوئي يقول أن معظمها مصححة." الإيجاز المفيد يقول: إجمالي أجهزة Fortinet الطرفية، عدد SSL-VPN المكشوف، العدد المتأثر، العدد المصحح، عدد التخفيفات، العدد غير المعروف، فحوصات الاختراق المكتملة، الاستثناءات، المالك، الموعد النهائي، والمخاطر المتبقية. يمكن أن يكون هذا التقرير قصيرًا. لا ينبغي أن يكون غامضًا.

العدد غير المعروف مهم بشكل خاص. في العديد من الحوادث، تتلقى القيادة ملخصات متفائلة تخفي الجزء من المنشأة الذي لم يتحقق منه أحد. يجب أن تجعل حالة طوارئ Fortinet المجهولين مرئيين. إذا تعذر الوصول إلى خمسة أجهزة فرعية، فهذه حالة خطر. إذا لم يعد مزود خدمات مدارة واحد بالأدلة، فهذه حالة خطر. إذا تم الكتابة فوق السجلات قبل الفحص، فهذه حالة خطر. غير معروف لا يعني مخترق.这意味着 أن المنظمة لا تستطيع بعد تقديم ادعاء أقوى.

مسار الضرر يمر عبر العملاء

ضحايا اختراق جهاز الطرفية ليسوا دائمًا الموظفين المباشرين للمورد. إنهم العملاء الذين تحمي أجهزتهم الشبكات، والعمال الذين يعتمدون على الوصول عن بُعد، والمواطنون أو المرضى الذين تخدمهم هؤلاء العملاء، والمؤسسات النهائية التي تثق في الاتصالات من البيئة المخترقة. لهذا السبب لا يمكن أن تتوقف سلسلة المساءلة عند عقد Fortinet-العميل.

إذا كان جهاز FortiGate يحمي بلدية صغيرة، يمكن أن يؤثر الاختراق على الخدمات العامة. إذا كان يحمي مزود خدمات مدارة، يمكن أن ينتقل نصف قطر الانفجار عبر عملاء متعددين. إذا كان يحمي عيادة، يمكن أن يصبح الوصول عن بُعد وخطر برامج الفدية خطر استمرارية المريض. إذا كان يحمي مصنعًا، يمكن أن يصبح عزل الفرع توقف الإنتاج. هذه السيناريوهات لا تثبت الضرر في كل تعرض CVE-2023-27997. إنها تشرح لماذا تصحيح أجهزة الطرفية ليس صيانة تكنولوجيا معلومات منخفضة المستوى.

يظهر السجل العام من الوكالات الحكومية أيضًا لماذا تجذب أجهزة الطرفية الانتباه الوطني. لم تتم كتابة تحذيرات Fortinet من CISA كتسويق للمورد. لقد كتبت لأن البنية التحتية العامة والخاصة تعتمد على العلاج في الوقت المناسب. اعترف التوجيه الكندي بالمثل بأن تعطيل SSL-VPN يمكن أن يكون إجراء مؤقتًا مناسبًا إذا كانت المنظمة لا تستطيع التصحيح على الفور. هذا معيار عالٍ للإلحاح: كانت الوكالات تقول بشكل فعال أن احتكاك التوفر قد يكون مبررًا لتجنب خطر الوصول عن بُعد المكشوف.

يحتاج العملاء إلى إشعار مكتوب لهذا الواقع. درجة CVSS المجردة ليست كافية. يشرح الإشعار المفيد آلية ضرر العميل: تنفيذ التعليمات البرمجية عن بعد غير المصادق عليه على سطح SSL-VPN المكشوف يمكن أن يعطي المهاجمين طريقًا إلى الأنظمة الداخلية؛ قد تجلس الأجهزة عند حدود الثقة؛ قد لا يزيل التصحيح بعد الاستغلال الثبات؛ يجب على المسؤولين الحفاظ على السجلات وتقييم الاختراق. هذا النوع من الشرح يساعد صانعي القرار غير المتخصصين على تفويض الإجراءات المعطلة.

نفس النقطة تنطبق على عقود العملاء. غالبًا ما يتم بيع جهاز أمني مُدار مع وعود بوقت التشغيل والدعم والحماية. أثناء ثغرة خطيرة، يمكن أن تتعارض هذه الوعود. قد يعني الحفاظ على الخدمة تشغيل ميزة خطرة مكشوفة. قد يؤدي إيقاف تشغيلها إلى حماية الشبكة ولكن يضر بالعمليات. يجب ألا يترك العقد الجيد العميل يتخمين من لديه السلطة لتعطيل الوصول عن بُعد، ومن يدفع ثمن العمالة الطارئة، وكيف يتم تسليم الأدلة، وماذا يحدث إذا لم يتمكن مزود الخدمات المدارة من التصحيح في الوقت المحدد.

يجب أن يكافئ السوق الموردين الذين يسهلون الأدلة الطارئة. يجب أن يكون العملاء قادرين على تصدير حالة الجهاز، وتأكيد الإصدارات الثابتة، وتلقي التوجيهات الموقعة، وتشغيل فحوصات السلامة، والحفاظ على السجلات ذات الصلة، وإثبات إغلاق الاستثناءات. هذه الميزات ليست براقة، لكنها تقصر المسار من CVE العام إلى الإصلاح القابل للدفاع.

ما يمكن لـ Fortinet إثباته وما لا يزال على العملاء إثباته

يمكن لـ Fortinet إثبات أنها نشرت التوجيهات، وحددت الإصدارات المتأثرة، وأصدرت الإصلاحات، وحدثت التوجيه العام. مواد FortiGuard وPSIRT هي دليل على ذلك. يمكن لـ CISA والوكالات الأخرى إثبات أنها ضاعفت الإلحاح. يمكن لـ NVD توفير سجل عام للثغرات. يمكن لباحثي التهديد توفير ترجمة تشغيلية. لا يمكن لأي من هذه المصادر إثبات حالة كل جهاز عميل.

هذا التمييز مهم للمساءلة العادلة. العميل الذي فشل في تصحيح جهاز مكشوف بعد توجيه واضح يتحمل مسؤولية هذا القرار المحلي. لكن إذا كان التوجيه صعب الفهم، أو إذا كان تعيين الإصدار المتأثر غامضًا، أو إذا كانت مواد الكشف متأخرة أو غير كاملة، أو إذا كان مسار الترقية محفوفًا بالمخاطر عمليًا، تظل سيطرة المورد ذات صلة. النقطة ليست تحويل كل اللوم إلى Fortinet. الهدف هو تحديد أين كان لكل ممثل سيطرة عملية.

سيتضمن سجل الإصلاح القوي للعميل ثماني قطع من الأدلة على الأقل. أولاً، مخزون أجهزة Fortinet والخدمات المكشوفة. ثانيًا، التعيين على الإصدارات المتأثرة. ثالثًا، الطوابع الزمنية للتصحيح أو التخفيف. رابعًا، دليل على تقليل تعرض SSL-VPN أو الإدارة حيثما كان ذلك ضروريًا. خامسًا، السجلات والمؤشرات التي تمت مراجعتها للاختراق. سادسًا، بيانات الاعتماد والرموز المميزة التي تم تدويرها عندما تطلب الجدول الزمني ذلك. سابعًا، الاستثناءات مع المالكين والمواعيد النهائية. ثامنًا، إشعار العميل أو أصحاب المصلحة حيث حماية الجهاز أطرافًا خارجية.

سيتضمن سجل الإصلاح القوي للمورد أدلة تكميلية. يجب أن يكون التوجيه واضحًا ومحدثًا. يجب أن تكون الإصدارات الثابتة متاحة ومستقرة. يجب أن تكون إرشادات الكشف وتقييم الاختراق محددة. يجب أن يفهم دعم العملاء الفرز الطارئ. يجب أن يقلل تصميم المنتج من التعرض افتراضيًا حيثما أمكن. يجب أن يعالج ضمان الإصدار المستقبلي فئة الخطأ، وليس فقط CVE واحد. يجب على المورد أيضًا فحص ما إذا كانت القياسات عن بعد أو التوجيهات القابلة للقراءة آليًا أو أدوات فحص السلامة يمكن أن تقلل من عدم يقين العميل في المرة القادمة.

للحكومة والهيئات القطاعية دورها الخاص. يمكن لـ CISA تحديد إلحاح العلاج من خلال مواعيد KEV النهائية للوكالات المدنية الفيدرالية والتنبيهات العامة. يمكن لمراكز الأمن السيبراني الوطنية ترجمة المخاطر للمشغلين المحليين. يمكن للمنظمين القطاعيين أن يسألوا عما إذا كان مقدمو الخدمات الحيوية قد قاموا بالفعل بتصحيح وفحص الأجهزة المكشوفة. لكن يجب على المنظمين توخي الحذر حتى لا يحولوا الامتثال للتصحيح إلى مربع اختيار. السؤال الحقيقي هو ما إذا كان المسار الضعيف موجودًا، وما إذا تم استغلاله، وما إذا كانت الأدلة جيدة بما يكفي لدعم الإجابة.

لهذا السبب تهم تحذيرات ما بعد الاستغلال حتى عندما تصل بعد فترة طويلة من التوجيه الأصلي. إنها تكشف ضعف الإصلاح أحادي البعد. الجهاز الذي تم تصحيحه اليوم قد يكون موطئ قدم للمهاجم بالأمس. يجب على مجلس الإدارة الذي يريد المساءلة أن يسأل عن الجدول الزمني بأكمله، وليس فقط حالة البرنامج الثابت الحالية.

يجب أن يميز سجل الإغلاق بين التعرض والإصلاح

الدرس الأخير من Fortinet هو أن سجل التصحيح ليس هو نفسه سجل التعرض. يحتاج العملاء إلى معرفة الأجهزة الموجودة، وأيها كانت مواجهة للإنترنت، وأيها تم تصحيحها، وأيها أظهر نشاطًا مشبوهًا، وأي بيانات الاعتماد تم تدويرها، وأي الاستثناءات بقيت. يمكن لحالة "تم العلاج" الواحدة إخفاء جهاز كان مكشوفًا لأشهر قبل الإصلاح. السجل الأقوى يفصل بين التعرض والعلاج والفحص واستعادة الثقة.

المجهولات المتبقية والسؤال المسؤول

سجل Fortinet العام قوي في التوجيهات وضعيف في نتائج العملاء الشاملة. هذا طبيعي. لا يمكن لأي مصدر عام أن يظهر بالضبط كيف تعامل كل عميل مع CVE-2023-27997، أو ما إذا تم استغلال كل جهاز ضعيف، أو ما إذا كان كل قلق لاحق بعد الاستغلال ينطبق على كل جهاز. لا ينبغي للتحليل المسؤول التظاهر بخلاف ذلك.

المجهولات لا تزال جزءًا من قصة المساءلة. تعرض الجهاز غير المعروف هو فشل في الحوكمة عندما يجب أن يوجد المخزون. حالة الاختراق غير المعروفة هي قصور جنائي عندما يجب الاحتفاظ بالسجلات. إجراء مزود الخدمات المدارة غير المعروف هو مشكلة تعاقدية عندما يعتمد العميل على المزود في أعمال الأمن الطارئة. فجوات توجيه المورد غير المعروفة هي مشكلة إدارة منتج عندما لا يستطيع العملاء ترجمة التوجيهات إلى إجراءات. السؤال الصحيح ليس "من يمكننا إلقاء اللوم عليه لكل مجهول؟" إنه "من الذي سيطر على الظروف التي جعلت هذا المجهول صعب الإغلاق؟"

بالنسبة لـ Fortinet، الدرس الدائم هو أن بائع أجهزة الأمن يبيع أكثر من مجرد كود. إنه يبيع موقعًا تشغيليًا عند حافة العميل. هذا الموقع يخلق واجبات حول التصميم الآمن، ووضوح التوجيه، والإصدارات الثابتة، وتوجيه العملاء، وأدلة ما بعد الاستغلال. بالنسبة للعملاء، الدرس هو أن أجهزة الطرفية ليست صناديق سلبية. إنها أنظمة مميزة تحتاج إلى مخزون، وسلطة تصحيح طارئة، ومراقبة تعرض خارجي، وتقييم اختراق. بالنسبة لمزودي الخدمات المدارة، الدرس هو أن ثقة العملاء تعتمد على حزم الأدلة، وليس الطمأنة.

اختبار المساءلة بعد ثغرة جهاز الطرفية التالية يجب أن يكون بسيطًا في ذكره وصعبًا في تزييفه. هل يمكن للمنظمة تحديد كل جهاز مكشوف في غضون ساعات؟ هل يمكنها تحديد الإصدارات المتأثرة؟ هل يمكنها تصحيح أو تعطيل الميزات الخطرة تحت مسار قرار طارئ؟ هل يمكنها إظهار ما فحصته للاختراق؟ هل يمكن للمورد شرح الخطر بلغة يمكن للعميل التصرف بناءً عليها دون انتظار مترجمين ثانويين؟ هل يمكن للعميل إثبات الإصلاح بدلاً من مجرد الإبلاغ عن أن التوجيه قد قرئ؟

يجب ألا ينهار سجل مجلس الإدارة إلى نسبة تصحيح

يجب أن يقاوم سجل مجلس الإدارة والتنفيذي بعد حالة طوارئ Fortinet تبسيطًا مغريًا: نسبة تصحيح واحدة. "خمسة وتسعون بالمائة مصححة" يمكن أن يكون مقياسًا تشغيليًا مفيدًا، لكنه يمكن أيضًا أن يخفي الأنظمة الأكثر أهمية. إذا كانت الخمسة بالمائة المتبقية تشمل أجهزة SSL-VPN عامة، أو بوابات فروع عالية الامتياز، أو أجهزة بسجلات مفقودة، أو أنظمة يديرها مورد غير مستجيب، فإن الخطر لا يتناسب مع العدد. عدد صغير من أجهزة الطرفية يمكن أن يحمل كمية كبيرة من سلطة التحكم.

تقرير مجلس الإدارة الأفضل هو خريطة مخاطر. يجب أن يبدأ بالسكان: كم عدد أجهزة Fortinet الطرفية الموجودة، وكم منها مواجه للإنترنت، وكم منها يعرض الميزة المتأثرة، وكم منها مُدار داخليًا، وكم منها يتحكم فيه طرف ثالث. يجب أن يفصل بعد ذلك بين حالة العلاج وحالة الأدلة. حالة العلاج تقول ما إذا كان البرنامج أو الميزة الضعيفة قد تم إصلاحها أو تعطيلها أو عزلها. حالة الأدلة تقول ما إذا تم فحص الجهاز بحثًا عن علامات الاستغلال وما إذا كانت السجلات كافية لإجراء هذا الادعاء. يمكن معالجة الجهاز بينما تظل الأدلة ضعيفة. يجب أن يكون هذا الاختلاف مرئيًا.

هذا التمييز مهم لأن إشراف مجلس الإدارة غالبًا ما يحدث بعد أن يتم ضغط العمل الفني الأصعب في عدد قليل من ألوان الحالة. يمكن أن يعني اللون الأخضر "تم التصحيح بالكامل قبل التعرض." يمكن أن يعني أيضًا "تم التصحيح بعد التعرض ولكن بدون مراجعة إضافية." يمكن أن يعني اللون الأصفر "انتظار نافذة التغيير." يمكن أن يعني أيضًا "لم يتم العثور على مالك." يمكن أن يعني اللون الأحمر "غير مصحح." يمكن أن يعني أيضًا "اشتباه في الاختراق." يجب ألا يسمح التقرير الناضج لهذه الحالات بمشاركة لون دون تفسير. في ثغرة جهاز الطرفية، تحتاج الحوكمة إلى أفعال: تم العثور عليه، مكشوف، مصحح، معطل، مفحوص، مدور، معزول، مصعد، لم يتم حله.

يحتاج مجالس الإدارة والمسؤولون التنفيذيون أيضًا إلى انضباط استثناء. يجب أن يكون لكل استثناء مالك مسمى، وتاريخ انتهاء صلاحية، وتحكم تعويضي، ومتطلب أدلة. إذا تعذر تصحيح جهاز FortiGate لأنه يخدم موقعًا بعيدًا هشًا، من وافق على هذا الخطر؟ هل تم تعطيل SSL-VPN؟ هل تم حظر الوصول إلى الإدارة من الإنترنت العام؟ هل تم الحفاظ على السجلات؟ هل قدم مزود الخدمات المدارة شرحًا مكتوبًا؟ هل تم إخبار مالك العمل بأن راحة الوصول عن بُعد يتم مقايضتها مقابل احتمال اختراق الشبكة؟ هذه أسئلة حوكمة، وليست مجرد تفاصيل هندسية.

نفس السجل يحمي الفرق الفنية. غالبًا ما يتم لوم المهندسين بعد وقوع الحادث لـ "عدم التصحيح بالسرعة الكافية" عندما كان العائق الحقيقي هو الموافقة التجارية أو سياسة نافذة الصيانة أو المخزون المفقود أو عقد طرف ثالث. يظهر مسار الاستثناء المكتوب ما إذا كان التأخير عجزًا فنيًا أو مقايضة تشغيلية أو فشل مورد أو خيار قيادي. هذه هي المساءلة بالمعنى المفيد: إنها تحافظ على مسار القرار بحيث يمكن تقصير الحادث التالي.

يجب على مزودي الخدمات المدارة إنتاج سجل مماثل للعملاء. إغلاق تذكرة من سطر واحد لا يكفي عندما يكون الجهاز المُدار بوابة وصول عن بُعد. يجب أن يتلقى العميل معرف الجهاز، والإصدار قبل التصحيح، والحالة المتأثرة، وحالة التعرض، ووقت التصحيح أو التخفيف، وطريقة التحقق، والسجلات التي تمت مراجعتها، والمؤشرات التي تم البحث عنها، والمجهولات المتبقية، وأي إجراءات متابعة مثل تدوير بيانات الاعتماد. إذا لم يقم مزود الخدمات المدارة بتقييم الاختراق، فيجب أن يقول ذلك بوضوح. إذا كانت السجلات غير متوفرة، يجب تسجيل ذلك كفجوة في الأدلة بدلاً من إخفائه خلف "مصحح".

هذا النوع من حزمة الأدلة يساعد أيضًا فرق التأمين السيبراني والقانونية على تجنب اليقين الزائف. قد يرضي الادعاء بأن "جميع أجهزة Fortinet مصححة" استبيانًا سريعًا، لكنه لا يجيب على ما إذا كان حامل البوليصة قد تعرض لاقتحام خلال الفترة الضعيفة. يحتاج الفريق القانوني الذي يقيم التزامات الإخطار إلى حقائق حول الوصول وخطر البيانات، وليس فقط حالة البرنامج. يحتاج مقيم الخسارة التأمينية إلى الجدول الزمني. قد يسأل المنظم لماذا بقي جهاز طرفية حرج مكشوفًا بعد التوجيه. جميع هؤلاء الجهات الفاعلة يحتاجون إلى سجل ينجو أكثر من لقطة شاشة للوحة القيادة.

لا ينبغي للجمهور أن يتوقع من كل شركة نشر هذا السجل الكامل. بعض التفاصيل قد تعرض بنية الأمان للخطر. لكن العملاء ومجالس الإدارة والمدققين والمنظمين يجب أن يتوقعوا وجود السجل. بدونه، سيتم إعادة بناء كل حالة طوارئ Fortinet من أجزاء بعد وقوع الحادث: توجيه مورد هنا، وتذكرة تصحيح هناك، وتقرير ماسح ضوئي، وبريد إلكتروني من مزود الخدمات المدارة، وملف سجل ربما يكون قد تم تجاوزه بالفعل. الهدف من المساءلة هو جعل الحقائق المهمة متاحة بينما لا يزال بإمكانها تغيير النتيجة.

هناك درس ثقافي أيضًا. غالبًا ما يتم التعامل مع أجهزة الأمن كبنية تحتية موثوقة حتى يجبر CVE الجميع على تذكر أنها أيضًا برامج وسلاسل توريد وبيانات اعتماد وسجلات وطائرات إدارة. لن تنتظر المؤسسات الأكثر صحة توجيه Fortinet التالي لبناء هذه الذاكرة. سوف تتدرب على حوادث أجهزة الطرفية بالطريقة التي تتدرب بها على برامج الفدية: من يمكنه الموافقة على وقت التوقف الطارئ، ومن يمكنه الوصول إلى الجهاز إذا كان الوصول عن بُعد غير مستقر، ومن يمكنه التحقق من صحة الإصلاح العاجل من المورد، ومن يمكنه الاتصال بمزود الخدمات المدارة، ومن يمكنه إحاطة القيادة دون إخفاء عدم اليقين. هذا التدريب ليس بيروقراطية.

إنها كيف تمنع الشركة الطوارئ من أن تصبح ارتجالًا حول حدود شبكتها الأكثر امتيازًا.

إذا كانت هذه الإجابات موجودة، يصبح سجل ثغرات Fortinet جزءًا من نموذج تشغيل أمن الطرفية الأقوى. إذا لم تكن موجودة، سيكرر كل توجيه جديد نفس نمط الفشل: منتج مبني لتقليل المخاطر يصبح المكان الذي تختبئ فيه المخاطر، والأشخاص الذين يعتمدون على الشبكة المحمية يتعلمون بعد فوات الأوان أن الحافة لم تكن أبدًا مرئية كما بدت. الدرس يستحق ذاكرة عضلية تشغيلية.