جعلت Microsoft Exchange التصحيح الطارئ اختبارًا للمساءلة في الإصلاح طويل الأمد

ملخص

• أصبحت ProxyLogon اختبارًا طويل الأمد لمساءلة الإصلاح لأن Microsoft تمكنت من نشر تصحيحات طارئة بسرعة، لكن مالكي الخوادم فقط هم من يمكنهم إثبات اكتشاف مثيلات Exchange Server المكشوفة وتحديثها وفحصها وتنظيفها ومراقبتها بعد الاستغلال.
• مورد MSRC التابع لـ Microsoft،إصدار تحديثات أمان متعددة لخادم Exchange، ومنشور الأمان التابع لـ MicrosoftHAFNIUM يستهدف خوادم Exchangeيوثقان إشعار البائع وسجل الإسناد الأولي.
• توجيه الطوارئ 21-02 الصادر عن CISAتوجيه الطوارئ 21-02، وتنبيه CISAمارس 2021، ونشرة AA21-062AAA21-062A advisoryتظهر لماذا كانت هذه مشكلة استمرارية للقطاع العام، وليس مجرد حدث دعم للمنتج.
• السجلات الأربعة للثغرات،CVE-2021-26855،CVE-2021-26857،CVE-2021-26858، وCVE-2021-27065، تشرح لماذا كان على المدافعين معالجة السلسلة كخطر للدخول والثبات في آن واحد.
• عملية إزالة القشرة الويب بإذن من المحكمة التابعة لوزارة العدلعملية إزالة القشرة الويبأظهرت المخاطر المتبقية غير المعتادة: الإجراء الحكومي أزال قشورًا ويب ضارة مختارة من خوادم معينة، لكن التصحيح والتحقيق ومراجعة بيانات الاعتماد والتنظيف الأوسع لا يزال يقع على عاتق مالكي الخوادم.

التصحيحات الطارئة لا تؤدي إلى إصلاح فوري

بدأت حالة طوارئ Exchange Server بوعد مألوف: قم بتثبيت التحديث. منشور MSRC التابع لـ Microsoft، إصدار تحديثات أمان متعددة لخادم Exchange، أخبر العملاء بتصحيح إصدارات Exchange Server المحلية المتأثرة. منشور الأمان التابع لـ Microsoft، HAFNIUM يستهدف خوادم Exchange، وصف استغلال Exchange Server المحلي، وأدرج CVE-2021-26855 وCVE-2021-26857 وCVE-2021-26858 وCVE-2021-27065، وقال إن Exchange Online لم يتأثر. كانت تلك اتصالات بائع ضرورية وعاجلة.

لكن مشكلة المساءلة بدأت اللحظة التي تم فيها شحن التصحيحات. توفر التصحيح هو إجراء من البائع. الإصلاح هو نتيجة للنظام البيئي. بالنسبة لـ Exchange Server المحلي، يجب على المالك معرفة أن الخادم موجود، ومعرفة أنه مكشوف، ومعرفة الإصدار، وتثبيت التحديثات التراكمية المطلوبة إذا لزم الأمر، وتطبيق التحديث الأمني، والتحقق من الاستغلال، وإزالة القطع الأثرية، ومراجعة التعرض للبريد وبيانات الاعتماد، ومراقبة الثبات، وإبلاغ المخاطر. يمكن أن تمتد هذه العملية إلى ما بعد تاريخ الإصدار بكثير.

لذلك فإن ProxyLogon ليست مجرد قصة عن الكشف عن الثغرات. إنها قصة عن الإصلاح طويل الأمد. غالبًا ما تكون خوادم البريد الإلكتروني المحلية قديمة وحيوية للأعمال ومخصصة وتديرها مؤسسات ذات طاقم أمني غير متساو. قد تعتمد الوكالات العامة والمدارس والشركات الصغيرة والمنظمات غير الربحية والبلديات وعملاء الخدمات المدارة على Exchange بينما تفتقر إلى قدرة استجابة سريعة للحوادث. التصحيح الطارئ في تلك البيئة ليس زرًا. إنه حملة تشغيلية.

منشور فريق Exchange التابع لـ Microsoft، تم الإصدار: تحديثات أمان خادم Exchange لشهر مارس 2021، قدم سياق التثبيت للإصدارات المدعومة وحالات التحديث التراكمي. هذا السياق مهم لأن بعض المؤسسات لم تكن على بعد تحديث بسيط من السلامة. كان عليهم أولاً فهم حالة الخدمة. كلما كان مسار التحديث أكثر تعقيدًا، زادت احتمالية بقاء الخوادم الضعيفة مكشوفة خلال النافذة الحرجة.

الدرس ليس أن Microsoft وحدها يمكنها تصحيح كل خادم. لم تستطع. الدرس هو أن البائع الذي لديه منتج محلي منتشر على نطاق واسع يتحمل مسؤولية جعل الإصلاح الطارئ ممكنًا: مسارات تحديث واضحة، وتخفيفات، ونصوص كشف، وإرشادات للمستجيبين، واتصالات مع العملاء، وتغييرات لاحقة في المنتج تقلل من فرصة بقاء الخوادم غير المصححة طويلة الأمد غير مرئية.

ProxyLogon جمعت بين الدخول وتنفيذ الكود والثبات

كانت سلسلة الثغرات خطيرة لأنها يمكن أن تنتقل من الوصول الأولي إلى تنفيذ الكود وكتابة الملفات. سجلات NVD لكل من CVE-2021-26855، CVE-2021-26857، CVE-2021-26858، و CVE-2021-27065 توثق عائلة الثغرات في السجلات العامة. إرشادات المستجيبين من Microsoft، إرشادات للمستجيبين للتحقيق في ثغرات Exchange Server المحلية ومعالجتها، شرحت كيف يمكن ربط الثغرات، وكيف تم زرع القشور الويب، ولماذا يحتاج المستجيبون إلى التحقيق بما يتجاوز التصحيح.

هذه النقطة الأخيرة هي مركز سجل المساءلة. بمجرد وجود قشرة ويب، فإن تصحيح الثغرة لا يزيل القشرة الويب. بمجرد أن يقرأ المهاجم البريد الإلكتروني أو ينظم أدوات، فإن التصحيح لا يحدد ما تم أخذه. بمجرد احتمال تعرض بيانات الاعتماد، فإن التصحيح لا يقوم بتدويرها. بمجرد استخدام الخادم كنقطة انطلاق، فإن التصحيح لا يثبت أن بقية البيئة نظيفة.

لهذا السبب تعتبر إرشادات التخفيف الطارئ مهمة. صفحة MSRC الخاصة بـ Microsoft حول تخفيفات ثغرات Exchange Server قدمت موارد الكشف والتخفيف. النشرة الاستشارية PDF لوكالة الأمن القومي NSA، تخفيف ثغرات Microsoft Exchange Server، قدمت إرشادات تقنية فيدرالية. نشرة CISA AA21-062A قدمت تعليمات التخفيف والكشف والمعالجة. تظهر هذه السجلات التسلسل المتوقع: التصحيح، التحقيق، التنظيف، المراقبة.

أضافت تقارير شركات الأمن ملاحظات عملية. تقرير Volexity الاستغلال النشط وصف الاستغلال ونشاط القشرة الويب الذي لوحظ قبل إصدار التصحيح العام. تحليل ثغرات Exchange Server من Palo Alto Networks Unit 42 تحليل ثغرات Exchange Server و كتابة الثغرات من Tenable كتابة الثغرات ساعدت المدافعين على فهم السلسلة. السياق الأقدم لـ Mandiant حول China Chopper لا يزال نشطًا يساعد في شرح سبب استمرار ثبات القشرة الويب لفترة طويلة. هذه ليست سجلات ضحايا عالمية، لكنها تدعم مشكلة الاستجابة العملية.

سؤال الإصلاح الخاضع للمساءلة بسيط: بعد التحديث، هل يمكن لكل مؤسسة إثبات عدم وجود قشرة ويب متبقية، أو ثبات نشط، أو مسار تعرض لبيانات الاعتماد، أو وصول غير مدروس إلى صندوق البريد؟ إذا لم يكن الأمر كذلك، فقد تم تصحيح الخادم ولكن لم يتم إصلاحه بالكامل.

كان على الوكالات العامة التحرك بشكل أسرع من المشتريات العادية

توجيه الطوارئ 21-02 الصادر عن CISA، تخفيف ثغرات منتج Microsoft Exchange المحلي، طلب من الوكالات التنفيذية المدنية الفيدرالية تحديد الأنظمة المتأثرة، وفصلها أو تحديثها فورًا، والإبلاغ عن الحالة. تنبيه CISA 3 مارس أعلن عن التوجيه وحذر من الثغرات. يُظهر هذا الإجراء الفيدرالي مدى سرعة تحول حادثة Exchange إلى مشكلة استمرارية للقطاع العام.

البريد الإلكتروني الحكومي ليس تطبيقًا عامًا. إنه يحمل اتصالات الناخبين، وأعمال السياسات، والتحقيقات، والمشتريات، وتنسيق الصحة العامة، وإدارة المدارس، وإدارة الطوارئ. إذا تم اختراق خادم Exchange المحلي، فقد يشمل الضرر السرية والثقة التشغيلية والاستمرارية. لا تستطيع الوكالات ببساطة انتظار نوافذ الصيانة العادية عندما تكون القشور الويب قد تكون موجودة بالفعل.

تكشف التوجيهات الطارئة أيضًا عن العبء التشغيلي للمخزون. للامتثال، كان على الوكالات معرفة مكان وجود خوادم Exchange. تصبح تكنولوجيا المعلومات الخفية والبيئات القديمة ونماذج الاختبار والخوادم المنسية مسؤوليات في مثل هذه اللحظات. السؤال الأول ليس "هل يمكننا التصحيح؟" بل "هل نعرف كل نظام يحتاج إلى تصحيح؟" تعتمد مساءلة القطاع العام على أن يكون هذا المخزون محدثًا قبل الطوارئ.

إدخال كتالوج الثغرات المستغلة المعروفة لـ CISA لـ CVE-2021-26855 لاحقًا أدمج الثغرة في نظام تأديبي فيدرالي أوسع. يساعد علاج KEV في تقليل فرصة أن تتعامل الوكالات مع الثغرات المستغلة كتراكم عادي. لكن الكتالوج لا يمكنه تنظيف الخادم. إنه يحدد الاستعجال. لا تزال الوكالات بحاجة إلى القدرة التشغيلية.

درس القطاع العام أوسع من الوكالات الفيدرالية. غالبًا ما تدير حكومات الولايات والحكومات المحلية والمدارس وهيئات الصحة العامة والمقاولون العموميون بريدًا إلكترونيًا محليًا أقدم. قد يكون لديهم فرق أصغر ومشتريات أبطأ. يمكن أن يكشف تصحيح Exchange الطارئ عن فجوات في إدارة الأصول، وتسجيل الدخول، وعقود الاستجابة للحوادث، وعقود الخدمات المدارة، وإجراءات النسخ الاحتياطي. حولت ProxyLogon تلك الفجوات إلى أسئلة حول المخاطر العامة.

ملاحظة حول الطباعة

أظهرت عملية إزالة القشرة الويب من FBI مدى غرابة البقايا

أبرز دليل عام على المخاطر طويلة الأمد كان إعلان وزارة العدل في أبريل 2021 عن جهد بإذن من المحكمة لتعطيل استغلال Microsoft Exchange Server، المنشور باسم وزارة العدل تعلن عن جهد بإذن من المحكمة. وقال الإعلان إن FBI نسخ وأزال القشور الويب من مئات أجهزة الكمبيوتر الضعيفة في الولايات المتحدة. إشعار الصناعة الخاصة الصادر عن FBI إشعار الصناعة الخاصة وصف العملية والإرشادات المستمرة.

يجب قراءة هذه العملية بشكل ضيق وجاد. لم تقم بتصحيح الخوادم. لم تزيل كل أثر محتمل. لم تقرر أن البيئات نظيفة. أزالت قشور ويب مختارة في عملية بإذن من المحكمة من أنظمة معينة. هذا القصور هو بالضبط سبب أهمية العملية. كانت بقايا الاستغلال خطيرة بما يكفي لدرجة أن جهات إنفاذ القانون سعت للحصول على سلطة إزالة القطع الأثرية من الأنظمة الخاصة، مع ترك المالكين مع بقية عبء الإصلاح.

كشف الإجراء عن حقيقة مؤلمة: بعض مالكي الخوادم لم يزيلوا القشور الويب بأنفسهم. ربما لم يكونوا يعلمون أنهم تعرضوا للاختراق. ربما كانوا يفتقرون إلى المهارة أو الأدوات أو الوقت أو الوعي. ربما قاموا بالتصحيح ولكن لم ينظفوا. ربما كانوا مؤسسات صغيرة ليس لديها فريق استجابة للحوادث. حولت بقايا القشرة الويب حالة طوارئ برمجية إلى إجراء حكومي غير عادي لتعطيل العمل.

بالنسبة للمساءلة، تقدم عملية وزارة العدل نقطتين في وقت واحد. أولاً، تتدخل السلطات العامة أحيانًا عندما يخلق فشل التنظيف الخاص خطرًا مستمرًا. ثانيًا، هذا التدخل لا يعفي مالكي الخوادم أو النظام البيئي للبائع من بناء مسارات إصلاح أفضل. تشير الحاجة إلى مثل هذه العملية إلى أن إرشادات التصحيح وأدوات التخفيف والإخطار ودعم الخدمات المدارة لم تصل إلى كل بيئة ضعيفة بالسرعة الكافية.

يجب أن يتضمن معيار الإصلاح طويل الأمد دليلاً على أن التصحيح وإزالة القطع الأثرية مرتبطان. لا ينبغي لمالك الخادم أن يكون قادرًا على وضع علامة على الحادثة على أنها مغلقة بعد تثبيت تحديث إذا لم يتم فحص مسارات القشرة الويب المعروفة. لا ينبغي لمزود الخدمة المدارة أن يعامل بيئات العملاء على أنها مصححة ما لم يتم أيضًا معالجة تقييم الاختراق. يجب على البائع تصميم إرشادات طارئة بحيث يكون الفرق بين التصحيح والتنظيف لا لبس فيه.

ورثت المؤسسات الصغيرة متطلبات استجابة من مستوى المؤسسات

كانت ProxyLogon صعبة بشكل خاص للمؤسسات الصغيرة والمتوسطة لأن Exchange Server يمكن أن يكون حيويًا للمهمة دون أن يكون موظفًا بشكل احترافي على نطاق المؤسسات. قد تعتمد شركة محاماة صغيرة، أو مكتب حكومي محلي، أو مدرسة، أو عيادة، أو مصنع، أو منظمة غير ربحية على Exchange المحلي لأنه تم تثبيته قبل سنوات، أو مدمج مع سير العمل، أو يديره مزود تكنولوجيا معلومات صغير. عندما يحدث استغلال طارئ، تحتاج تلك المؤسسة فجأة إلى استجابة على مستوى المؤسسات.

يجب عليها تحديد الخادم، وتحديد التعرض، وتطبيق التحديثات، وتشغيل نصوص الكشف، ومراجعة سجلات IIS، وفحص الملفات المشبوهة، وتقييم الوصول إلى صندوق البريد، وتدوير بيانات الاعتماد، ومراقبة الثبات، والتواصل مع المستخدمين، وربما الاستعانة بمساعدة خارجية. هذا عبء عمل كبير لفريق صغير. موضوع أتمتة الأمان مهم هنا لأن الأدوات والبرامج النصية يمكن أن تقلل العبء اليدوي، ولكن فقط إذا كانت واضحة وآمنة ومتاحة.

حاولت إرشادات التخفيف والاستجابة من Microsoft توفير هذه الأدوات. منشور التحديث الربع سنوي لفريق Exchange، تم الإصدار: تحديثات Exchange الربع سنوية لشهر مارس 2021، أشار أيضًا إلى سياق الخدمة الأوسع. لاحقًا، قدمت Microsoft خدمة التخفيف الطارئ لـ Exchange في منشور بعنوان ميزة أمان جديدة في التحديث التراكمي لشهر سبتمبر 2021 لخادم Exchange. هذه الميزة اللاحقة مهمة لأنها تظهر استجابة على مستوى المنتج لمشكلة طويلة الأمد: يمكن للتخفيفات المضمنة كسب الوقت عندما يكون التصحيح الفوري صعبًا.

التخفيف الطارئ ليس بديلاً عن التصحيح، والميزة اللاحقة لا تثبت أن كل بيئة في عام 2021 تم إصلاحها. لكنه يعترف بالواقع. بعض مشغلي Exchange لن يصححوا فورًا. بعضهم سيفتقد الإشعارات. بعضهم سيكون لديه إصدارات غير مدعومة. بعضهم سيحتاج وقتًا لتثبيت التحديثات التراكمية. يحتاج المنتج الذي له ذيل طويل محلي إلى آليات تقلل الضرر بينما يلحق العملاء بالركب.

مساءلة المؤسسات الصغيرة مشتركة. لا ينبغي للمشغل تشغيل خوادم بريد إلكتروني مكشوفة غير مدعومة إلى أجل غير مسمى. يجب على مقدمي الخدمات المدارة جرد خوادم العملاء وتصحيحها بسرعة. يجب على البائعين جعل الإرشادات الطارئة مفهومة لغير المتخصصين. يجب على الوكالات العامة تقديم تنبيهات واضحة. يجب على شركات التأمين والمدققين طلب دليل على أن الخدمات عالية المخاطر المواجهة للإنترنت معروفة ومغطاة بخطط الاستجابة للحوادث. أظهرت ProxyLogon أنه لا يمكن لأي جهة بمفردها تحمل الذيل الطويل.

ساعدت بيانات المسح في اكتشاف التعرض، لكن التعرض ليس اختراقًا

أصبح قياس التعرض جزءًا رئيسيًا من الاستجابة. مشروع Shadowserver حول ثغرات Microsoft Exchange Server قدم سياق المسح والتعرض للثغرات. تساعد هذه المشاريع المدافعين والوكالات العامة على رؤية الذيل الطويل للمخاطر المواجهة للإنترنت. يمكن أن تظهر ما إذا كانت المجموعات المكشوفة تتقلص بعد التصحيحات والإشعارات.

لكن التعرض ليس هو نفسه الاختراق. يمكن أن يشير المسح إلى أن خادم Exchange يمكن الوصول إليه أو لديه ملف استجابة معين. لا يمكن دائمًا إثبات الإصدار الدقيق، أو الاستغلال الناجح، أو وجود قشرة ويب، أو سرقة البيانات، أو التنظيف. على العكس، يمكن تصحيح الخادم بعد الاختراق ولا يزال يتطلب التحقيق. خريطة التعرض هي أداة فرز، وليس سجلًا نهائيًا.

هذا التمييز مهم للتواصل العام. العناوين الرئيسية حول الآلاف من الخوادم المكشوفة أو الضعيفة يمكن أن تحشد العمل، لكنها يمكن أيضًا أن تطمس الفئات. يحتاج مالكو الخوادم إلى معرفة ما إذا كانوا مكشوفين أو ضعفاء أو مستغلين أو مصححين أو نظيفين أو مراقبين. كل حالة تعني إجراءً مختلفًا. يجب أن يتتبع المخزون النظيف تلك الحالات بشكل منفصل.

يجب على الحكومة ورسائل البائع تعزيز هذا. "قم بتطبيق التحديث" هو مجرد إجراء واحد. "قم بتشغيل خطوات الكشف والمعالجة" هو إجراء آخر. "افترض الاختراق إذا تعرضت خلال النافذة" قد يكون مناسبًا في بعض السياقات، ولكن حتى هذا الافتراض يجب أن يتحول إلى تحقيق ملموس. مشكلة الذيل الطويل هي جزئيًا مشكلة تصنيف: العديد من المؤسسات تضع علامة على الخادم على أنه آمن لأن مهمة واحدة مكتملة.

لذلك يجب أن يتضمن سجل الإصلاح دليل انتقال الحالة. متى تم اكتشاف الخادم؟ متى تم عزله أو تحديثه؟ هل تم العثور على مؤشرات؟ هل تمت إزالة القشور الويب؟ هل تم تدوير بيانات الاعتماد؟ هل تم تقييم الوصول إلى البريد؟ هل تمت زيادة المراقبة؟ من تحقق من الإغلاق؟ بدون هذه الطوابع الزمنية، يكون لدى المؤسسة حدث تصحيح، وليس سجل حادث.

خوادم البريد الإلكتروني هي أنظمة استمرارية وسرية في آن واحد

Exchange Server هو منصة اتصالات ومستودع للتاريخ الحساس في نفس الوقت. يمكن لخادم البريد الإلكتروني المخترق أن يكشف الرسائل والمرفقات وجهات الاتصال والتقويمات والمناقشات القانونية وسجلات المشتريات ومراسلات الوكالات العامة وبيانات الاعتماد المرسلة عبر البريد الإلكتروني وتدفقات إعادة تعيين كلمة المرور وخطط العمل الداخلية. يمكن أن يؤثر أيضًا على الاستمرارية لأن البريد الإلكتروني هو كيفية تنسيق المؤسسات للعمل والاستجابة للحوادث والبائعين والعملاء والاتصالات العامة.

هذا الدور المزدوج يجعل الإصلاح أكثر تعقيدًا. إذا تم اختراق خادم ملفات، قد تركز المؤسسة على الملفات. إذا تم اختراق خادم بريد إلكتروني، يجب على المؤسسة أن تسأل عن صناديق البريد التي تم الوصول إليها، وما هي الرسائل التي تحتوي على بيانات اعتماد أو بيانات حساسة، وما هي جهات الاتصال الخارجية التي تأثرت، وما إذا كان المهاجمون يمكنهم استخدام الخادم لإرسال البريد أو الانعطاف. الخادم هو أرشيف وقناة تحكم حية.

اعترفت إرشادات المستجيبين من Microsoft ونشرة CISA بهذا من خلال التركيز على التحقيق والمعالجة، وليس فقط التصحيح. كما عكست عملية FBI مشكلة الثبات. قشرة ويب على خادم بريد إلكتروني هي مسار وصول مستمر. حتى بعد التصحيح، يمكن استخدامها إذا لم تتم إزالتها. حتى بعد الإزالة، يجب على المؤسسة أن تسأل عما فعله المهاجم قبل الإزالة.

بالنسبة لاستمرارية القطاع العام، يكون دور البريد الإلكتروني أكثر حدة. تستخدم الوكالات البريد الإلكتروني لتنسيق الخدمات والاستجابة للطوارئ والتعاقد والمزايا والمدارس والمحاكم والصحة. إذا كان نظام البريد مشبوهًا، يتباطأ العمل العادي. قد ينقل الموظفون المحادثات إلى قنوات بديلة، لكن هذا يمكن أن يخلق مشاكل في إدارة السجلات والأمان. لذلك يمكن لخادم البريد الإلكتروني المخترق أن ينتج تكاليف حوكمة فورية ومؤجلة.

يجب أن يتضمن سجل الإصلاح الخاضع للمساءلة السرية والاستمرارية. هل استعادت المؤسسة استخدام البريد الإلكتروني الآمن؟ هل حددت صناديق البريد التي يحتمل أن تكون مكشوفة؟ هل حفظت الأدلة؟ هل أبلغت الأشخاص المتأثرين عند الاقتضاء؟ هل أعادت تعيين بيانات الاعتماد التي ربما تكون قد مرت عبر البريد؟ هل راقبت الانتحال أو الحركة الجانبية؟ هل قامت بتحديث خطط الاستمرارية بحيث يكون لحالة طوارئ البريد الإلكتروني التالية قناة بديلة؟

استمر إصلاح البائع بعد مارس

عمل Exchange اللاحق من Microsoft مهم لأن ProxyLogon كشفت عن مشكلة صيانة المنتج التي لم تنته في مارس 2021. خدمة التخفيف الطارئ لـ Exchange، الموصوفة في منشور التحديث التراكمي لشهر سبتمبر 2021 من Microsoft، صُممت لتطبيق تخفيفات مؤقتة تلقائيًا في ظل ظروف معينة. تحديث خارطة طريق Exchange Server اللاحق تحديث خارطة طريق Exchange Server استمر في مناقشة اتجاه الخدمة.

لا ينبغي التعامل مع هذه المصادر اللاحقة كدليل على أن كل اختراق ProxyLogon تم تنظيفه. إنها دليل على حوكمة المنتج. تظهر أن Microsoft أدركت الحاجة إلى حماية أكثر آلية في القاعدة المثبتة محليًا. هذا الاعتراف مهم لأن المنتجات المحلية تتقدم في العمر بشكل غير متساو. يؤخر العملاء التحديثات التراكمية. بعض البيئات معزولة عن الإدارة الحديثة. البعض الآخر مكشوف ولكن poorly monitored. يمكن لميزات التخفيف الطارئ تقليل المخاطر خلال فترة التأخر.

مع ذلك، للتخفيف الآلي حدود. قد يتطلب تحديثًا تراكميًا مدعومًا. قد لا ينطبق على الإصدارات غير المدعومة. قد يخلق مخاوف تتعلق بالتوافق. قد يقلل التعرض لمسار معين دون القضاء على جميع المخاطر. قد لا يزيل القشور الويب الموجودة. لا يزال العملاء بحاجة إلى التصحيح والتحقيق والتنظيف. الأتمتة تساعد في الذيل الطويل؛ إنها لا تلغي المساءلة.

الواجب الدائم للبائع هو جعل مسار الإصلاح أقصر وأوضح. يجب أن تكون التصحيحات الطارئة قابلة للتثبيت من قبل مجموعة واسعة من العملاء. يجب أن تكون التخفيفات متاحة عندما لا يمكن تثبيت التصحيحات فورًا. يجب أن تكون إرشادات الكشف سهلة التشغيل والتفسير. يجب أن تعطي قنوات الدعم الأولوية للعملاء ذوي المخاطر العالية. يجب أن تشرح الوثائق متى تكون إعادة البناء أكثر أمانًا من التنظيف. يجب أن تحتوي المنتجات طويلة الأمد على مسارات دورة حياة وترقية تقلل التعرض غير المدعوم.

تظهر ProxyLogon أيضًا لماذا الهجرة إلى السحابة ليست الإجابة الوحيدة. قالت Microsoft إن Exchange Online لم يتأثر بهذه الثغرات، وتستخدم العديد من المؤسسات البريد الإلكتروني المستضاف في السحابة لتجنب تشغيل خوادم بريد مكشوفة. لكن العديد من المؤسسات لا تزال تدير Exchange محليًا لأسباب هجينة أو تنظيمية أو تتعلق بالتكلفة أو القديمة أو التشغيلية. سؤال المساءلة هو كيفية حوكمة السكان المحليين المتبقين، وليس مجرد كيفية إخبار الجميع بالمغادرة.

أصبح مقدمو الخدمات المدارة جزءًا من سلسلة الإصلاح

العديد من المؤسسات الصغيرة لا تدير Exchange بمفردها. إنها تعتمد على مقدمي الخدمات المدارة أو شركات تكنولوجيا المعلومات المحلية أو مقدمي الاستضافة أو الاستشاريين. خلال ProxyLogon، أصبح هؤلاء المزودون جزءًا من سلسلة الإصلاح. كانوا بحاجة إلى تتبع مخزون العملاء، وتطبيق التحديثات، وتشغيل الكشف، وإبلاغ المخاطر، والحفاظ على الأدلة، وتصعيد الاختراق المشتبه به. إذا كان أحد المزودين يدير العديد من خوادم Exchange، فإن سرعة استجابته أثرت على العديد من المؤسسات.

يجب أن تحدد العقود هذا الدور الطارئ قبل الأزمة. هل يتمتع المزود بسلطة تطبيق التصحيحات الطارئة دون انتظار نافذة الصيانة؟ هل يراقب إشعارات البائع؟ هل يقوم بتشغيل تقييم الاختراق أو فقط تثبيت التحديثات؟ هل يحتفظ بالسجلات؟ هل يبلغ العملاء عن الاختراق المشتبه به؟ هل لديه تأمين إلكتروني؟ هل يعرف متى يستدعي المستجيبين للحوادث؟ حولت ProxyLogon شروط العقد هذه إلى حقائق تشغيلية.

للعميل أيضًا واجبات. يجب أن يعرف أي مزود يدير Exchange، وما الإصدار الذي يعمل، وما إذا كان الخادم مكشوفًا، وكيف تعمل النسخ الاحتياطية، وكيف يتم الاحتفاظ بالسجلات، ومن يتخذ القرارات الطارئة. الاستعانة بمصادر خارجية لا تلغي الحاجة إلى الوعي بالأصول. قد لا تشغل الشركة الصغيرة الخطوات الفنية بنفسها، لكن يجب أن تكون قادرة على طلب دليل على أنها تمت.

يمكن للوكالات العامة وشركات التأمين المساعدة من خلال طلب دليل أوضح. بعد ثغرة خطيرة مستغلة، لا ينبغي أن يكون "لقد قمنا بالتصحيح" كافيًا للأنظمة عالية المخاطر. يجب أن يتضمن الدليل التاريخ والإصدار ونتائج الكشف ومراجعة القطع الأثرية وإجراءات بيانات الاعتماد والمراقبة. بالنسبة لعملاء الخدمات المدارة، يجب تقديم هذا الدليل في شكل يمكن للعميل الاحتفاظ به. وإلا فإن عملية التدقيق التالية أو إشعار الاختراق يبدأ من الذاكرة.

كان الذيل الطويل لـ ProxyLogon جزئيًا مشكلة سوق: اشترت العديد من المؤسسات الصغيرة تشغيل البريد الإلكتروني كخدمة من مقدمي الخدمات المحليين دون شراء استجابة للحوادث بالضرورة. الانهيار الطارئ يلغي هذا التمييز. إذا كان المزود يدير الخادم، فيجب أن يكون مستعدًا لتقييم الاختراق أو иметь مسار للحصول عليه بسرعة.

المقياس النهائي هو الإصلاح القابل للتحقق

أقوى درس في المساءلة من ProxyLogon هو أن الإصلاح يجب أن يكون قابلاً للتحقق. يجب أن يكون مالك الخادم قادرًا على إظهار الجدول الزمني من إشعار الثغرة إلى اكتشاف المخزون وتثبيت التصحيح والتخفيف وتقييم الاختراق والتنظيف ومراجعة بيانات الاعتماد والمراقبة. يجب أن يكون البائع قادرًا على إظهار كيف قلل من صعوبة هذا الجدول الزمني. يجب أن تكون السلطات العامة قادرة على رؤية ما إذا كانت المجموعات المكشوفة تتناقص وما إذا كانت الوكالات الحيوية امتثلت.

الإصلاح القابل للتحقق لا يتطلب إصدارًا عامًا لكل سجل أو تفاصيل جنائية. يتطلب سجلًا جيدًا بما يكفي للمؤسسة ومجلس إدارتها وعملائها ومدققيها والجهات التنظيمية لفهم ما تم فعله. في مؤسسة صغيرة، قد يكون هذا السجل تقرير خدمة مدارة. في وكالة فيدرالية، قد يكون دليل امتثال للتوجيه. في مؤسسة كبيرة، قد يكون ملف قضية استجابة للحوادث. يمكن أن يختلف الشكل. لا ينبغي أن تختلف فئات الأدلة.

لا ينبغي تذكر ProxyLogon فقط كحدث تصحيح من Microsoft. لقد كانت اختبارًا للقاعدة المثبتة: من يعرف خوادم Exchange الخاصة به، ومن يمكنه تحديثها بسرعة، ومن يمكنه العثور على القشور الويب، ومن يمكنه تقييم تعرض البريد، ومن يمكنه حماية المؤسسات الصغيرة، ومن يمكنه إثبات الإغلاق بعد مرور الطوارئ. تظل عملية إزالة القشرة الويب من وزارة العدل علامة حية على أن الذيل الطويل كان حقيقيًا.

الدرس العام عملي بنفس القدر. بالنسبة للأنظمة المحلية المواجهة للإنترنت، التصحيح هو الحد الأدنى. يبدأ سجل المساءلة بالتصحيح ويستمر من خلال الكشف والتنظيف وتدوير بيانات الاعتماد وإخطار المستخدم وتحسين المنتج لاحقًا. إذا لم يتم إثبات هذه الخطوات، يصبح التصحيح الطارئ مسرحًا: إجراء مرئي قد يترك بقايا غير مرئية.

تشير ميزات التخفيف اللاحقة من Microsoft وتوجيهات ونشرات CISA وإجراءات إنفاذ القانون الفيدرالية وتقارير مجتمع الأمن وواجبات المشغل المحلي جميعها إلى نفس الاستنتاج. الطريق من التصحيح إلى السلامة طويل. المنظمات التي تعتمد على Exchange تحتاج إلى دليل على أن الطريق قد تم قطعه بالفعل.

يتطلب الإغلاق قائمة مراجعة مختلفة عن التصحيح

توضح إرشادات المستجيبين من MSRC حول التحقيق في ثغرات Exchange Server المحلية ومعالجتها أن المدافعين بحاجة إلى البحث عن القشور الويب والقطع الأثرية الأخرى، وليس فقط تثبيت التحديثات. كان ينبغي أن ينتج عن هذا التمييز قائمتا مراجعة منفصلتان داخل كل مؤسسة متأثرة. قائمة المراجعة الأولى هي التصحيح: تحديد الإصدار، واستيفاء المتطلبات الأساسية، وتثبيت التحديث، والتحقق من البناء. القائمة الثانية هي الإغلاق: البحث عن الاختراق، وإزالة القطع الأثرية، وتدوير بيانات الاعتماد، ومراجعة الوصول إلى صندوق البريد، والحفاظ على الأدلة، ومراقبة إعادة الدخول، وتحديد ما إذا كان الإخطار مطلوبًا.

غالبًا ما تفضل المؤسسات قائمة المراجعة الأولى لأن لها خط نهاية مرئي. الخادم إما لديه تصحيح أو لا. قائمة المراجعة الثانية أكثر فوضوية. تسأل عما إذا كان المهاجمون موجودين قبل التصحيح، وما إذا كانت السجلات تعود إلى الوراء بما فيه الكفاية، وما إذا تمت إزالة القشور الويب، وما إذا كان هناك ثبات آخر، وما إذا تم الوصول إلى صناديق البريد، وما إذا حدثت حركة جانبية. هذا العمل يمكن أن يتطلب مهارات لا تمتلكها مؤسسة صغيرة.

نشرة CISA AA21-062A ونشرة التخفيف من NSA تخفيف ثغرات Exchange Server ساعدتا في تحديد قائمة المراجعة الثانية للمدافعين. المشكلة ليست غياب الإرشادات. إنها التبني التشغيلي. يجب أن تصل الإرشادات إلى الشخص الذي يملك الخادم، وأن تكون مفهومة بما يكفي للتنفيذ، وأن تناسب أدوات المؤسسة وسلطتها.

يجب على مقدمي الخدمات المدارة تحويل قوائم مراجعة الإغلاق إلى تقارير للعملاء. لا ينبغي أن يقول التقرير ببساطة "تم تحديث Exchange". يجب أن يذكر أي خادم تم تحديثه، ومتى، ومن أي إصدار، وما خطوات الكشف التي تم تشغيلها، وما إذا تم العثور على قشور ويب، وما تمت إزالته، وما إذا تم تدوير بيانات الاعتماد، وما إذا تم فحص النسخ الاحتياطية، وما هي المراقبة المتبقية. يصبح هذا التقرير دليل العميل عندما يسأل المؤمنون أو المدققون أو الجهات التنظيمية أو المستخدمون المتأثرون عما حدث.

بالنسبة للمؤسسات الأكبر، يجب أن يغذي الإغلاق حوكمة المخاطر. إذا كان Exchange مكشوفًا، يجب أن يعرف القادة المدة التي ظل فيها الخادم ضعيفًا بعد الإشعار العام، وما إذا تم العثور على اختراق، وما وحدات الأعمال التي استخدمت الخادم، وما إذا كانت صناديق البريد الحساسة متأثرة، وما الذي منع الإصلاح بشكل أسرع. إذا كانت الإجابة "لم نكن نعلم بوجود الخادم"، فإن مشكلة الإصلاح هي إدارة الأصول. إذا كانت الإجابة "علمنا ولكن لم نتمكن من التصحيح"، فإن المشكلة هي جاهزية الخدمة. إذا كانت الإجابة "قمنا بالتصحيح ولكن لم نحقق"، فإن المشكلة هي نضج الاستجابة للحوادث.

الخوادم غير المدعومة والمتأخرة هي خطر مجتمعي

كشفت ProxyLogon عن مشكلة خطر مجتمعي حول الخوادم المحلية غير المدعومة أو المتأخرة. يمكن أن يصبح خادم Exchange المكشوف لمؤسسة ما نقطة انطلاق أو مصدر بريد عشوائي أو هدف سرقة بيانات أو موطئ قدم لاختراق أوسع. قد يبدأ الضرر محليًا، لكن البنية التحتية للبريد الإلكتروني المخترقة يمكن أن تؤثر على المراسلين والشركاء والعملاء والثقة العامة في الاتصالات. لهذا السبب فإن التصحيح طويل الأمد ليس فقط خطر المالك الخاص.

إرشادات فريق Exchange من Microsoft حول تحديثات أمان مارس 2021 و تحديثات Exchange الربع سنوية اللاحقة تشير إلى مشكلة الخدمة. بعض العملاء كانوا على تحديثات تراكمية مدعومة ويمكنهم التحرك بسرعة. آخرون اضطروا إلى اللحاق بالركب. ربما كان البعض يدير إصدارات غير مدعومة. كلما زادت فجوة الخدمة، زادت صعوبة الإصلاح الطارئ.

خدمة التخفيف الطارئ لـ Exchange الموصوفة في سبتمبر 2021 كانت إجابة واحدة على هذا الخطر المجتمعي. يمكن للتخفيفات المؤقتة تقليل التعرض بينما يستعد العملاء للتحديثات الكاملة. لكن التخفيف المؤقت يعتمد على أن يكون العملاء على إصدارات يمكنها تلقي الميزة وعلى المؤسسات قبول نموذج التخفيف. لا يمكنه حماية كل خادم مهجور أو غير مدعوم.

يمكن للسلطات العامة المساعدة باستخدام قياس التعرض والإخطار. مشروع Shadowserver مشروع مسح ثغرات Exchange يظهر كيف يمكن للقياس الخارجي تحديد المجموعات التي قد تحتاج إلى إجراء. يجب أن يقترن هذا القياس باتصال دقيق: بيانات التعرض ليست دليلًا على الاختراق، لكنها يمكن أن تساعد المستجيبين الوطنيين والقطاعيين في الوصول إلى المالكين الذين قد يفوتون الإشعار.

درس الخطر المجتمعي هو أن القاعدة المثبتة تحتاج إلى رعاية مستمرة. يجب على البائعين تصميم مسارات تحديث تقلل الاحتكاك. يجب على العملاء الحفاظ على الخوادم في حالات مدعومة. يجب على مقدمي الخدمات المدارة الحفاظ على المخزون. يجب على الحكومات والهيئات القطاعية تحذير المؤسسات المكشوفة. يجب على شركات التأمين والمدققين معاقبة البنية التحتية غير المرئية للبريد الإلكتروني المواجه للإنترنت. يتقلص الذيل الطويل فقط عندما يعامل كل فاعل الخوادم المتأخرة كخطر مشترك.

من الصعب شرح تعرض صندوق البريد مقارنة باختراق الخادم

القشرة الويب هي قطعة أثرية مرئية. يمكن أن يكون تعرض صندوق البريد أصعب في الشرح. قد يسمح خادم Exchange المخترق بالوصول إلى الرسائل والمرفقات ودفاتر العناوين وعناصر التقويم أو الوظائف الإدارية. لكن تحديد محتوى صندوق البريد الذي تم قراءته بالضبط يمكن أن يكون صعبًا، خاصة إذا كان التسجيل غير مكتمل أو استخدم المهاجمون وصولًا على مستوى الخادم. هذا يخلق مشكلة إخطار وثقة بعد التنظيف الفني.

منشور Microsoft الأولي HAFNIUM ومركز موارد MSRC مركز موارد Exchange Server ركزا على التحديثات العاجلة والاستغلال المرصود. بالنسبة للمؤسسات المتأثرة، كان السؤال التالي غالبًا أصعب: ما البريد الذي وصل إليه المهاجم؟ قد لا تكون الإجابة ثنائية. بعض المؤسسات يمكنها العثور على دليل وصول واضح. أخرى يمكنها فقط استنتاج المخاطر من اختراق الخادم ووجود القطع الأثرية.

يجب أن يكون هذا عدم اليقين جزءًا من التواصل العام. إذا لم تستطع المؤسسة تحديد الوصول الدقيق إلى صندوق البريد، يجب أن تقول ما لديها من أدلة، وما تفتقر إليه، وما هي الخطوات الوقائية المعقولة. قد يحتاج المستخدمون إلى إعادة تعيين كلمات المرور، ومراجعة المرفقات الحساسة، ومراقبة التصيد المستهدف، أو نقل الاتصالات إلى قنوات أكثر أمانًا مؤقتًا. قد يحتاج الشركاء إلى عدم الثقة في الرسائل المرسلة خلال نافذة معينة. قد تحتاج الفرق القانونية وإدارة السجلات إلى الحفاظ على مواد التحقيق.

جانب الاستمرارية يحتاج أيضًا إلى شرح. إذا تم إخراج البريد الإلكتروني من الخدمة للتحقيق، فما القناة البديلة المعتمدة؟ إذا بقي البريد الإلكتروني متصلاً أثناء تنظيف الخادم، فما القيود المطبقة؟ إذا تواصلت وكالة عامة مع المقيمين، كيف تتجنب فقدان الثقة العامة؟ هذه الأسئلة تشغيلية، وليست تقنية بحتة.

جعلت ProxyLogon الثقة في صندوق البريد فئة إصلاح. الخادم المصحح لا يزال يمكن أن يترك المستخدمين يتساءلون عما إذا كانت المحادثات القديمة قد قرئت أو ما إذا كانت الرسائل الجديدة يمكن الوثوق بها. يجب أن يشرح أقوى سجل إصلاح حالة البنية التحتية وحالة ثقة الاتصالات. هذه هي الطريقة التي يصبح بها حادث البريد الإلكتروني مغلقًا حقًا.

يجب أن يقابل إلحاح التصحيح اكتشاف المالك

يفترض التصحيح الطارئ أن شخصًا ما يعرف من يملك النظام. كشفت ProxyLogon مدى هشاشة هذا الافتراض. قد يكون لدى المؤسسة خوادم Exchange إنتاجية، وخوادم هجينة، وأنظمة اختبار، ومضيفات متقاعدة ولكنها لا تزال قيد التشغيل، وخوادم بريد يديرها مقاولون، ونقاط نهاية منسية مواجهة للإنترنت. يصل إشعار التصحيح إلى فريق الأمان، لكن الخادم الضعيف قد يكون مملوكًا لوحدة أعمال أو مكتب محلي أو مزود خدمة مدارة قديم أو شخص غير محدد بوضوح.

لهذا السبب بدأ توجيه الطوارئ 21-02 الصادر عن CISA توجيه الطوارئ 21-02 بالتحديد والإبلاغ، وليس فقط التثبيت. بالنسبة للوكالات الفيدرالية، كانت معرفة مكان وجود Exchange المحلي في حد ذاتها جزءًا من الإجراء الطارئ. نفس الانضباط ينطبق خارج الحكومة. مخزون الأصول ليس قائمة إدارية؛ إنه أول عنصر تحكم في حدث استغلال جماعي.

يجب أن يشمل اكتشاف المالك الملكية الفنية والتجارية. المالك الفني يمكنه تطبيق التصحيحات أو الاتصال بالمزود. المالك التجاري يفهم ما إذا كان الخادم يدعم صناديق البريد القانونية أو الخدمات العامة أو اتصالات التنفيذ أو حسابات الطلاب أو العمليات السريرية أو الوصول إلى الأرشيف. بدون كليهما، قد تقوم فرق الاستجابة بتصحيح الجهاز ولكن تفوت الآثار التجارية للتعرض.

يجب أن يتضمن سجل المالك أيضًا السلطة. من يمكنه فصل الخادم إذا اشتبه في الاختراق؟ من يمكنه الموافقة على وقت التوقف الطارئ؟ من يمكنه إنفاق الأموال على الاستجابة الخارجية؟ من يمكنه إخطار المستخدمين؟ من يمكنه تحديد ما إذا كان يجب إعادة البناء بدلاً من التنظيف؟ ضغطت ProxyLogon هذه القرارات في أيام. المؤسسات التي لم تحدد السلطة مسبقًا كان عليها التفاوض بينما كان المهاجمون يتحركون بالفعل.

يمكن لإرشادات البائع والحكومة أن تذهب بعيدًا إذا كانت الملكية مفقودة. مركز موارد Exchange Server من Microsoft مركز موارد Exchange Server، وتنبيه CISA تنبيه، وتقارير شركات الأمان يمكن أن تخبر المدافعين بما يهم. لم يتمكنوا من تسمية كل خادم مهمل. تظل هذه واجب العميل، وبالنسبة للمؤسسات الصغيرة غالبًا ما يكون الواجب الأكثر أهمية.

الإصلاح الدائم هو بالتالي مخزون يختبره المالك. على الأقل بشكل دوري، يجب على المؤسسات إثبات أن كل نظام بريد موجه للإنترنت له مالك مسمى وإصدار مدعوم ومسار تحديث وخطة نسخ احتياطي وخطة تسجيل وسلطة حوادث وملصق تأثير تجاري. عندما يصل التصحيح الطارئ التالي، لا ينبغي قضاء الساعة الأولى في السؤال من يملك الخادم.

يجب أن تكون قرارات إعادة البناء جزءًا من الخطة

يمكن أن يكون تنظيف خادم Exchange المخترق صعبًا. إذا كانت القشور الويب أو العمليات المشبوهة أو السجلات غير المؤكدة موجودة، قد يضطر المدافعون إلى تحديد ما إذا كانت الإزالة كافية أم أن إعادة البناء من وسائط معروفة جيدة أكثر أمانًا. يعتمد هذا القرار على تحمل الأعمال وجودة النسخ الاحتياطي واحتياجات الأدلة وثقة المؤسسة في الاحتواء. لا ينبغي أن يكون مرتجلًا بعد الاستغلال.

توضح عملية إزالة القشرة الويب من وزارة العدل عملية إزالة القشرة الويب حد إزالة القطع الأثرية. إزالة قشرة ويب معروفة تقلل مسار وصول واحد. لا تثبت أن الخادم موثوق به بخلاف ذلك. إشعار FBI إشعار عزز حاجة مالكي الخوادم إلى مواصلة المعالجة. هذا هو سؤال إعادة البناء في شكل عام: ما مستوى الأدلة الكافي للثقة في النظام مرة أخرى؟

يجب على المؤسسات وضع مشغلات إعادة البناء مسبقًا. على سبيل المثال، قشرة ويب مؤكدة بالإضافة إلى سجلات غير كافية قد تتطلب إعادة البناء. دليل على الحركة الجانبية قد يتطلب استجابة بيئية أوسع. حالة الإصدار غير المدعوم قد تتطلب الهجرة بدلاً من الإصلاح. التعرض الحساس لصندوق البريد قد يتطلب مراجعة قانونية قبل الاستعادة. تساعد هذه المشغلات الفرق الفنية على التصرف بحسم دون انتظار نقاش تنفيذي مخصص.

تخطيط إعادة البناء يكشف أيضًا حقيقة النسخ الاحتياطي. تتطلب إعادة البناء النظيفة وسائط تثبيت معروفة جيدة ووثائق تكوين وحماية بيانات البريد واستعادة مختبرة وطريقة للحفاظ على الأدلة الجنائية قبل المسح. تكتشف المؤسسات الصغيرة غالبًا أثناء الحوادث أن النسخ الاحتياطية موجودة ولكن خطوات الاستعادة غير مؤكدة. أظهرت ProxyLogon أن التصحيح الطارئ والتعافي من الكوارث مرتبطان؛ الخادم الذي لا يمكن إعادة بنائه بأمان يصبح من الصعب إغلاقه.

معيار المساءلة ليس أنه يجب دائمًا إعادة بناء كل خادم مخترق. إنه أن المؤسسة يجب أن تعرف متى تكون إعادة البناء هي المسار الأكثر أمانًا وأن لديها الوسائل للقيام بذلك. الإصلاح طويل الأمد يكون أقوى عندما تحكم قرارات التنظيف بعتبات الأدلة بدلاً من الأمل.