Fortinet جعل تصحيح الأجهزة الطرفية اختبارًا للمساءلة عن مخاطر العملاء

ملخص

• يُظهر سجل الثغرات الأمنية لـ FortiGate و FortiOS من Fortinet لماذا تحتاج أجهزة الأمان الطرفية إلى معيار مساءلة مختلف عن تحديثات البرامج العادية: عند فشل جهاز مكشوف، قد يرث المهاجم مسارًا مميزًا إلى شبكات العملاء.
• CVE-2023-27997 هي كائن الأدلة المركزي لأن Fortinet و CISA و NVD ووكالات الأمن السيبراني الوطنية جميعها تعاملت مع ثغرة FortiOS SSL-VPN كمشكلة تصحيح عاجلة، بينما أظهرت التحذيرات اللاحقة حول تقنيات ما بعد الاستغلال أن التصحيح وحده لم يكن دائمًا دليلاً كافيًا على الإصلاح.
• سؤال المساءلة مشترك لكنه غير متكافئ. سيطرت Fortinet على محتوى الإرشادات والإصدارات الثابتة وتحسين المنتج وتوجيهات العملاء؛ بينما سيطر العملاء على مخزون التعرض ونشر التصحيح وتعطيل SSL-VPN والسجلات وتقييم الاختراق؛ وغالبًا ما كانت الجهات المُدارة للخدمات تتحكم في التنفيذ العملي للمشترين الصغار.
• السجل العام لا يثبت أن كل جهاز مكشوف تم اختراقه. لكنه يثبت أن العملاء احتاجوا إلى أكثر من إشعار. احتاجوا إلى إجابات خاصة بالجهاز: هل هذا الجهاز مكشوف؟ هل هو متأثر؟ هل تم تصحيحه قبل الاستغلال؟ هل توجد مؤشرات على استمرار؟ ما الأدلة التي تدعم هذه الإجابة؟
• سجل الإصلاح الموثوق يجب أن يظهر مخزونًا طرفيًا أسرع، والتحقق من التصحيح، وتقليل التعرض المرئي خارجيًا، والصيد بعد الاستغلال، وتوجيه الموردين المكتوب للمشغلين الذين يجب عليهم الدفاع عن البنية التحتية الطرفية الحية تحت ضغط الوقت.

يمكن لمنتج طرفي أن يصبح الخطر الطرفي

تعتبر قضية Fortinet مهمة لأن فئة المنتج تحمل توترًا مدمجًا في المساءلة. يتم شراء أجهزة FortiGate وأنظمة FortiOS وميزات SSL-VPN لتركيز التحكم الدفاعي عند الحافة. فهي تُنهي الوصول عن بُعد، وتُطبق السياسات، وتُوسط حركة المرور، وغالبًا ما تكون قريبة من الهويات والمسارات والشبكات الفرعية والعمليات الإدارية. هذا التركيز قيم عندما يكون الجهاز سليمًا. وهو خطير عندما يكون الجهاز نفسه هو المسار المكشوف.

مدونة PSIRT الخاصة بـ Fortinet حول CVE-2023-27997،تحليل CVE-2023-27997 وتوضيحات حول حملة Volt Typhoon، وصفت الثغرة على أنها مشكلة SSL-VPN في FortiOS و FortiProxy ووجهت العملاء إلى الإصدارات الثابتة. الإرشاد التفصيلي من FortiGuard،FG-IR-23-097، حمل سجل الإصدارات المتأثرة والترقية. نفس السجل العام تم تضخيمه بواسطة CISA فيFortinet تصدر تحديثات أمنية لـ FortiOS و FortiProxy، بواسطة إدخال قاعدة البيانات الوطنية للثغرات الأمنية لـCVE-2023-27997، وبواسطة المركز الكندي للأمن السيبراني فيثغرة تؤثر على FortiGate/FortiOS.

هذه المصادر لا تؤدي نفس الدور. تتحكم Fortinet في الإرشاد الخاص بالمنتج والإصدارات المتأثرة ومسار الإصلاح. يوفر NVD سجلًا عامًا للثغرة وسياق التسجيل. تمنح CISA والمركز الكندي إلحاحًا تشغيليًا وطنيًا. العميل الذي يحاول اتخاذ قرار دفاعي يحتاج إلى كل هذه المصادر، لكن لا أحد منها يثبت بذاته الشيء المهم بعد أن يكون جهاز مواجه للإنترنت قد أصبح عرضة للخطر: هل تم اختراق هذا الجهاز بالتحديد قبل التصحيح؟

هذا هو الدرس الأول في المساءلة. لا يمكن لبائع أمن طرفي أن يعامل نشر التصحيح على أنه نهاية واجبه، ولا يمكن للعميل أن يعامل تثبيت التصحيح على أنه نهاية عمل الأدلة. الحافة ليست طبقة تطبيق عادية حيث يمكن غالبًا حصر الاسترداد بحالة النشر. إنها حدود ثقة. إذا وصل المهاجم إلى الجهاز قبل التصحيح، يصبح السؤال ذا صلة: هل تم تغيير بيانات الاعتماد أو الجلسات أو التكوين أو الأنفاق أو السجلات أو مسارات الوصول الثانوية أو مراقبتها؟ قد يُغلق الثنائي الثابت الباب مع ترك سؤال من الذي مشى من خلاله دون إجابة.

البائع لا يتحكم في كل نشر عميل. يختار العملاء ما إذا كان SSL-VPN مكشوفًا، وما إذا كانت واجهات الإدارة قابلة للوصول، وما إذا تم الاحتفاظ بالسجلات، وما إذا تم ترقية الترقيات بسرعة، وما إذا كان مخزون سطح الهجوم الخارجي دقيقًا. لكن البائع يتحكم في وضوح التحذير، وخريطة الإصدارات الثابتة، وتوافر إرشادات الكشف، واستقرار الترقية، واللغة التي تساعد المسؤولين التنفيذيين على فهم ما إذا كان "تحديث جهاز أمني" هو في الواقع قرار استجابة لحادث. المساءلة تتبع نقاط التحكم هذه.

السجل العام يحذر أيضًا من تخصيص اللوم الكسول. سيكون من السهل جدًا القول إن Fortinet كانت مسؤولة لأن الثغرة كانت في كود Fortinet، أو أن العملاء كانوا مسؤولين لأنهم اختاروا عدم التصحيح بالسرعة الكافية. الإجابة الأصعب هي أن مخاطر الجهاز الطرفي تقع داخل سلسلة. ضمان إصدار المورد، ودقة الإرشاد، ومخزون تعرض العميل، وتنفيذ مزود الخدمة المُدارة، وإلحاح المنظم، وأدلة ما بعد الاستغلال جميعها تقرر ما إذا كان CVE يصبح خرقًا للعميل.

توقيت التصحيح هو مشكلة أدلة، وليس مشكلة بيان صحفي

يمكن أن يبدو التصحيح الطارئ بسيطًا من بعيد. يُصدر البائع إصلاحًا، ويكون الإرشاد عامًا، ويقوم العملاء بتثبيت الترقية. في الواقع، غالبًا ما يكون جهاز الأمان المكشوف جزءًا من النظام الذي يستخدمه المسؤولون للوصول إلى الشبكة، ودعم العمل عن بُعد، وربط الفروع، والحفاظ على استمرارية الأعمال. إيقاف تشغيله أو ترقيته بشكل سيء يمكن أن يعطل العمليات. تركه مكشوفًا يمكن أن يدعو إلى الاختراق. سؤال المساءلة ليس إذن ما إذا كان التصحيح مهمًا. إنه مدى السرعة التي يمكن بها للمؤسسة إثبات ما لديها، وما هو مكشوف، وما هو متأثر، وما هو مُصلح، وما قد يكون حدث قبل الإصلاح.

دليل NIST لإدارة التصحيح في المؤسساتGuide to Enterprise Patch Management Planningمفيد هنا لأنه يعامل التصحيح كبرنامج وليس رد فعل لمرة واحدة. يؤكد على المخزون، وتحديد الأولويات، والاختبار، والنشر، والتحقق، والمعالجة القائمة على المخاطر. يُظهر CVE-2023-27997 لماذا تصبح هذه الخطوات أكثر إلحاحًا عند الحافة. العميل الذي ليس لديه مخزون موثوق به من FortiGate ليس بطيئًا فقط. لا يمكنه حتى تحديد السكان الذين يحملون المخاطرة. العميل الذي ليس لديه بيانات الإصدار والتعرض لا يمكنه تحديد ما إذا كان يجب تعطيل SSL-VPN مؤقتًا. العميل الذي ليس لديه سجلات لا يمكنه الإجابة عما إذا وصل التصحيح قبل الاستغلال.

كان الإرشاد الكندي عمليًا بشكل غير معتاد لهذا السبب. أخبر المؤسسات بالترقية، وإذا لم يتمكنوا، بتعطيل SSL-VPN. هذا النوع من التعليمات يعترف بمعضلة الجهاز الطرفي. قد يكون التخفيف مزعجًا، لكن التكلفة التجارية للاحتكاك المؤقت في الوصول عن بُعد يمكن أن تكون أقل من التكلفة غير المعروفة لترك مسار مواجه للإنترنت مفتوحًا. كتالوج الثغرات المستغلة المعروفة لـ CISAKnown Exploited Vulnerabilities Catalogيقدم نفس النقطة الأوسع: بمجرد أن يكون الاستغلال معروفًا أو ذا أولوية عالية، يجب معاملة مواعيد العلاج النهائية على أنها التزامات تشغيلية وليس كنظافة اختيارية.

بالنسبة لـ Fortinet، فإن تحدي الأدلة واضح في الفرق بين توجيه الإصدار الثابت وتوجيه الاختراق. يمكن للإرشاد تحديد الإصدارات المتأثرة والإصلاحات، لكن العميل يحتاج أيضًا إلى معرفة ما يجب فحصه. أي السجلات مهمة؟ أي ملفات التكوين يجب مراجعتها؟ أي الحسابات يجب تدويرها؟ كيف يبدو الاستمرار المشبوه؟ كيف يمكن لمزود الخدمة المُدارة أن يثبت للعميل أن الجهاز تم تصحيحه وفحصه؟ هذه الأسئلة ليست مجرد تفاصيل دعم. إنها تحدد ما إذا كان الطرف المكشوف يمكنه فهم مخاطره الخاصة.

تحتاج فرق الأمان أيضًا إلى معيار قرار لـ "متأخر لكن مُصحح". إذا كان جهاز FortiGate عرضة للخطر لأسابيع وتم تصحيحه فقط بعد ارتفاع القلق العام بشأن الاستغلال، فإن التصحيح ضروري لكنه غير كافٍ. يجب أن تميز الإجابة المسؤولة بين أربع حالات على الأقل. أولاً، غير متأثر أو غير مكشوف. ثانيًا، متأثر لكن تم تصحيحه قبل نافذة الاستغلال المعقولة. ثالثًا، متأثر وتم تصحيحه بعد التعرض، مع عدم وجود مؤشرات اختراق في بحث محدد. رابعًا، متأثر مع مؤشرات اختراق أو أدلة غير كافية لاستبعادها. نادرًا ما تجبر الإرشادات العامة العملاء على كتابة هذه الفئات، لكن برنامج الاستجابة الناضج يجب أن يفعل ذلك.

الضغط شديد بشكل خاص للشركات الصغيرة والمتوسطة. قد يكون لدى المؤسسة الكبيرة إدارة ثغرات، واكتشاف أصول، واحتفاظ بـ SIEM، ونوافذ تغيير. قد تعتمد الشركة الأصغر على بائع أو مزود خدمة مُدارة لمعرفة ما إذا كان جهاز Fortinet مكشوفًا وما إذا كانت الترقية آمنة. هذا الاعتماد يغير سلسلة المساءلة. لا يزال المشتري يتحمل الضرر التشغيلي، لكن التحكم العملي قد يكون مع المورد الذي قام بتثبيت الجهاز، أو مزود الخدمة المُدارة الذي يديره، أو البائع الذي يحدد إرشاده الاستعجال.

تحذيرات الاستمرار اللاحقة غيرت معنى الإصلاح

أصبح سجل Fortinet أكثر أهمية عندما أظهرت التحذيرات العامة اللاحقة أن الأجهزة الطرفية القديمة المعرضة للخطر يمكن أن تظل جزءًا من المخاطر بعد وقت طويل من دورة التصحيح. تنبيه CISA لعام 2025،Fortinet تصدر إرشادًا حول تقنية ما بعد الاستغلال جديدة للثغرات المعروفة، هو تذكير بأن تاريخ الاستغلال يمكن أن يبقى بعد الإصدار الثابت. إذا استخدم المهاجم ثغرة معروفة قبل معالجة الجهاز، فقد لا تجيب الترقية اللاحقة بشكل كامل عما إذا كان الجهاز قد استخدم للحفاظ على الوصول أو لتنظيم نشاط متابعة.

هذه هي النقطة التي تنتقل فيها المساءلة من الامتثال للتصحيح إلى الكفاية الجنائية. قد تظهر لوحة الامتثال حالة خضراء لأن البرنامج الثابت الحالي مُصلح. قد لا يزال المحقق في الحوادث يسأل عما إذا كان الجهاز قد تم اختراقه قبل أن تتحول اللوحة إلى اللون الأخضر. هذان ليسا حقيقتين متنافستين. إنهما طبقتان مختلفتان من نفس الواجب. حالة التصحيح تجيب عما إذا كان يجب أن تظل الثغرة المعروفة قابلة للاستغلال. الحالة الجنائية تجيب عما إذا كان المهاجم قد دخل بينما كانت قابلة للاستغلال.

إرشاد FortiGuard ذو الصلةFG-IR-24-015يضيف سياقًا للنمط لأن ضغط ثغرة SSL-VPN الطرفية لم ينتهِ بـ CVE واحد. لا تحتاج المقالة إلى الخلط بين الأخطاء المنفصلة. بدلاً من ذلك، يجب أن تلاحظ أن فئة المنتج تخلق أسئلة تحكم متكررة. يحتاج العملاء إلى نموذج تعرض يبقى بعد الإرشاد التالي: أي الأجهزة عامة، أي الميزات مفعلة، أي الإصدارات قيد التشغيل، أي السجلات محفوظة، وأي التخفيفات الطارئة معتمدة مسبقًا.

لقد تعاملت التوجيهات الحكومية بشكل متزايد مع الأجهزة الطرفية كأهداف ذات أولوية للفاعلين المتطورين. الإرشاد المشتركAA24-038Aيصف أنماطًا أوسع يستخدم فيها فاعلون مرتبطون بالدولة أجهزة طرفية وشبكية مخترقة كجزء من حملات الوصول الخفي والعيش على الأرض. هذا الإرشاد ليس تقرير حادث خاص بـ Fortinet. قيمته على مستوى الفئة: الأجهزة التي تعتبرها الشركات بنية تحتية وقائية يمكن أن تكون جذابة على وجه التحديد لأنها موثوقة ومواجهة للإنترنت ويصعب فحصها تشغيليًا.

الآثار المترتبة على المساءلة العامة غير مريحة. المنظمة التي تقول "لقد قمنا بالتصحيح" قد لا تزال تروي قصة غير مكتملة إذا لم تستطع أن تقول "لقد تحققنا مما إذا كان الجهاز قد استخدم قبل التصحيح." بالنسبة لـ VPN أو جدار حماية مواجه للإنترنت، قد يتطلب هذا البيان الثاني سجلات لم يتم الاحتفاظ بها، أو أدوات بائع غير متاحة، أو خبرة لا يمتلكها العميل. يمكن للمورد تقليل هذه الفجوة عن طريق نشر مواد كشف أكثر وضوحًا، وبناء فحوصات سلامة أفضل، والحفاظ على سجلات مفيدة، وجعل تقييم الاختراق أقل اعتمادًا على العمل اليدوي البطولي.

نفس المشكلة تؤثر على المنظمين وشركات التأمين. لا يمكن للمنظم الذي يقيم اختراقًا أن يعتمد فقط على حالة الإصدار الحالية إذا كان الجدول الزمني يظهر فاصل زمني طويل معرض للخطر. لا يمكن لشركة التأمين التي تسعير المخاطر السيبرانية أن تعامل جهازًا مُصححًا على أنه مكافئ لجهاز لم يتعرض أبدًا. لا يمكن لمجلس الإدارة قبول إغلاق من سطر واحد إذا كان فريق الشبكة لا يستطيع إثبات ما إذا أصبح الجهاز الطرفي نقطة دخول. الإصلاح هو إذن ادعاء أدلة مقيد بالوقت، وليس ادعاء تكوين ثابت.

وضوح البائع يجب أن يلبي واقع المشغل

كان لدى Fortinet واجب واضح لنشر الإصدارات الثابتة والتوجيه الفني. كان لدى العملاء واجب واضح لتصحيح الأنظمة المتأثرة. فجوة المساءلة هي ما يحدث في المسافة بين هذه التصريحات. يجب على المشغلين قراءة الإرشاد، وتحديد الإصدارات المتأثرة، وتحديد التعرض، وتخطيط نوافذ التغيير، واختبار التوافق، وإبلاغ وقت التوقف، والتحقق من الترقية، والبحث عن الاختراق، وإبلاغ المخاطر للقيادة. إذا كانت أي خطوة غامضة، أو متأخرة، أو مفوضة دون أدلة، تصبح القصة العامة أنيقة جدًا.

تظهر كتابات الممارسين من Huntress و Rapid7 و Tenable لماذا احتاج المشغلون إلى أكثر من تصنيف CVE. تحليل الثغرة الحرجة من Huntress لـ Fortinetcritical Fortinet FortiGate vulnerability analysis، وإرشاد Rapid7 حول تنفيذ الكود عن بُعد في FortiOSFortinet FortiOS remote code execution advisory، وتحليل Tenable لـ CVE-2023-27997CVE-2023-27997 analysisكلها خدمت الجمهور التشغيلي: ما هو متأثر، ما مدى إلحاحه، ما الذي يجب أن تفعله فرق الأمان، وكيف يجب أن يستجيب المسح أو إدارة التعرض. هذه مصادر ثانوية، لكنها توضح وظيفة سوقية حقيقية. عندما يكافح المشغلون لتحويل إرشادات البائع إلى إجراء، يصبح باحثو الأمان ومنصات التعرض مترجمين.

دور الترجمة هذا مفيد لكنه ليس بديلاً عن مساءلة البائع. يجب أن يفترض بائع منتجات الأمن الطرفي أن العديد من العملاء لن يكون لديهم خبرة عميقة في FortiOS. يجب أن يجعل الإرشاد الاستعجال مفهومًا لمسؤولي أمن المعلومات ومزودي الخدمات المُدارة والمديرين التنفيذيين، وليس فقط للمهندسين. يجب أن يميز بين الميزات المتأثرة والمنتجات المتأثرة. يجب أن يقول متى يكون تعطيل ميزة تحكمًا مؤقتًا معقولاً. يجب أن يحدد أي السجلات والقطع الأثرية مهمة. يجب أن يحدث التوجيه عندما تصبح أنماط الاستغلال أو ما بعد الاستغلال أكثر وضوحًا.

واقع العميل يشمل أيضًا مخاطر التغيير. يمكن أن يؤدي انقطاع جدار الحماية أو VPN إلى حظر الموظفين عن بُعد والمقاولين والفروع والدعم الطارئ. إذا كان المنتج يحمي العمليات الحرجة، يمكن أن تشعر الترقية المتسرعة بالمخاطرة التشغيلية. هذا لا يعفي التأخير. إنه يعني أن حوكمة التصحيح المسؤولة يجب أن تخطط مسبقًا لنوافذ طارئة لأجهزة الأمن الطرفية. الوقت المناسب لتقرير من يمكنه تفويض ترقية FortiGate خارج الدورة هو قبل إصدار إرشاد FortiGuard التالي.

تستحق الجهات المُدارة للخدمات تدقيقًا خاصًا. العديد من العملاء الصغار لا يعرفون أي إصدارات Fortinet يشغلونها. قد لا يكون لديهم حتى وصول إداري مباشر. إذا كان مزود الخدمة المُدارة يتحكم في الجهاز، فإن مزود الخدمة المُدارة يتحكم في المسار العملي من الإرشاد إلى الإصلاح. يجب أن يوفر استجابة مزود الخدمة المُدارة القابلة للدفاع حزمة أدلة موجزة للعميل: معرفات الجهاز، حالة الإصدار المتأثر، حالة التعرض، وقت التصحيح، التخفيفات المؤقتة، فحوصات الاختراق التي تم إجراؤها، عدم اليقين المتبقي، وأي تدوير موصى به لكلمة المرور أو الرمز. بدون هذه الحزمة، قد يضطر العميل إلى الثقة في تأكيد شفهي مع تحمل العواقب القانونية والتشغيلية.

نفس المنطق ينطبق على المشتريات. يجب على المشترين أن يسألوا ما إذا كان البائع يمكنه دعم التصحيح الطارئ عند الحافة. هل يعرض المنتج بيانات مخزون مفيدة؟ هل الترقيات مختبرة وقابلة للعكس؟ هل يتم الاحتفاظ بالسجلات عبر إعادة التشغيل والترقية؟ هل يوفر البائع إرشادات قابلة للقراءة آليًا؟ هل يدعم الجهاز خطوط الأساس للتكوين؟ عمل CISA على خطوط الأساس للتكوين الآمنsecure configuration baselinesوعمل Secure by Design الأوسعSecure by Designذو صلة ليس لأنه يقرر حقائق Fortinet، ولكن لأنه يحدد التوقع بأن موردي التكنولوجيا يجب أن يقللوا عبء التشغيل الآمن بدلاً من نقل كل التعقيدات إلى العميل.

مخزون التعرض هو التحكم الخفي

أهم تحكم من جانب العميل في هذا السجل ليس مجرد "تصحيح أسرع". إنه مخزون التعرض. لا يمكن للشركة تصحيح ما لا يمكنها تحديده. لا يمكنها تعطيل SSL-VPN على جهاز لا تعرف أنه عام. لا يمكنها إخبار المسؤولين التنفيذيين بكم المخاطر المتبقية إذا كانت لا تعرف عدد الأجهزة المتأثرة. اللحظة التي يظهر فيها إرشاد FortiOS حرج، أول سؤال مسؤول هو: أين توجد جميع أجهزة Fortinet الطرفية، ما الخدمات المكشوفة، من يملكها، وأيها عرضة للخطر؟

يبدو هذا عاديًا حتى يحين وقت الطوارئ الحقيقية. قد يتم تثبيت الأجهزة الطرفية من خلال عمليات الاستحواذ، والفروع، والمقاولين، وفرق تكنولوجيا المعلومات الإقليمية، أو مزودي الخدمات المُدارة. قد يكون بعضها مُدارًا رسميًا؛ وقد يكون بعضها الآخر موروثًا. قد يكون بعضها في مناطق ذات تقاويم تغيير مختلفة. قد يخدم بعضها حالات استخدام قديمة للوصول عن بُعد لا يريد أحد لمسها لأنها هشة. هذه هي بالضبط الأنظمة التي تصبح خطيرة عندما يقرأ المهاجم نفس الإرشاد العام الذي يقرأه المدافع.

يجب إذن قراءة سجل CVE-2023-27997 لـ Fortinet كاختبار مخزون. يجب أن تكون المؤسسة الناضجة قادرة على إنشاء قائمة بأسطح FortiGate و FortiOS SSL-VPN المواجهة للإنترنت بسرعة، ومقارنتها بمصفوفة الإصدارات المتأثرة من FortiGuard، وتسجيل كل قرار علاج. قد تكون المؤسسة الأضعف قد أمضت الساعات الحرجة تسأل أي فريق يملك أي جهاز. في حادث طرفي، التأخير الناجم عن عدم اليقين في المخزون ليس عبئًا إداريًا. إنه تعرض.

هذا هو المكان الذي يمكن أن تساعد فيه أدوات التنبؤ بالاستغلال وتحديد الأولويات ولكنها قد تضلل أيضًا. نظام تسجيل التنبؤ بالاستغلال من FIRSTExploit Prediction Scoring Systemيساعد المؤسسات على التفكير في احتمالية الاستغلال. كتالوج KEV من CISA يساعد في تحديد الثغرات ذات الاستغلال المعروف. لكن لا يمكن لأي من الأداتين استبدال التعرض الخاص بالجهاز. درجة EPSS عالية لجهاز غير موجود في بيئتك ليست مشكلتك. ثغرة ذات درجة أقل على جهاز مكشوف مع سجلات ضعيفة قد تكون مشكلة محلية خطيرة. تتطلب المساءلة الجمع بين الإشارات العالمية والحقائق المحلية.

يجب على المسؤولين التنفيذيين طلب أدلة المخزون في شكل يمكنهم فهمه. ليس "نحن نعمل على Fortinet". ليس "الماسح يقول أن معظم الأجهزة معمول بها." الإيجاز المفيد يقول: إجمالي أجهزة Fortinet الطرفية، عدد SSL-VPN المكشوف، عدد المتأثرين، عدد المُصححين، عدد التخفيف، عدد غير المعروف، فحوصات الاختراق المكتملة، الاستثناءات، المالك، الموعد النهائي، والمخاطر المتبقية. قد يكون هذا التقرير قصيرًا. لا ينبغي أن يكون غامضًا.

العدد غير المعروف مهم بشكل خاص. في العديد من الحوادث، تتلقى القيادة ملخصات متفائلة تخفي الجزء من الممتلكات الذي لم يتحقق منه أحد. يجب أن تجعل حالة طوارئ Fortinet المجهولين مرئيين. إذا تعذر الوصول إلى خمسة أجهزة فرعية، فهذه حالة خطر. إذا لم يعد مزود خدمة مُدارة بأدلة، فهذه حالة خطر. إذا تم الكتابة فوق السجلات قبل الفحص، فهذه حالة خطر. غير معروف لا يعني مخترق. إنه يعني أن المنظمة لا تستطيع بعد تقديم ادعاء أقوى.

مسار الضرر يمر عبر العملاء

ضحايا اختراق الجهاز الطرفي ليسوا دائمًا الموظفين المباشرين للبائع. إنهم العملاء الذين تحمي أجهزتهم شبكاتهم، والعمال الذين يعتمدون على الوصول عن بُعد، والمواطنون أو المرضى الذين يخدمهم هؤلاء العملاء، والمنظمات النهائية التي تثق في الاتصالات من البيئة المخترقة. لهذا السبب لا يمكن أن تتوقف سلسلة المساءلة عند عقد Fortinet-العميل.

إذا كان جهاز FortiGate يحمي بلدية صغيرة، يمكن أن يؤثر الاختراق على الخدمات العامة. إذا كان يحمي مزود خدمة مُدارة، يمكن أن ينتقل نصف قطر الانفجار عبر عملاء متعددين. إذا كان يحمي عيادة، يمكن أن يصبح الوصول عن بُعد وخطر الفدية خطر استمرارية المريض. إذا كان يحمي مصنعًا، يمكن أن يصبح عزل الفرع توقفًا للإنتاج. هذه السيناريوهات لا تثبت الضرر في كل تعرض لـ CVE-2023-27997. إنها تفسر لماذا تصحيح الجهاز الطرفي ليس صيانة منخفضة المستوى لتكنولوجيا المعلومات.

يظهر السجل العام من الوكالات الحكومية أيضًا لماذا تجذب الأجهزة الطرفية الاهتمام الوطني. لم تُكتب تنبيهات CISA لـ Fortinet كتسويق للبائع. لقد كتبت لأن البنية التحتية العامة والخاصة تعتمد على العلاج في الوقت المناسب. أدرك الإرشاد الكندي بالمثل أن تعطيل SSL-VPN قد يكون إجراءً مؤقتًا مناسبًا إذا لم تستطع المنظمة التصحيح فورًا. هذا معيار عالٍ للإلحاح: كانت الوكالات تقول بشكل فعال إن الاحتكاك بالتوفر قد يكون مبررًا لتجنب خطر الوصول عن بُعد المكشوف.

يحتاج العملاء إلى إشعار مكتوب لهذا الواقع. درجة CVSS المجردة ليست كافية. الإشعار المفيد يشرح آلية الضرر للعميل: تنفيذ الكود عن بُعد غير المصادق عليه على سطح SSL-VPN مكشوف يمكن أن يعطي المهاجمين طريقًا إلى الأنظمة الداخلية؛ قد تكون الأجهزة عند حدود الثقة؛ التصحيح بعد الاستغلال قد لا يزيل الاستمرار؛ يجب على المسؤولين الحفاظ على السجلات وتقييم الاختراق. هذا النوع من الشرح يساعد صانعي القرار غير المتخصصين على تفويض الإجراء التخريبي.

نفس النقطة تنطبق على عقود العملاء. غالبًا ما يُباع جهاز الأمن المُدار مع وعود وقت التشغيل والدعم والحماية. أثناء ثغرة حرجة، يمكن أن تتعارض هذه الوعود. قد يعني الحفاظ على الخدمة قيد التشغيل ترك ميزة خطرة مكشوفة. قد يحمي إيقاف تشغيلها الشبكة لكنه يضر بالعمليات. يجب ألا يترك العقد الجيد العميل في حيرة من أمره بشأن من لديه السلطة لتعطيل الوصول عن بُعد، ومن يدفع مقابل العمل الطارئ، وكيف يتم تسليم الأدلة، وماذا يحدث إذا لم يستطع مزود الخدمة المُدارة التصحيح في الوقت المحدد.

يجب أن يكافئ السوق الموردين الذين يجعلون الأدلة الطارئة أسهل. يجب أن يكون العملاء قادرين على تصدير حالة الجهاز، وتأكيد الإصدارات الثابتة، وتلقي إرشادات موقعة، وتشغيل فحوصات السلامة، والحفاظ على السجلات ذات الصلة، وإثبات أن الاستثناءات قد أغلقت. هذه الميزات ليست مبهرجة، لكنها تقصر المسار من CVE العام إلى الإصلاح القابل للدفاع.

ما يمكن لـ Fortinet إثباته وما لا يزال العملاء بحاجة لإثباته

يمكن لـ Fortinet إثبات أنها نشرت إرشادات، وحددت الإصدارات المتأثرة، وأصدرت إصلاحات، وحدّثت التوجيه العام. مواد FortiGuard و PSIRT هي أدلة على ذلك. يمكن لـ CISA والوكالات الأخرى إثبات أنها ضاعفت الإلحاح. يمكن لـ NVD توفير سجل عام للثغرة. يمكن لباحثي التهديد توفير ترجمة تشغيلية. لا يمكن لأي من هذه المصادر إثبات حالة كل جهاز عميل.

هذا التمييز مهم للمساءلة العادلة. العميل الذي فشل في تصحيح جهاز مكشوف بعد توجيه واضح يتحمل مسؤولية ذلك القرار المحلي. لكن إذا كان التوجيه صعب الفهم، إذا كان تحديد الإصدار المتأثر غامضًا، إذا كانت مواد الكشف متأخرة أو غير مكتملة، أو إذا كان مسار الترقية محفوفًا بالمخاطر عمليًا، فإن سيطرة المورد تظل ذات صلة. الهدف ليس تحويل كل اللوم إلى Fortinet. الهدف هو تحديد أين كان لكل فاعل سيطرة عملية.

سجل الإصلاح القوي للعميل يجب أن يتضمن ثماني قطع من الأدلة على الأقل. أولاً، مخزون أجهزة Fortinet والخدمات المكشوفة. ثانيًا، تحديد الإصدارات المتأثرة. ثالثًا، طوابع زمنية للتصحيح أو التخفيف. رابعًا، دليل على أن SSL-VPN أو التعرض الإداري تم تقليله حيثما لزم الأمر. خامسًا، السجلات والمؤشرات التي تمت مراجعتها للاختراق. سادسًا، تدوير بيانات الاعتماد والرموز عندما تطلب الجدول الزمني ذلك. سابعًا، استثناءات مع المالكين والمواعيد النهائية. ثامنًا، إشعار العميل أو صاحب المصلحة حيث كان الجهاز يحمي أطرافًا خارجية.

سجل الإصلاح القوي للبائع يجب أن يتضمن أدلة تكميلية. يجب أن يكون الإرشاد واضحًا ومُحدثًا. يجب أن تكون الإصدارات الثابتة متاحة ومستقرة. يجب أن يكون توجيه الكشف وتقييم الاختراق محددًا. يجب أن يفهم دعم العملاء الفرز الطارئ. يجب أن يقلل تصميم المنتج التعرض افتراضيًا حيثما أمكن. يجب أن يتناول ضمان الإصدار المستقبلي فئة الثغرة، وليس فقط CVE واحد. يجب على البائع أيضًا فحص ما إذا كانت القياسات عن بُعد، أو الإرشادات القابلة للقراءة آليًا، أو أدوات فحص السلامة يمكن أن تقلل من عدم يقين العميل في المرة القادمة.

للهيئات الحكومية والقطاعية دورها الخاص. يمكن لـ CISA تحديد إلحاح العلاج من خلال مواعيد KEV النهائية للوكالات الفيدرالية المدنية والتنبيهات العامة. يمكن للمراكز الوطنية للأمن السيبراني ترجمة المخاطر للمشغلين المحليين. يمكن للمنظمين القطاعيين أن يسألوا ما إذا كان مزودو الخدمات الحرجة قد قاموا بالفعل بتصحيح وفحص الأجهزة المكشوفة. لكن يجب على المنظمين توخي الحذر حتى لا يحولوا الامتثال للتصحيح إلى خانة اختيار. السؤال الحقيقي هو ما إذا كان المسار المعرض للخطر موجودًا، وما إذا تم استغلاله، وما إذا كانت الأدلة جيدة بما يكفي لدعم الإجابة.

لهذا السبب تهم تحذيرات ما بعد الاستغلال حتى عندما تصل بعد وقت طويل من الإرشاد الأصلي. إنها تكشف ضعف الإصلاح أحادي البعد. الجهاز الذي يتم تصحيحه اليوم قد يكون كان موطئ قدم للمهاجم أمس. مجلس الإدارة الذي يريد المساءلة يجب أن يسأل عن الجدول الزمني بأكمله، وليس فقط حالة البرامج الثابتة الحالية.

سجل الإغلاق يجب أن يميز بين التعرض والإصلاح

الدرس الأخير من Fortinet هو أن سجل التصحيح ليس نفس سجل التعرض. يحتاج العملاء إلى معرفة أي الأجهزة كانت موجودة، وأيها كانت مواجهة للإنترنت، وأيها تم تصحيحه، وأيها أظهر نشاطًا مشبوهًا، وأي بيانات الاعتماد تم تدويرها، وأي استثناءات بقيت. حالة "مُعالج" واحدة يمكن أن تخفي جهازًا كان مكشوفًا لأشهر قبل الإصلاح. السجل الأقوى يفصل بين التعرض والعلاج والفحص واستعادة الثقة.