MOVEit يحول نقل الملفات المُدارة إلى قضية مساءلة حدود الثقة

الملخص

• أصبح MOVEit مشكلة مساءلة لحدود الثقة لأن المنتج المتأثر هو نظام نقل ملفات مُدار يُستخدم تحديدًا لنقل الملفات الحساسة بين المؤسسات والموردين والعملاء والبرامج العامة.
• تنبيه Progress الصادر في 31 مايو لـMOVEit Transfer الثغرة الحرجة CVE-2023-34362،الأسئلة الشائعة للعملاء، ونموذج 10-Q لشهر يوليو 2023Form 10-Qتُرسي التسلسل الزمني للبائع وحدود الرؤية المحلية.
• مدخل CISA للثغرات المستغلة المعروفةKnown Exploited Vulnerabilities entry، وتنبيه CISA وFBI المشترك#StopRansomware، وسجل NVDNVD recordيُظهر لماذا أصبح هذا بسرعة حالة طوارئ دفاعية عامة، وليست مجرد مسألة دعم بائع.
• سجلات المؤسسات المتأثرة مثل تقرير نوفا سكوشا العامpublic report، صفحة حادثة مدارس NYC العامةincident page، إشعار اختراق المقاول CMScontractor breach notice، وإشعار اختراق الطرف الثالث CalPERSthird-party breach noticeتُظهر كيف أدى عيب نقل واحد إلى العديد من واجبات الإخطار المنفصلة.
• اختبار الإصلاح ليس ما إذا كانت Progress قد أصدرت تصحيحات. بل هو ما إذا كان مالك المنتج والمشغلون ومراقبو البيانات يمكنهم العثور على الحالات المكشوفة، وتصحيحها بسرعة، والتحقيق في السرقة، وتقليل بيانات النقل المحتجزة، وإخطار الأطراف المتأثرة، وإثبات أن أنظمة النقل الحساسة لم تعد متروكة مكشوفة.

منتج النقل هو وعد بخصوص الحدود

نقل الملفات المُدار له وعد تجاري واضح: يمكن للملفات الحساسة التحرك بين المؤسسات بطريقة خاضعة للرقابة وقابلة للتدقيق وموثوقة. هذا الوعد هو السبب في أن حادثة MOVEit كانت مدمرة للغاية. لم يكن المنتج موقعًا عاديًا بل نظامًا حديًا. استخدمته المؤسسات لأن البريد الإلكتروني العادي ومشاركة الملفات غير الرسمية والقنوات غير المُدارة لم تكن كافية لحساسية البيانات المنقولة أو حجمها أو سير العمل.

تنبيه Progress في 31 مايو 2023 لـ MOVEit Transfer الثغرة الحرجة أصبح نقطة البداية لفشل الحدود هذا في السجل العام. ولخصت الشركة لاحقًا الأسئلة الشائعة حول تصحيح MOVEit Transfer وMOVEit Cloud CVE-2023-34362 والثغرات اللاحقة، بينما وصف تحديث Progress في 5 يونيو حول الخطوات التي نتخذها لحماية عملاء MOVEit إيقاف السحابة والتحقق من التصحيح ومراجعة سجل التدقيق وتوجيه العملاء. تُظهر هذه السجلات البائعية الطبقة الأولى من الإصلاح: الإشعار والتخفيف والتصحيح.

تبدأ مسألة المساءلة حيث تنتهي الطبقة الأولى من الإصلاح. يمكن للتصحيح سد ثغرة، لكنه لا يخبر المشغل ما إذا كانت البيانات قد سُرقت بالفعل. لا يخبر نظام المعاشات أي المتقاعدين تعرضوا. لا يخبر النظام المدرسي أي ملفات الطلاب نُسخت. لا يخبر مقاول حكومي كيفية إخطار وكالة فيدرالية. لا يمحو غلاف الويب. لا يحدد ما إذا كان ينبغي الاحتفاظ بالملفات القديمة على خادم النقل على الإطلاق.

لهذا السبب يجب قراءة MOVEit كانهيار لحدود الثقة. أنظمة النقل الحساسة غالبًا ما تقع بين الأطراف. قد تدير الشركة الخادم؛ وقد يستخدمه المورد؛ وقد تتحكم هيئة عامة في البيانات الأساسية؛ قد لا يعرف الأفراد أبدًا أن سجلاتهم مرت من خلاله. عندما تفشل طبقة النقل، لا تقع المسؤولية في مكان واحد. يتحكم البائع في أمان المنتج والتنبيهات. يتحكم المشغل في التصحيح والتعرض والاحتفاظ والتحقيق. يتحكم مراقب البيانات في واجبات الإخطار والتقليل. الفرد المتأثر يتحمل المخاطرة.

الجزء الصعب هو أن كل طرف يمكن أن يشير إلى حد جزئي. يمكن أن تقول إن العملاء يجب أن يصححوا ويحققوا في نشراتهم الخاصة. يمكن للمشغلين أن يقولوا إنهم اعتمدوا على منتج موثوق. يمكن لمراقبي البيانات أن يقولوا إن أحد البائعين أو المقاولين عالج الملفات. يمكن للأفراد أن يقولوا إنهم لم يختاروا أيًا من هذا. يجب أن تربط المساءلة تلك الحدود الجزئية مرة أخرى في سلسلة عاملة.

حدود تليمتر البائع كانت جزءًا من المخاطرة العامة

نموذج Progress 10-Q لشهر يوليو 2023 Form 10-Q مهم لأنه وصف مكالمة عميل في 28 مايو، واكتشاف 30 مايو، وإيقاف السحابة، وتصحيحات 31 مايو، وإخطار العميل، وافتقار الشركة إلى تليمتر مستمر في نشرات العملاء المحلية. هذه النقطة الأخيرة ليست انتقادًا بحد ذاتها. العديد من المنتجات المحلية تُدار من قبل العميل عمدًا. ولكن أثناء الاستغلال الجماعي، تصبح حدود التليمتر مخاطرة عامة لأن البائع لا يمكنه إخبار كل عميل مباشرة ما إذا كانت حالته قد تعرضت للخطر.

التحكم المحلي يخلق نموذج مساءلة منقسم. يتحكم العملاء في النشر والتعرض للإنترنت ونوافذ التصحيح والتسجيل والنسخ الاحتياطي والاحتفاظ والتحقيق. يتحكم البائع في التطوير الآمن والإفصاح وجودة التصحيح وتوثيق المنتج والدعم. خلال العمليات العادية قد يكون هذا الانقسام مقبولاً. أثناء استغلال الثغرات الصفرية يصبح مؤلمًا، لأن الأشخاص الأكثر تعرضًا قد لا يعرفون بالسرعة الكافية.

تحديث Progress في 13 يونيو حول تعزيز أمان MOVEit Transfer من خلال الشراكة والشفافية وصف مراجعة إضافية للكود، واكتشاف CVE-2023-35036، والتعاون مع Huntress. وثائق إصدار Progress لـ ما الجديد في MOVEit Transfer 2023 و المشكلات التي تم إصلاحها في 2023 تساعد في تثبيت تسلسل التصحيح. هذه السجلات مهمة لأن وضوح التصحيح هو إحدى الأدوات القليلة التي يمتلكها البائع عندما لا يستطيع رؤية كل خادم عميل.

لكن وضوح التصحيح لا يزال يعتمد على جرد العميل. هل تعرف المؤسسة كل مثيل MOVEit؟ هل هو معرض للإنترنت؟ أي إصدار يعمل؟ من يملكه؟ أي ملفات موجودة هناك؟ أي سجلات محتجزة؟ أي مقاولين يستخدمونه؟ أي مراقبي بيانات نهائيين يجب إبلاغهم إذا اشتبه في السرقة؟ اللحظة التي يصبح فيها الاستغلال علنيًا، تصبح هذه الأسئلة ملحة.

يظهر سجل MOVEit أن مساءلة البرامج ليست فقط جودة الكود. إنها أيضًا النظام البيئي حول الكود: توزيع التحديثات، وتوجيه اكتشاف العملاء، وتصميم التليمتر، وجرد المثيلات، وإدارة التعرض للإنترنت، وتعليمات معالجة الحوادث. البائع الذي يبيع منتج نقل حساس لديه واجب قوي لجعل مسؤوليات النظام البيئي هذه واضحة قبل الأزمة، وليس فقط أثناءها.

الاستغلال المعروف ضغط وقت التصحيح

أضافت CISA CVE-2023-34362 إلى كتالوج الثغرات المستغلة المعروفة، المرئية من خلال مدخل CISA KEV. ثم أصدرت CISA وFBI تنبيه #StopRansomware بشأن استغلال CL0P لـ CVE-2023-34362، مع مؤشرات وتوصيات دفاعية. سجل NIST NVD record وثق سجل الثغرة وحالة الاستغلال. تُظهر هذه المصادر الحكومية مدى سرعة ترك الحادث وتيرة إدارة التصحيح العادية وراءه.

تقرير المركز الوطني للأمن السيبراني في المملكة المتحدة MOVEit vulnerability and data extortion incident وبيان هيئة السلوك المالي في المملكة المتحدة MOVEit vulnerability statement يعززان نفس النقطة للبيئات الخاضعة للتنظيم والمصلحة العامة. لم تستطع المؤسسات معالجة القضية كمهمة صيانة ربع سنوية. كان عليها تحديد التعرض، واتباع توجيهات البائع، ومراجعة السجلات، وتقييم الاختراق، وبدء تحليل الإخطار تحت وقت مضغوط.

وقت التصحيح المضغوط يكشف نقاط الضعف التنظيمية. تعرف العديد من المؤسسات كيفية تطبيق التحديثات الروتينية. أقلية يمكنها إجراء اكتشاف طارئ عبر بيئات الإنتاج والقديمة والاختبار والمستضافة من البائعين. وحتى أقلية يمكنها تحديد أي الملفات الحساسة مرت عبر النظام في نافذة ذات صلة، وما إذا تم الاحتفاظ بالملفات دون داع، وأي الأفراد أو الوكالات يجب إخطارهم. التصحيح هو مجرد خطوة واحدة في سلسلة الأدلة.

مشكلة حدود الثقة حادة بشكل خاص لأن أنظمة MOVEit غالبًا ما تحتوي على بيانات من عدة أطراف. قد يشمل الخادم ملفات تم تحميلها من قبل وكالة واحدة، ومعالجتها من قبل مقاول، وإرسالها إلى كيان آخر، ومرتبطة بأفراد عبر ولايات قضائية. إذا قام المهاجمون بنسخ الملفات، فقد لا يتتبع واجب الإخطار مالك الخادم وحده. قد يتتبع مراقبي البيانات والسكان المتأثرين والالتزامات التعاقدية. لهذا السبب يولد الاستغلال الجماعي لمنتج نقل العديد من الإخطارات المنفصلة.

وقت التصحيح يتفاعل أيضًا مع الاتصال العام. إذا قامت مؤسسة بالتصحيح بسرعة لكنها لا تعرف ما إذا حدثت سرقة، فيجب عليها تجنب الطمأنينة الزائفة. إذا أخرت الاتصال حتى اكتمال مراجعة الملفات، فقد ينتظر الأشخاص المتأثرون أشهرًا. الوسط المسؤول هو الإخطار المرحلي: تخفيف التعرض الفوري، وحالة التحقيق الواضحة، ونتائج نطاق البيانات لاحقًا، والإخطار الفردي عندما تدعم الحقائق ذلك.

رؤية شركات الأمن ساعدت، لكنها لم تحل محل إثبات المشغل

تقرير Mandiant حول سرقة بيانات MOVEit ذات الثغرة الصفرية وصف استغلالًا لوحظ في وقت مبكر من 27 مايو، وسلوك غلاف الويب والسرقة، وملاحظات البنية التحتية، وسياق الإسناد. تسلسل Rapid7 الزمني لأحداث أحداث ثغرة CVE-2023-34362 MOVEit قام بالتحقق المتبادل من تسلسل التصحيح والاستغلال. تحليل الاستجابة السريعة من Huntress rapid response analysis أضاف قدرة سلسلة الاستغلال، وعناصر المضيف، ونصائح التحقيق المحلي.

كانت هذه المصادر مفيدة لأنها أعطت المدافعين مؤشرات عملية وسياقًا أثناء تطور الحادث. لكنها لم تستطع استبدال الإثبات المحلي. كانت المؤسسة لا تزال بحاجة إلى تفتيش خادمها الخاص، وسجلاتها، وملفاتها، وتاريخ الاحتفاظ، ونسخها الاحتياطية، وآثار الشبكة، وملكية البيانات النهائية. قائمة المؤشرات العامة تساعد في العثور على عناصر مشبوهة؛ لا تثبت عدم وجود سرقة في بيئة معينة.

تحليل التعرض لـ MOVEit Transfer من Censys MOVEit Transfer exposure analysis وتحليله اللاحق للصناعة industry analysis أظهرا لماذا قياس التعرض مفيد لكنه محدود. يمكن لملاحظات الماسح تحديد الخدمات المتجهة للإنترنت والاتجاهات. لا يمكنها إثبات إصدار كل خدمة، أو ثغراتها، أو ملكيتها، أو حالة اختراقها، أو حساسية بياناتها. تعتبر أعداد التعرض خريطة للمخاطر المحتملة، وليس حكمًا.

التحليل العام من Emsisoft، Unpacking the MOVEit breach، قدم إحصاءً واسعًا للمؤسسات والأفراد المعروفين من الإخطارات العامة والملفات والإفصاحات وموقع التسريب الإجرامي. إنه قيم كدليل على النطاق. إنه ليس تعدادًا رسميًا. قد يتداخل العملاء النهائيون، وقد تُعرف الأعداد الفردية بشكل مختلف، وتختلف ادعاءات المجرمين في الموثوقية.

لذلك يجب على المقال إبقاء طبقات الأدلة منفصلة. تنبيهات البائع تخبر العملاء بما يجب فعله. تنبيهات الحكومة تؤكد الاستغلال المعروف وتوفر توجيهًا دفاعيًا. شركات الأمن تصف التقنيات المرصودة والتعرض. المؤسسات المتأثرة تفصح عن تأثيرها الخاص. لا يمكن لأي من هذه الطبقات وحدها الإجابة على سؤال المساءلة الكامل. سجل الإصلاح يظهر فقط عندما يتم التوفيق بينها.

ملاحظة طباعية

إخطارات المصب تُظهر الشكل الحقيقي للفشل

سجل المؤسسة المتأثرة هو حيث تصبح مشكلة حدود الثقة إنسانية. التقرير العام لنوفا سكوشا حول الهجوم السيبراني على نظام MOVEit في نوفا سكوشا وصف تسلسلاً زمنيًا مفصلاً للاستجابة ونافذة السرقة في تلك البيئة. تقرير التحقيق لمفوض خصوصية نوفا سكوشا Investigation Report IR25-01 قدم استنتاجات مستقلة حول تقييم تأثير الخصوصية، والاحتفاظ المفرط، وإساءة استخدام المستودع، والإخطارات، والتوصيات. تنطبق هذه الاستنتاجات على نوفا سكوشا، وليس كل ضحية. لكنها تظهر نوع المساءلة المحلية التي يتطلبها حادث نقل.

صفحة حادثة أمن بيانات MOVEit لمدارس NYC العامة MOVEit data-security incident page وصفت الملفات المنسوخة، وفئات البيانات، والحدود التي لم يتم الوصول إلى مناطق الشبكة الأخرى للإدارة. إشعار CMS حول الاستجابة لخرق البيانات في مقاول وصف سياق مقاول Maximus وتأثير المستفيدين من Medicare. إشعار خرق الطرف الثالث لـ CalPERS third-party breach notice وصف تعرض معلومات المتقاعدين من خلال سلسلة التوريد. كل إشعار ضيق. معًا يظهرون شكل الفشل: ثغرة طبقة منتج أصبحت العديد من مشكلات حوكمة البيانات المحلية.

المشكلة المحلية غالبًا ما تكون نطاق البيانات. ما هي الملفات التي كانت على الخادم؟ هل كانت حالية؟ هل كانت ملفات نقل مؤقتة أم مستودعات محتفظ بها لفترة طويلة؟ هل تضمنت بيانات صحية، تقاعدية، طلابية، موظفين، مالية، أو هوية؟ هل تم تشفير الملفات قبل التحميل؟ من يتحكم في الحذف؟ أي الكيانات النهائية يجب إبلاغها؟ الثغرة التقنية تفتح الباب؛ خيارات الاحتفاظ وحوكمة البيانات تحدد ما يمكن للمهاجمين حمله بعيدًا.

استنتاجات خصوصية نوفا سكوشا مفيدة بشكل خاص لأنها تتجاوز كلمة “لقد تأثرنا بـ MOVEit” إلى أسئلة حول تقييم تأثير الخصوصية والاحتفاظ. هذا هو الاتجاه الصحيح. لا ينبغي أن يصبح خادم النقل مستودعًا دائمًا إلا إذا كانت لدى المؤسسة غرض واضح وخطة حماية. كلما بقيت البيانات الحساسة في منطقة النقل، أصبحت ثغرة المنتج حدث خصوصية واسعًا.

قد تكون لدى المؤسسات الأخرى ممارسات أقوى أو أضعف. السجل العام لا يسمح بتعميم استنتاجات مشغل واحد كنتيجة قانونية عالمية. إنه يدعم معيار مساءلة عام: بعد استغلال نقل مُدار، يجب أن يكون كل مشغل قادرًا على إظهار لماذا كان كل ملف موجودًا، ومدة بقائه، ومن يمكنه الوصول إليه، ومدى سرعة تحديد نطاق السرقة.

تصبح محلية البيانات أصعب عندما تكون سلاسل النقل غير شفافة

أثارت حملة MOVEit أيضًا أسئلة حول سيادة البيانات ومحليتها، حتى عندما لا يثبت إشعار معين تخزينًا عبر الحدود. يمكن لمنتج نقل أن ينقل الملفات بين الوكالات والمقاولين ومسؤولي التقاعد والمدارس والبرامج الصحية ومعالجي الرواتب والبائعين. الموقع الفعلي للخادم هو سؤال واحد فقط. السؤال الأكثر عملية هو أي مؤسسة كانت تسيطر على الملف في كل لحظة وأي نظام قانوني حكم الإخطار بعد نسخ الملف.

غالبًا ما تُناقش محلية البيانات كقضية منطقة سحابية. نقل الملفات المُدار يظهر مشكلة محلية مختلفة: قد يكون المسار مؤقتًا، تعاقديًا، ومتعدد الأطراف. قد يسجل تقاعديًا يسافر من كيان عام إلى مورد. قد يجلس ملف مدرسي في مجلد نقل لمقاول. قد يُعالج ملف مزايا صحية بواسطة مسؤول برنامج. إذا تم اختراق نظام النقل، قد يعلم الأفراد المتأثرون بسلسلة لم يروها أبدًا.

مواد NCSC وFCA في المملكة المتحدة تظهر أن المنظمين توقعوا من المؤسسات فهم التعرض المباشر والتعرض من طرف ثالث. هذا هو المعيار الصحيح. لا يمكن لمؤسسة أن تتوقف عند “نحن لا ندير MOVEit” إذا مرت بياناتها عبر مثيل مورد. ولا يمكن للمورد أن يتوقف عند “المنتج كان ضعيفًا” إذا احتفظ بالملفات لفترة أطول من اللازم أو أخر إخطار مراقبي البيانات.

للمؤسسات العالمية، يمكن للسلسلة عبور الحدود. الدليل العام في أي إشعار واحد قد لا يكشف أين جلس كل ملف أو تحرك. يجب على التحليل المسؤول تجنب اختراع مواقع البيانات. لكن المساءلة لا تتطلب مواقع مخترعة. تتطلب من المؤسسات توثيق مسار النقل بشكل كافٍ للإجابة على سؤال المحلية بسرعة عند وقوع حادث.

لذلك يجب أن يشمل سجل الإصلاح رسم خرائط سلسلة النقل. أي عملية تجارية تستخدم منتج النقل؟ أي أطراف مقابلة تقوم بتحميل أو تنزيل الملفات؟ أي ولايات قضائية تظهر بياناتها؟ أي عقود تخصص الإخطار والحذف والتشفير وواجبات التحقيق؟ أي ملفات تُمسح تلقائيًا؟ أي استثناءات تُراجع؟ نظام نقل بدون هذه الخريطة هو حد ثقة مبني على الذاكرة.

إصدار التصحيح لم يثبت التنظيف

واحدة من أقوى الدروس من MOVEit هي أن إصدار التصحيح والتنظيف التزامان مختلفان. أصدرت Progress التنبيهات والتصحيحات. كان على العملاء تطبيقها. لكن إذا حدث الاستغلال قبل التصحيح، كان على المشغل لا يزال إزالة الملفات الضارة، ومراجعة السجلات، وتحديد الوصول إلى البيانات، والحفاظ على الأدلة، وإخطار الأطراف المتأثرة، وإعادة النظر في الاحتفاظ. التصحيح يغلق بابًا واحدًا. لا يظهر ما جاء من خلاله قبل أن يغلق.

هذا التمييز مألوف لدى مستجيبي الحوادث لكنه غالبًا ما يكون غائبًا عن النقاش العام. قد يسأل مجلس الإدارة، “هل قمنا بالتصحيح؟” هذا ضروري. السؤال التالي هو، “هل تعرضنا للاختراق قبل التصحيح؟” ثم، “ما هي البيانات الموجودة؟” ثم، “هل يمكننا إثبات ذلك؟” ثم، “من يجب إخطاره؟” ثم، “ما التغييرات التي تقلل المخاطر في المرة القادمة؟” بدون هذا التسلسل، يمكن أن يصبح الامتثال للتصحيح خط نهاية زائفًا.

جعلت MOVEit المشكلة أصعب لأن الاستغلال كان واسعًا وكان المنتج غالبًا مواجهًا للإنترنت. كتالوج KEV من CISA ضغط توقعات الإصلاح، لكن العديد من المؤسسات كان عليها إجراء تحقيق جنائي تحت الضغط. بعضها ربما افتقر إلى السجلات. بعضها كان لديه أطراف ثالثة تدير المثيلات. بعضها كان لديه ملفات قديمة في مجلدات النقل. بعضها كان بحاجة إلى إخطار مجموعات متعددة في المصب. كان التصحيح التقني مجرد بداية الإصلاح التنظيمي.

إصدار Progress اللاحق في 2024 الذي أعلن اختتام تحقيق SEC هو جزء من سجل المساءلة، لكنه لا يغلق كل مسار آخر. لقرارات موظفي SEC، والدعاوى الخاصة، ومراجعات الجهات التنظيمية، وإخطار العملاء، وواجبات مراقب البيانات نطاقات مختلفة. يمكن لشركة تجنب توصية إنفاذ واحدة بينما لا تزال المؤسسات المتأثرة مدينة للأشخاص بإخطار واضح وما زال المشغلون بحاجة إلى تحسين الاحتفاظ.

هذا الإغلاق الطبقي مهم. مساءلة بائع المنتج، مساءلة مشغل العميل، ومساءلة مراقب البيانات تعمل على ساعات مختلفة. يحتاج الجمهور إلى معرفة أي ساعة تتم مناقشتها. “Progress قد صححت” ليس “جميع المشغلين نظفوا.” “لا توصية إنفاذ من SEC” ليس “لا ضرر للعميل.” “تم إرسال إشعار” ليس “تم إصلاح الاحتفاظ.” الوظيفة المركزية للمقال هي الحفاظ على هذه العبارات من الاختلاط.

أنظمة النقل تحتاج إلى انضباط الاحتفاظ

أهم درس غير متعلق بالتصحيح هو الاحتفاظ. غالبًا ما يُعالج نقل الملفات المُدار كقناة آمنة، لكن في الممارسة العملية يمكن أن تصبح مجلدات النقل مستودعات. تبقى الملفات لأن الحذف غير مريح، لأن لا أحد يملك مهمة التنظيف، لأن التكامل يحتاج إلى قدرة إعادة المحاولة، لأن المدققين يريدون التاريخ، لأن الأطراف المقابلة تنسى، أو لأن النظام يُستخدم بهدوء كتخزين. هذا الانجراف يحول ثغرة نقل إلى فشل تقليل البيانات.

يجب بناء انضباط الاحتفاظ في المنتج والعملية. يجب أن يكون للملفات تاريخ انتهاء افتراضي. يجب أن تكون الاستثناءات صريحة. يجب مراجعة مجلدات النقل الحساسة. يجب أن تحتفظ السجلات بأدلة كافية دون الاحتفاظ بالأعباء لفترة أطول من اللازم. يجب أن تحدد العقود قواعد الحذف وإعادة البيانات. يجب أن يعرف مراقبو البيانات ما إذا كان الموردون يحتفظون بنسخ النقل. يجب أن يكون المشغلون قادرين على الإجابة، في غضون ساعات، على فئات البيانات الموجودة أثناء نافذة الاختراق.

تقرير خصوصية نوفا سكوشا يظهر لماذا هذا ليس نظريًا. حدد قضايا حوكمة الخصوصية المحلية وتوصيات بعد حادثة MOVEit. قد لا يكون لدى المؤسسات الأخرى نفس النتائج، لكن كل مؤسسة يمكن أن تتعلم من النمط. ثغرة المنتج كانت المشغل؛ البيانات المحتجزة حددت نصف قطر الانفجار.

التشفير يحتاج أيضًا إلى تأطير دقيق. تشفير الملفات قبل النقل يمكن أن يقلل التعرض، لكن فقط إذا كانت المفاتيح غير قابلة للوصول من خلال نفس المسار المخترق ويمكن أن تستمر عملية الأعمال. التشفير أثناء النقل لا يساعد إذا وصل المهاجمون إلى النص العادي المخزن بعد التحميل. الترميز والتقليل والضوابط على مستوى الحقل قد تقلل الضرر، لكن فقط عند تصميمها في سير العمل. منتج النقل لا يجعل البيانات آمنة تلقائيًا لمجرد أنه منتج يركز على الأمان.

معيار المساءلة ممل ودقيق: اعرف الملفات، قلل الملفات، أنهِ الملفات، سجل الوصول، اختبر الحذف، وتدرب على مسار الإخطار. في منتج حدود الثقة، الضوابط المملة هي الفرق بين استغلال محصور وكشف جماعي.

العملاء يحتاجون إلى أدلة، وليس فقط تنبيهات

أثناء الحادث، احتاج العملاء إلى معرفة ما إذا كانوا مكشوفين، وما إذا كانوا ضعفاء، وما إذا تم استغلالهم، وما إذا سُرقت البيانات، وما إذا كانت التصحيحات كاملة، وما إذا كانت الثغرات اللاحقة تؤثر عليهم. يمكن للتنبيهات تقديم تعليمات عامة. لا يزال العملاء بحاجة إلى أدلة خاصة بالبيئة. قد تأتي هذه الأدلة من السجلات، والملفات، وفحص غلاف الويب، وسجلات الشبكة، ودعم البائع، والأدلة الجنائية من طرف ثالث، أو فرق مراجعة البيانات.

يمكن للبائع المساعدة من خلال جعل مسار الأدلة واضحًا. ما هي السجلات المهمة؟ أين توجد المؤشرات؟ أي الإصدارات تحتاج أي تصحيحات؟ أي العناصر تشير إلى اختراق؟ ما هي التخفيفات المؤقتة؟ كيف يجب على العملاء معالجة النشرات السحابية مقابل المحلية؟ ما هو معروف وغير معروف عن الاستغلال؟ أي الثغرات اللاحقة لها استغلال ملاحظ وأيها لا؟ حاولت الأسئلة الشائعة والتحديثات من Progress الإجابة على بعض هذه الأسئلة. سؤال المساءلة هو ما إذا كان بإمكان العملاء تشغيل هذه الإجابات بالسرعة الكافية.

يمكن للعملاء مساعدة أنفسهم من خلال الاستعداد قبل الأزمة. يجب عليهم الحفاظ على جرد حالي لأنظمة النقل، وحالة التعرض، والإصدار، والمالك، وفئات البيانات، وقواعد الاحتفاظ، والأطراف المقابلة، والاحتفاظ بالسجلات. يجب عليهم تحديد من يمكنه إيقاف تشغيل نظام النقل، ومن يخطر الأطراف المقابلة، ومن يراجع الملفات، ومن يتعامل مع الإخطار، ومن ينسق مع جهات إنفاذ القانون أو الجهات التنظيمية. يجب عليهم اختبار ما إذا كان الجرد دقيقًا.

يجب أن تحدد عقود الموردين أيضًا واجبات الأدلة. يجب أن يعرف المقاول الذي يدير MOVEit لوكالة عامة مدى السرعة التي يجب أن يخطر بها الوكالة، وما هي السجلات التي يجب أن يوفرها، وكيف سيتم مراجعة نطاق البيانات، ومن يدفع مقابل الإخطار، وكيف سيتم إدارة الاحتفاظ. بدون هذه الشروط، يصبح الاستجابة للحوادث مفاوضات بينما ينتظر الأشخاص المتأثرون.

أظهرت حلقة MOVEit أن البنية التحتية لمشاركة البيانات يمكن أن تصبح مسار فشل شائع عبر مؤسسات غير مرتبطة. هذا ليس سببًا للتخلي عن النقل المُدار. إنه سبب لحوكمته كحد عالي المخاطر. كلما كان وعد المنتج أقوى، كانت التزامات الأدلة أقوى عندما يفشل.

الدرس الدائم هو إثبات الحدود

سؤال المساءلة النهائي هو ما إذا كان يمكن إثبات الحدود. قبل الحادث، عالجت العديد من المؤسسات MOVEit كمكان موثوق لنقل الملفات الحساسة. بعد الحادث، يجب إعادة بناء الثقة من الأدلة: حالة التصحيح، السجلات، المؤشرات، قوائم الملفات، جداول الاحتفاظ، الإخطارات، وإجراءات المعالجة. لم تعد الثقة ادعاءً للمنتج. أصبحت مسار تدقيق.

بالنسبة لـ Progress، سجل الإصلاح الدائم هو مراجعة التطوير الآمن، والتنبيهات الواضحة، وجودة التصحيح، وتوجيه العملاء، وميزات المنتج التي تجعل التشغيل الآمن أسهل. بالنسبة للمشغلين، إنه الجرد، قدرة التصحيح الطارئ، إدارة التعرض، التسجيل، انضباط الاحتفاظ، تقييم الاختراق، الإخطار في المصب. بالنسبة لمراقبي البيانات، إنه معرفة أين تتحرك الملفات الحساسة وضمان أن العقود تحافظ على الرؤية. بالنسبة للأشخاص المتأثرين، إنه تلقي إخطار دقيق وفي الوقت المناسب ومفهوم عندما تعبر بياناتهم حدًا مخترقًا.

لا يمكن لطرف واحد إصلاح النظام البيئي بأكمله بمفرده. لكن يمكن لكل طرف التوقف عن الاختباء وراء الآخرين. لا يمكن للبائع أن يقول فقط إن على العملاء التصحيح عندما يكون المنتج مصممًا للنقل الحساس. لا يمكن للمشغل أن يقول فقط إن البائع كان به عيب عندما احتفظ المشغل بالبيانات وكشف الخدمة. لا يمكن لمراقب البيانات أن يقول فقط إن المقاول عالج الملف عندما يثق الأشخاص المتأثرون ببرنامج المراقب. المساءلة هي انضباط ربط تلك الحقائق الجزئية.

تنتمي MOVEit إلى سجل المخاطر والمساءلة لأنها تكشف كيف تعمل مشاركة البيانات الحديثة. تتحرك المعلومات الحساسة من خلال أدوات متخصصة، بين المؤسسات، تحت عقود لا يراها الناس أبدًا، وعبر أنظمة قد تُدار بعيدًا عن الفرد الذي توجد بياناته داخل الملف. عندما تفشل حدود النقل، يحتاج الجمهور إلى أكثر من عناوين التصحيح. يحتاج إلى إثبات لما عبر، ومن علم، ومن أبلغ، وما تغير، ولماذا يجب الوثوق بحد النقل التالي.

تتالي الإخطارات يحتاج إلى سلسلة أدلة خاصة به

أنتجت حادثة MOVEit العديد من الإخطارات العامة لأن علاقات البيانات كانت متعددة الطبقات. كشف بائع المنتج عن ثغرة. قيّم المشغلون الخوادم. أبلغ المقاولون العملاء. أبلغت الوكالات العامة وأنظمة التقاعد السكان المتأثرين. تلقى الأفراد رسائل من مؤسسات قد لا تكون قد أدارت منتج النقل مباشرة. يمكن أن يكون تتالي الإخطار هذا شرعيًا، لكنه يخلق مشكلة مساءلة ثانية: كل إشعار يعتمد على أدلة من طرف آخر.

تقرير حادثة نوفا سكوشا العام public incident report مفيد لأنه يظهر كيف كان على مشغل واحد إعادة بناء تسلسل زمني، وتحديد الوصول إلى الملفات، والتصحيح، والإيقاف، والاستئناف، والإبلاغ. تقرير تحقيق مفوض خصوصية نوفا سكوشا اللاحق investigation report يضيف طبقة مختلفة بفحص حوكمة الخصوصية وجودة الاستجابة. هذان المستندان معًا يظهران أن الإخطار ليس مجرد دمج بريد. إنه سلسلة أدلة.

يظهر نفس النمط في السجلات المتأثرة الأخرى. صفحة حادثة بيانات مدارس NYC العامة data incident page أخبرت العائلات والموظفين ما فهمته الإدارة عن الملفات المنسوخة وفئات البيانات. إشعار CMS بأنه يستجيب لخرق بيانات في مقاول يظهر كيف يمكن أن يتأثر برنامج فيدرالي من خلال استخدام المقاول. إشعار خرق الطرف الثالث لـ CalPERS third-party breach notice يظهر نسخة التقاعد وسلسلة التوريد من نفس المشكلة. كان على كل مؤسسة ترجمة الأدلة من المصب إلى واجب إخطار لسكانها.

يمكن أن تفشل هذه الترجمة بطرق دقيقة. قد يعرف المقاول أن خادمًا قد تم استغلاله لكنه لا يعرف بعد أي ملفات العملاء تم نسخها. قد يعرف مراقب البيانات اسم ملف لكن ليس كل السكان داخل الملف. قد يعرف البائع أن ثغرة قد تم استغلالها لكن لا يرى سجلات عميل محلي. قد يتلقى منظم إخطارًا أوليًا قبل أن يستقر عدد الأشخاص المتأثرين. كل تسليم يخلق عدم يقين.

لذلك يجب أن يتطلب معيار الإصلاح سلسلة أدلة إخطار. لكل سير عمل نقل حساس، يجب أن يعرف المشغل من يملك البيانات، ومن يجب إخطاره، وما هي السجلات التي تثبت الوصول، وما هي الملفات التي تتطابق مع أي سكان، ومن يراجع المحتويات، ومن يوافق على الإخطار النهائي. يجب تدريب السلسلة قبل وقوع حادث. إذا كانت المرة الأولى التي تحدد فيها وكالة عامة ملفات MOVEit الخاصة بها للأفراد المتأثرين هي بعد الاستغلال الجماعي، فإن نظام النقل لم يُحكم كحد عالي المخاطر.

تصميم المنتج يمكن أن يقلل من المخلفات

أقوى إصلاح لنظام النقل ليس فقط التصحيح الأسرع. إنه بقايا أقل لسرقة المهاجمين. يمكن لمنتج نقل ملفات مُدار دعم ذلك من خلال ميزات المنتج والإعدادات الافتراضية: انتهاء صلاحية الملفات تلقائيًا، وملكية مجلد واضحة، وتحذيرات الاحتفاظ، ومسارات تدقيق قابلة للبحث، وضوابط التشفير، وتنبيهات حول سلوك التنزيل غير العادي، ولوحات إدارية تظهر الملفات الحساسة القديمة. لا يزال على المشغلين تكوين واستخدام هذه الميزات، لكن تصميم المنتج يمكن أن يجعل التشغيل الآمن هو المسار الأسهل.

ملاحظات إصدار Progress لـ MOVEit Transfer 2023 و المشكلات التي تم إصلاحها في 2023 هي سجلات تصحيح وإصدار، وليس تدقيقًا كاملاً لتصميم المنتج. لكنها تشير مع ذلك إلى توقع أوسع: بعد استغلال كبير، يجب على العملاء النظر ليس فقط للتحديث الأمني المحدد ولكن لتغييرات المنتج التي تجعل إساءة الاستخدام المستقبلية أقل ضررًا. يجب أن يساعد منتج النقل العملاء على فهم ما لا يزال موجودًا في مساحة النقل.

يحتاج المشغلون أيضًا إلى مقاييس البقايا. كم عدد الملفات الأقدم من حاجة العمل لا تزال في مجلدات النقل؟ كم عددها يحتوي على بيانات منظمة؟ كم عددها مملوكة لمشاريع سابقة أو موظفين غادروا؟ أي الأطراف المقابلة لا تزال قادرة على استرجاعها؟ أي منها مشفر في وضع السكون لكن قابل للقراءة من خلال التطبيق؟ أي منها لم يتم تنزيله أبدًا؟ أي منها تم تنزيله بشكل غير عادي في كثير من الأحيان؟ هذه أسئلة عادية، لكنها تحدد نصف قطر الانفجار.

تحليلات التعرض من Censys، MOVEit Transfer و MOVEit: تحليل صناعي، تشرح التعرض من الخارج. مقاييس البقايا تشرح التعرض من الداخل. كلاهما مطلوب. يمكن أن يكون الخادم مواجهًا للإنترنت وفارغًا، وهذا لا يزال خطر تصحيح لكن ليس حدث كشف بيانات. خادم آخر يمكن أن يتم تصحيحه متأخرًا ويحتوي على سنوات من الملفات الحساسة، مما يصبح أكثر خطورة. فحص الخارج وجرد الملفات الداخلي يجب أن يلتقيا.

شراكة المنتج والمشغل المسؤولة واضحة. يجب على البائع تقديم ضوابط تجعل الملفات الحساسة القديمة مرئية وقابلة للتقليل. يجب على المشغل تعيين إعدادات افتراضية تزيل الملفات على الفور ما لم تكن هناك حاجة موثقة. يجب على مراقبي البيانات حظر مجلدات النقل من أن تصبح أرشيفات ما لم تكن قصة الاحتفاظ والحماية صريحة. الهدف ليس فقط منع الاستغلال التالي، بل جعل الاستغلال التالي أصغر.

يجب على المشتريات أن تسعر الأدلة والتنظيف

غالبًا ما تشتري المؤسسات النقل المُدار من أجل الموثوقية والأمان والراحة. تظهر حادثة MOVEit أن المشتريات يجب أن تسعر أيضًا الأدلة والتنظيف. يجب على المشتري أن يسأل ما إذا كان المنتج يمكنه إنتاج سجلات مفيدة، وما إذا كانت تلك السجلات تدوم طويلاً، وما إذا كان البائع يمكنه دعم الأدلة الجنائية الطارئة، وما إذا كان من السهل فرض ضوابط الاحتفاظ، وما إذا كان الدعم يمكنه التمييز بين المسؤوليات المستضافة في السحابة والمسؤوليات المُدارة ذاتيًا في الأزمات.

بالنسبة للوكالات العامة، هذه ليست أعمال ورقية. قد يضطر نظام مدرسي أو صندوق تقاعد أو برنامج صحي أو مقاول إلى إخطار مئات الآلاف من الأشخاص. إذا كان نظام النقل لا يمكنه بسرعة تحديد الملفات التي تم الوصول إليها وما يحتويه كل ملف، تصبح عملية الإخطار العام أبطأ وأكثر تكلفة. المدخرات من سير عمل نقل مريح يمكن أن تطغى عليها مراجعة الملفات اليدوية بعد الاختراق.

يجب أن تنص العقود على واجبات الأدلة. ما مدى السرعة التي يجب أن يخطر بها المشغل مراقب البيانات بعد الاشتباه في الاستغلال؟ ما هي السجلات وقوائم الملفات التي يجب تسليمها؟ من يدفع مقابل المراجعة؟ من يحافظ على الأدلة؟ من يتواصل مع البائع؟ ماذا يحدث إذا استخدم مقاول منتج نقل دون إبلاغ مالك البيانات؟ أي قواعد احتفاظ تنطبق على البيانات بعد النقل؟ شروط العقد هذه ليست زخرفة قانونية. إنها تعليمات العمل للأزمة القادمة.

بيان FCA في المملكة المتحدة MOVEit vulnerability statement طلب من الشركات الخاضعة للتنظيم فهم التعرض المباشر والمباشر من طرف ثالث. يجب بناء هذا التوقع في المشتريات قبل ظهور ثغرة. لا يمكن لشركة أن تفهم التعرض من طرف ثالث إذا كانت عقودها وجردها لا تكشف أين تتحرك الملفات.

الدرس النهائي للمشتريات هو أن النقل الموثوق هو نتيجة خدمة، وليس علامة منتج. يمكن تصميم منتج للنقل الآمن بينما يستخدمه العميل كتخزين غير مُدار. يمكن للمقاول تشغيل مثيل مصحح مع الاحتفاظ ببيانات كثيرة جدًا. يمكن للبائع إصدار تنبيهات بينما يفتقر المشتري إلى الجرد. يجب على المشتري شراء وإدارة سلسلة الأدلة بأكملها، لأن هذا ما سيحتاجه الأشخاص المتأثرون عندما يفشل الحد.

دليل النطاق لا يجب أن يسوي الواجبات المحلية

ساعدت الإحصائيات العامة الواسعة القراء في فهم حجم حملة MOVEit، لكنها يمكن أيضًا أن تسوي واجبات المشغلين الفرديين. التحليل العام من Emsisoft public analysis جمع المؤسسات والأفراد المعروفين من الإخطارات العامة والملفات والإفصاحات والادعاءات الإجرامية. إشارة النطاق هذه مفيدة لأنها تظهر أن الحادث لم يكن معزولاً. لا ينبغي أن تصبح بديلاً عن المساءلة المحلية.

كل مؤسسة في الإحصاء لا يزال لديها أسئلتها الخاصة للإجابة عليها. أي خادم تأثر؟ هل كان المثيل يُدار داخليًا أم بواسطة مورد؟ أي ملفات تم نسخها؟ أي حقول بيانات كانت بداخلها؟ هل كانت الملفات لا تزال مطلوبة؟ أي منظم أو طرف تعاقدي يجب إخطاره؟ أي الأفراد المتأثرين يحتاجون إلى حماية هوية أو دعم آخر؟ لا يمكن للعدد العالمي الإجابة على هذه الأسئلة المحلية.

دليل النطاق يمكن أيضًا أن يخفي الوقت. بعض المؤسسات كشفت بسرعة؛ البعض الآخر احتاج شهورًا لمراجعة الملفات وتحديد الأشخاص. الإخطار المتأخر قد يعكس بطءًا غير مسؤول، أو تعقيدًا حقيقيًا لمراجعة البيانات، أو تأخير تسليم المورد، أو حذرًا قانونيًا. لا يمكن للجمهور افتراض سبب واحد دون دليل. لكن المشغل الناضج يمكن أن يقلل من هذا التأخير قبل الحادث التالي من خلال الحفاظ على جرد الملفات، وقواعد الاحتفاظ، وتعيينات مالك البيانات الحالية.

أقوى تقرير عام بعد استغلال جماعي يجب أن يجمع بين وجهتي نظر. الأولى هي رؤية الحملة: تنبيه البائع، تنبيه الحكومة، مؤشرات الاستغلال، قياس التعرض، وتقديرات السكان المتأثرين الواسعة. الثانية هي الرؤية المحلية: التسلسل الزمني لمشغل معين، ونطاق البيانات، وأساس الإخطار، ودروس الاحتفاظ، والمعالجة. علمت MOVEit أن كلتا الرؤيتين ضروريتان. نطاق الحملة يشرح لماذا كانت القضية مهمة؛ الأدلة المحلية تشرح من كان مسؤولاً عن كل شخص متأثر.

رقابة مجلس الإدارة يجب أن تطلب أدلة الحدود

درس مجلس الإدارة من MOVEit ليس أن يصبح المدراء مهندسي نقل ملفات. إنه أن يطلبوا من الإدارة أدلة حول الحدود التي تحمل البيانات الحساسة. يمكن للجنة مخاطر المجلس طرح أسئلة بسيطة وملموسة: أي أنظمة نقل مُدارة مواجهة للإنترنت، ومن يملكها، وأي فئات بيانات حساسة تمر عبرها، وكم تبقى الملفات، وأي موردين يديرونها، وأي سجلات تثبت الوصول، وكم سرعة يمكن للمؤسسة تحديد السكان المتأثرين بعد اختراق. هذه الأسئلة هي أسئلة حوكمة عادية بمجرد فهم أنظمة النقل كحدود ثقة.

يجب أن تصل نفس الأسئلة إلى المشتريات والتدقيق الداخلي. يمكن للمشتريات أن تطلب من البائعين وموفري الخدمات المُدارة وصف توقيت التصحيح، الإخطار الطارئ، تسليم السجل، حذف البيانات، والأدلة الخاصة بالعميل. يمكن للتدقيق الداخلي أن يأخذ عينة مما إذا كانت مجلدات النقل تتبع قواعد الاحتفاظ بالفعل وما إذا كان مالكو النظام يمكنهم إنتاج جرد الملفات. يمكن لفرق الأمن اختبار ما إذا كانت فحوصات التعرض وتنبيهات الثغرات وخطط الاستجابة للحوادث تغطي بيئة النقل. يمكن لفرق الخصوصية تحديد أي قوانين أو عقود تنطبق عندما تعبر الملفات الحد.

هذه الأدلة لا تحتاج إلى أن تكون مسرحية. يمكن أن تكون جردًا حاليًا، وتقرير احتفاظ، وتمرين طاولة حديث، وشرط إخطار المورد، وعينة من سجل الوصول، وقائمة من الاستثناءات غير المحلولة. المهم هو أن المنظمة يمكنها إثبات أن الحد محكوم قبل أن يختبره المهاجمون. أظهرت MOVEit أن منتج النقل الموثوق يمكن أن يصبح مسار تعرض مشترك بسرعة كبيرة. لذلك يجب على مجالس الإدارة معالجة النقل الموثوق كبنية تحتية، وليس سباكة كتابية.

السؤال النهائي لأي منظمة تستخدم نقل الملفات المُدار هو ما إذا كانت يمكنها الإجابة على قلق أساسي لشخص متأثر دون أسابيع من إعادة البناء: هل كانت بياناتي في النظام، هل تم نسخها، لماذا كانت لا تزال هناك، من تحكم بها، من استلمها، وما الذي تغير بعد الحادث؟ إذا كانت هذه الإجابات تتطلب ارتجالاً، فإن الحد ليس مسؤولاً بعد.

هذه الأدلة المحلية هي أيضًا ما يسمح لمجالس الإدارة بتمييز مهمة تصحيح مكتملة من إصلاح ثقة مكتمل.