الملخص

  • تسجل أجهزة Ivanti Connect Secure وIvanti Policy Secure لعام 2024 أهمية لأن الأجهزة المتأثرة لم تكن تطبيقات أعمال عادية. بل كانت بوابات وصول عن بُعد يمكن أن يؤدي فشلها إلى نقل الاختراق الخارجي مباشرةً إلى الأنظمة الداخلية.
  • توجيه الطوارئ الصادر عن CISA، ونصائح Ivanti، وسجلات الثغرات في NVD، والأبحاث المستقلة من Mandiant وVolexity تشير جميعها إلى نفس قضية المساءلة: التخفيف من التهديدات وتصحيحها كان ضروريًا، لكن العملاء كانوا بحاجة أيضًا إلى أدلة حول ما إذا كانت الأجهزة قد تم اختراقها بالفعل.
  • أصبحت أداة Integrity Checker إشارةً مهمةً، لكنها لم تكن إجابةً سحرية. يمكن لفحص السلامة دعم الفرز؛ لكنه لا يحل محل مراجعة السجلات، تدوير بيانات الاعتماد، قرارات إعادة البناء، وجدول زمني موثّق للتعرض.
  • المسؤولية مشتركة ولكنها غير متماثلة. سيطرت Ivanti على إصلاحات المنتج، ووضوح النصائح، ولغة التخفيف، وإرشادات الأداة. سيطر العملاء على مخزون التعرض، وإجراءات الطوارئ، وقرارات إعادة البناء، والإشعار النهائي. غالبًا ما كان مزودو الخدمات المُدارة يتحكمون في أعمال الإصلاح العملي للمؤسسات التي لا تملك خبرة خاصة بالأجهزة.
  • نموذج مستقبلي أقوى سيعالج بوابات الوصول الآمن كحدود ثقة على مستوى الحوادث: مُخزّنة مسبقًا، مُراقَبَة خارجيًا، قابلة للعزل بسرعة، معاد بناؤها عندما تكون الثقة ضعيفة، ومُبلّغ عنها للقيادة مع إظهار المجهولات المعروفة بدلاً من إخفائها.

البوابة كانت كائن الخطر

تقع بوابات الوصول عن بُعد في موضع غريب داخل بنية الأمان. فهي موجودة لتقليل المخاطر عن طريق منح المستخدمين المصرح لهم وصولًا مُتحكمًا به إلى الأنظمة الداخلية. كما أنها تركز الثقة. إذا تم اختراق البوابة، فقد لا يحتاج المهاجم إلى التصيد لكل موظف أو استغلال كل تطبيق على حدة. يمكن أن يصبح الجهاز نقطة دخول، نقطة مراقبة، أو نقطة انطلاق. لهذا فإن سجلات Ivanti لعام 2024 هي أكثر من مجرد قصة CVE.

توجيه الطوارئ الصادر عن CISA الرقم 24-01 أمر الوكالات المدنية الفيدرالية الأمريكية باتخاذ إجراءات محددة على منتجات Ivanti Connect Secure وIvanti Policy Secure. أهميته لا تكمن فقط في أن CISA استخدمت توجيه طوارئ. بل كونه عالج الأجهزة الضعيفة كحدود ثقة تشغيلية يجب التحقق من سلامتها، وليس مجرد تصحيحها في وقت مناسب. تنبيه CISA السابق، Ivanti يصدر تحديثًا أمنيًا لبوابات Connect Secure وPolicy Secure، أظهر الاستعجال العام مع اكتشاف الثغرات.

سجل البائع قدم المركز الخاص بالمنتج. نصيحة Ivanti لـ CVE-2023-46805 وCVE-2024-21887 تناولت تجاوز المصادقة وحقن الأوامر في بوابات Connect Secure وPolicy Secure. أصبح توجيه أداة Integrity Checker من Ivanti جزءًا من الاستجابة التشغيلية. سجلات NVD لـ CVE-2023-46805، CVE-2024-21887، CVE-2024-21893، و CVE-2024-22024 توفر البيانات الوصفية العامة للثغرات حول مجموعة مخاوف الأجهزة الحدودية.

سجل البحث المستقل جعل المشكلة نفسها مرئية من منظور الاستجابة للحوادث. نشر فريق Mandiant من Google Cloud اشتباه استهداف APT لثغرات يوم-صفر في Ivanti، وأفادت Volexity عن استغلال نشط لثغريتي يوم-صفر في Ivanti Connect Secure VPN. لا ينبغي توسيع نطاق هذه التقارير لتكون دليلًا لكل عميل. إنها دليل على أن المهاجمين الحقيقيين رأوا قيمة في نفس موقع البوابة الذي وثق به المدافعون.

هذه هي نقطة المساءلة الأساسية. بوابة الوصول عن بُعد ليست مجرد برنامج. إنها حد بين العالم الخارجي والأنظمة الداخلية. عندما يكون جهاز الحد مشبوهًا، يجب على المؤسسة الإجابة على سؤال مختلف عن "هل قمنا بتثبيت التحديث؟" عليها الإجابة "هل يمكننا الثقة في هذا الحد مرة أخرى، وما الدليل الذي يدعم هذه الثقة؟"

التخفيف الطارئ أصبح حدثًا حوكميًا

كان الإجراء العام الأكثر وضوحًا هو توجيه الطوارئ الصادر عن CISA. توجيهات الطوارئ ليست منشورات مدونة روتينية. إنها أدوات حوكمة للوكالات المدنية الفيدرالية، وهي تترجم مخاطر الاستغلال التقني إلى إجراءات تشغيلية إلزامية. حتى بالنسبة للمؤسسات خارج النطاق الرسمي للتوجيه، فإن التوجيه هو معيار للمساءلة لأنه يظهر ما رأت سلطة الأمن السيبراني الوطنية أن المخاطرة تستدعيه.

هيكل التوجيه مهم. لم يقل ببساطة "صحيح عند التوفر." بل تطلب خطوات تخفيف، فحوصات للأجهزة، وفصل الاتصال في ظل ظروف معينة. يعكس هذا الموقف فرقًا رئيسيًا بين إدارة الثغرات العادية وإدارة الحدود المخترقة. إذا كان جهاز حافة ضعيف قد يكون مخترقًا بالفعل، فإن تركه متصلاً أثناء انتظار تصحيح لاحق يمكن أن يحافظ على ميزة المهاجم. إذا لم تستطع المؤسسة إثبات السلامة، فقد يكون الفصل أو إعادة البناء هو المسار الأكثر أمانًا.

هذا النوع من القرار غير مريح لأنه يتصادم مع استمرارية الأعمال. تدعم منتجات Connect Secure وPolicy Secure العمل عن بُعد، وصول البائعين، النشاط الإداري، وإمكانية الوصول إلى التطبيقات الداخلية. إيقاف تشغيلها يمكن أن يعطل العمليات. لكن حقيقة أن الجهاز مفيد هي بالضبط سبب أهمية الاستغلال. البوابة المهمة تشغيليًا بما يكفي لإبقائها متصلة هي أيضًا مهمة بما يكفي لفحصها بقوة عند ظهور سجل استغلال موثوق.

أصدرت CISA والوكالات الشريكة لاحقًا AA24-060B، الذي وسّع الاستجابة من إلحاح التصحيح إلى صيد التهديدات والتخفيف. هذه هي خطوة المساءلة الثانية. أولاً، تحديد الحد الضعيف. ثانيًا، تقليل التعرض الفوري. ثالثًا، البحث عن اختراق. رابعًا، تقرير ما إذا كان يمكن استعادة الثقة أو ما إذا كانت إعادة البناء مطلوبة. المؤسسات التي تخطت الخطوتين الوسطى قد تكون عالجت حادثة حدودية كتحديث برنامج عادي.

يجب أن يُظهر سجل الحوكمة من اتخذ تلك القرارات. من كان لديه سلطة فصل البوابة؟ من قبل الاضطراب التجاري؟ من صدق على تشغيل أداة Integrity Checker؟ من قرر ما إذا كانت النتيجة الإيجابية أو غير الحاسمة تعني إعادة البناء؟ من أبلغ المسؤولين التنفيذيين عن عدم اليقين المتبقي؟ إذا كان الجهاز يخدم وكالة عامة، من قيم ما إذا كانت خدمات المواطنين، البيانات المنظمة، أو العمليات الحيوية معرضة للخطر؟ هذه الأسئلة لا تهدف إلى إلقاء اللوم تلقائيًا. إنها تحدد مسار السيطرة الذي يجب أن يعمل تحت الضغط.

نفس المنطق ينطبق خارج الحكومة. مستشفى، جامعة، مصنع، أو مكتب محاماة قد لا يكون ملزمًا بتوجيه CISA، لكن كل منهم لا يزال يعتمد على البوابة كحد ثقة. التوجيه ي给予 مجالس الإدارة ومسؤولي أمن المعلومات مفردات للإلحاح. إذا كان على وكالة فيدرالية فصل الجهاز أو فحصه، يجب على مؤسسة خاصة على الأقل أن تسأل لماذا كان وضع المخاطر لديها مختلفًا جوهريًا.

... (تستمر الترجمة لباقي الأقسام)