الخلاصة

  • تعترف Ivanti في مقال قاعدة المعرفة الخاص بها بأن Integrity Checker Tool ليس إلا لقطة للحالة الآنية للجهاز، وقد لا يكشف نشاط المهاجم إذا أُعيد الجهاز إلى حالة نظيفة، وتوصي بإعادة الضبط إلى إعدادات المصنع قبل تركيب الترقية.
  • ويذهب التنبيه المشترك AA24-060B أبعد: فالمهاجمون قادرون على خداع أداة الفحص الداخلية والخارجية على حد سواء، وخلص بحث مختبري أجرته CISA إلى أن الثبات على مستوى root يبقى ممكنًا رغم إعادة الضبط إلى إعدادات المصنع.

التنازل الأول مكتوب في وثيقة التشغيل الخاصة بالمورّد، وهو ليس خطوة إلى الوراء واحدة بل خطوتان. فبخصوص CVE-2023-46805 وCVE-2024-21887 في بوابات Ivanti Connect Secure وIvanti Policy Secure، كتبت الشركة: “We have seen evidence of threat actors attempting to manipulate Ivanti's internal integrity checker (ICT). Out of an abundance of caution, we are recommending that all customers run the external ICT.” أي أن أداة الفحص التي تعمل داخل الجهاز صارت هي نفسها هدفًا، والأداة «الأفضل نسبيًا» أصبحت أداة ثانية تُشغَّل من الخارج (مقال قاعدة المعرفة لدى Ivanti).

التنازل الثاني أحدّ، لأنه لا يتحدث عمّا يستطيع أحد فعله بالأداة بل عمّا لا تستطيع الأداة فعله: “The ICT is a snapshot of the current state of the appliance and cannot necessarily detect threat actor activity if they have returned the appliance to a clean state.” لقطة للحاضر لا تشهد على ماضٍ رُتِّب بعناية. وقراءة نتيجة الفحص كأنها تصريح عن تاريخ الجهاز، لا عن لحظة الفحص، خطأ في قراءة الأداة — والمورّد نفسه هو من سمّى هذا الخطأ قبل أن يسمّيه أحد ضده.

والجملة الثالثة كان يفترض أن تُنهي نقاش الشراء: “Ivanti recommends as a best practice that all customers with a hardware appliance factory reset their appliance before applying the patch to prevent the threat actor from gaining upgrade persistence in your environment.” من يظن أن الترقية والفحص يكفيان لا يطلب من عميله محو الجهاز. ووصفة إعادة الضبط قبل الترقية تُكتب تحديدًا حين يُشتبه في أن طبقة لا تراها الأداة قد مُسّت.

التنبيه المشترك يقول الشيء ذاته من الجهة الأخرى للطاولة، وبثقل أكبر: “Of particular concern, the authoring organizations and industry partners have determined that cyber threat actors are able to deceive Ivanti's internal and external Integrity Checker Tool (ICT), resulting in a failure to detect compromise.” لاحظ النطاق: الداخلية والخارجية معًا. فالانتقال إلى «الأداة الخارجية» الذي اقترحه مقال المورّد يدخل بالكامل في الجملة التي يتحدث فيها الموقّعون عن الخداع (التنبيه الأمني المشترك AA24-060B).

والجملة التالية تُغلق الدائرة: “In addition, CISA has conducted independent research in a lab environment validating that the Ivanti ICT is not sufficient to detect compromise and that a cyber threat actor may be able to gain root-level persistence despite issuing factory resets.” ثبات على مستوى root يبقى ممكنًا حتى بعد الإجراء الذي ما زال المورّد يسمّيه ممارسة أفضل. لا خلاف هنا بين طرفين: توصية المورّد أن يُعاد الضبط قبل الترقية، ونتيجة البحث في التنبيه أن الضبط لا يكفي. الأولى لا تنفي الثانية؛ بل إن سبب التوصية بإعادة الضبط هو بالضبط الاقتناع بأن نتيجة الفحص لا تصلح دليلًا.

التسلسل الزمني يحتاج من العناية مثل ما تحتاجه الأداة. فبحسب صفحة أرشيف FedRAMP التابعة لـ General Services Administration (GSA)، أصدرت Cybersecurity and Infrastructure Security Agency (CISA) في Department of Homeland Security (DHS) التوجيه الطارئ Emergency Directive 24-01 يوم الجمعة 19 كانون الثاني/يناير 2024، ثم أصدرت Supplemental Direction v1 يوم الأربعاء 31 كانون الثاني/يناير 2024، وتذكر الصفحة ذاتها أن التوجيه التكميلي حلّ محل required action 4 في التوجيه (صفحة ED 24-01 في أرشيف FedRAMP، صفحة Supplemental Direction v1). أما نص التوجيه نفسه فلم يُقرأ: التواريخ وحلول التوجيه التكميلي محلَّ الفعل المطلوب مستمدة من صفحة الأرشيف، وصفحة ED 24-01 تعرض في ترويستها تاريخ 18 كانون الثاني/يناير بينما يقول متنها 19 كانون الثاني/يناير، وهذا المقال يعتمد المتن. ولم يتسنَّ قراءة الصفحات الرسمية لدى CISA (ED 24-01، Supplemental Direction v1). لذلك لا يزعم هذا المقال ما أمرت به تلك الوثائق؛ يُثبَت فقط التاريخان وواقعة أن required action 4 استُبدل. أما التنبيه المشترك فيُستشهد به بمعرّفه AA24-060B لأن تاريخ نشر حرفيًا لم يتأكد. ومقال المورّد يحمل معرّفات إصدار متغيرة، فلا يُنسب إليه تاريخ نشر أو مراجعة.

الخلل هنا في القياس لا في الانتباه. الأداة تعمل على الجهاز وترفع تقريرًا عن نظام ملفاته هو. وحين يستطيع أحدهم التعديل على تلك الملفات وضبط طوابع الوقت وإعادة تركيب قسم التشغيل، تصبح نتيجة «لا شيء» منتَجًا للبيئة نفسها الخاضعة للفحص. ومن هنا يأتي الضابط العملي الوحيد: ألا يعتمد ادعاء النظافة على الأداة موضع التشكيك وحدها، وأن يذكر سجل المعالجة ما أُعيد بناؤه أو ما أُعيد تحميله بصورة جديدة، لا ما مُسح ضوئيًا. ويبقى أمام مجلس الإدارة سؤال واحد يُطرح على المورّد: ما الدليل على نظافة الحالة الذي لا يمر عبر الأداة المشكوك فيها؟

لا يقدّم هذا المقال عددًا للأجهزة، ولا نسبة للنتائج السلبية الخاطئة، ولا ما فعلته أي جهة لاحقًا. ما يقدّمه أن وثيقتين من الطرف الأول سجّلتا، بكلماتهما، حدّ الأداة التي قدّمتاها — ومعها التواريخ. نتيجة الفحص أشبه بصورة لغرفة التقطتها كاميرا مثبتة داخل الغرفة: قد تكون الصورة متقنة، لكن ما ليس فيها لا تحسمه الصورة.