أظهر MOVEit كيف يمكن لمستويات التحكم في نقل الملفات تحويل توقيت التصحيح إلى إفصاح جماعي

ملخص

• جعل MOVEit توقيت التصحيح مشكلة إفصاح لأن الاستغلال لوحظ قبل التصحيحات العامة وقبل أن يعرف العديد من المشغلين أنهم ضمن النطاق. يمكن لتصحيح 31 مايو أن يمنع الاستغلال اللاحق، لكنه لم يستطع إثبات أن سرقة 27-30 مايو لم تحدث بالفعل.
• كان الكائن الهش هو مستوى التحكم في نقل الملفات: تطبيق مواجه للإنترنت يُستخدم لمصادقة التبادلات، وحفظ الملفات الحساسة، وأتمتة النقل المتكرر، وإنتاج أدلة التدقيق. عندما تم اختراق مستوى التحكم هذا، أصبح السؤال اللاحق هو: ما الملفات التي كانت موجودة، وأي العملاء يمتلكونها، وأي الأشخاص يجب إخطارهم.
• سيطرت Progress على إصلاحات المنتج، والاستجابة السحابية، والتحذيرات، واتصالات الدعم. سيطر المشغلون المحليون على التعرض، وتطبيق التصحيح، والتسجيل، والاحتفاظ بالملفات، والتحقيق المحلي. سيطر مالكو البيانات على خرائط الموردين وواجبات الإخطار. جعلت حدود التحكم هذه الثغرة نفسها تنتج جداول زمنية مختلفة جدًا للإفصاح.
• الدرس الدائم هو أن برامج التصحيح الطارئة للبنية التحتية لنقل الملفات تحتاج إلى خطط أدلة معدة مسبقًا: سجلات دائمة، احتفاظ قصير للملفات المتبادلة، ملكية عملاء محددة، مسارات انقطاع مختبرة، ولغة تحذيرية تميز بين "صحيح الآن" و"ربما تكون قد تعرضت للاختراق بالفعل".

خريطة الأدلة

مستوى التحكم هو ما فشل

MOVEit Transfer كان أداة للتبادل المتحكم فيه. هذا ما جعل الحملة بهذه العواقب. النظام الضعيف لم يكن تطبيق ويب عشوائيًا يحمل بيانات جلسة منخفضة القيمة. بل كان مستوى تحكم في نقل الملفات. يقوم بمصادقة المستخدمين، وتخزين أو تدريج الملفات، وأتمتة التبادلات، وتسجيل النشاط، ويقع على الحدود بين المنظمات التي تثق ببعضها بما يكفي لنقل السجلات الحساسة. فشل عند تلك الحدود يغير كل من الأمان والأدلة.

غالبًا ما يتم التعامل مع الحدث كمشكلة حدود ثقة في نقل الملفات، وهذا الإطار ضروري. عدسة مستوى التحكم الأضيق تسأل كيف أدى توقيت التصحيح، وحفظ الأدلة، وتسلسل التحذيرات إلى تحويل منتج مستغل إلى أشهر من عمل الإفصاح. التمييز الأساسي هو بين إصلاح الكود الضعيف وإعادة بناء ما سمح به مستوى التحكم بالفعل. يمكن للتصحيح إغلاق مسار الدخول. لا يمكنه إخبار نظام المعاشات أي الأعضاء المتقاعدين كانوا داخل ملف مسروق. لا يمكنه إخبار النظام المدرسي أي التقييمات تم نسخها. لا يمكنه إخبار مزود الخدمة أي العملاء يمتلكون سجلات تم تدريجها في مجلد إذا كان الاحتفاظ والتسمية وبيانات الملكية والسجلات ضعيفة.

لهذا السبب تتطلب منصات نقل الملفات المُدارة نموذج استعداد مختلفًا عن برامج المحيط العادية. غرضها هو الاحتفاظ بالبيانات الحساسة أثناء الحركة، أحيانًا لفترة وجيزة وأحيانًا أطول مما يتوقع أي شخص. إذا استغل المهاجمون المنصة، يمكن أن يكون كشف البيانات فوريًا حتى لو لم يتم اختراق بقية الشبكة. وصفت التقارير العامة من العديد من الضحايا سرقة من بيئات MOVEit بدلاً من السيطرة الكاملة على المؤسسة. هذا الاختراق الأضيق لا يزال ينتج أزمة إفصاح واسعة لأن الملفات نفسها تمثل العديد من الأشخاص والعديد من مالكي البيانات النهائيين.

سيطرت Progress على المنتج وبيئات MOVEit Cloud. سيطر العملاء المحليون على نسخهم المحلية. استخدمت بعض المنظمات مزودي خدمات يديرون MOVEit نيابة عنها. هذا الخليط جعل المساءلة ليست بسيطة ولا غامضة. يمكن للبائع إصدار التصحيحات والتحذيرات. يمكنه تصحيح خدمته السحابية. لا يمكنه دائمًا معرفة الإصدار أو التعرض أو الملفات المخزنة أو سجلات المنشآت التي يديرها العملاء. يمكن للمشغلين منع الوصول، وتصحيح، وحفظ الأدلة، وفحص الأنظمة المحلية. لا يمكنهم إعادة كتابة كود المنتج الضعيف قبل وجود تصحيح. يمكن لمالكي البيانات إخطار الأشخاص فقط بعد أن يفهموا ما إذا كانت سجلاتهم ضمن الملفات المتأثرة.

لذلك أصبح توقيت التصحيح هو توقيت الإفصاح. كل ساعة قبل أن يصبح التصحيح عامًا يمكن أن تكون نافذة سرقة. كل ساعة بعد أن يصبح التصحيح عامًا ولكن قبل أن يمنع المشغل الوصول يمكن أن تكون نافذة خطر جديدة. كل ساعة يتم قضاؤها في التصحيح دون حفظ الأدلة يمكن أن تضر بالقدرة على تحديد نطاق الاختراق. كل يوم يتم قضاؤه في تعيين الملفات للعملاء يؤخر إخطار الأشخاص المتأثرين. نفس الثغرة من نوع يوم صفر خلقت مشاكل مساءلة مختلفة اعتمادًا على مكان المنظمة في السلسلة.

الاستغلال قبل الإفصاح غير معنى "صحيح الآن"

بدأت الاستجابة العامة في 31 مايو 2023، عندما كشفت Progress عن الثغرة الحرجة في MOVEit Transfer ونشرت التخفيف والإصدارات المصححة. تظهر سجلات الاستجابة للحوادث أن الاستغلال قد حدث بالفعل. أبلغت Mandiant عن أقدم دليل ملاحظ في 27 مايو. أكدت Rapid7 المؤشرات والسرقة التي يعود تاريخها إلى 27 و 28 مايو. يقول ملف Progress إن فريق الدعم تلقى مكالمة عميل أولية في مساء 28 مايو بالتوقيت الشرقي، وحشد التحقيق، وحدد ثغرة من نوع يوم صفر في 30 مايو.

هذا التسلسل الزمني مهم لأنه يغير معنى التصحيح الطارئ. "صحيح الآن" يعني عادةً أنه لا يزال من الممكن إنقاذ نظام ضعيف إذا تصرف المشغل بسرعة. في حملة ثغرة من نوع يوم صفر قبل الإفصاح، يعني "صحيح الآن" شيئين في وقت واحد: منع المزيد من الاستغلال وافتراض أن الاختراق قد حدث بالفعل. المهمة الأولى هي إدارة التغيير. الثانية هي التحقيق. معاملتهما كنفس المهمة يخلق خطرًا.

قد لا يزال الخادم المصحح يحتوي على قشرة ويب. قد يكون الخادم المصحح قد فقد ملفات بالفعل. قد يكون الخادم المصحح يحتوي على سجلات على وشك التدوير. قد تتم استعادة الخادم المصحح إلى الخدمة قبل أن يفهم المحققون ما حدث. التقرير العام لـ Nova Scotia هو حالة قيمة لأنه يظهر هذا التوتر في الممارسة. حددت المقاطعة التحذير، وأوقفت النظام، وصححته، وأعادته إلى الخدمة. بعد إرشادات وطنية إضافية حول عناوين IP مشبوهة، أوقفته مرة أخرى ووجدت نشاطًا مشبوهًا. أكدت لاحقًا أن الملفات قد سُرقت قبل التصحيح.

هذا التسلسل لا يعني أن Nova Scotia كانت مهملة. يعني أن بيئة التحذير العام كانت تتغير أثناء تصرف المشغلين. كان على المستجيبين الأوائل الموازنة بين استعادة الخدمة وحفظ الأدلة مع معلومات غير كاملة. الدرس العام هو أن الإرشادات الطارئة لمستويات التحكم في نقل الملفات يجب أن تخبر المشغلين بالحفظ قبل الإصلاح حيثما أمكن، ومعاملة التصحيح كفرع واحد فقط من شجرة الحادثة.

التمييز مهم أيضًا للحكم اللاحق. المنظمة التي تم استغلالها في 27 مايو لم تكن قادرة على تطبيق تصحيح 31 مايو في 27 مايو. كانت ضوابطها ذات الصلة هي التعرض للإنترنت، والتقسيم، والمراقبة، والتسجيل، وتقليل البيانات. المنظمة التي ظلت مكشوفة بعد 31 مايو واجهت سؤالًا مختلفًا: لماذا لم يتم التخفيف بعد التحذير العام؟ قد ينتهي الأمر بكلا المجموعتين إلى تقديم إخطارات الاختراق. حقائق المساءلة الخاصة بهما ليست هي نفسها.

الاستجابة السحابية والمحلية كان لها ساعات مختلفة

قامت Progress بتشغيل MOVEit Cloud وبيعت MOVEit Transfer لتشغيل العملاء. التمييز كان مهمًا على الفور. بالنسبة لـ MOVEit Cloud، يمكن لـ Progress منع الوصول، والتصحيح، والتحقيق، والاختبار، والاستعادة. بالنسبة للنشر المحلي، يمكن لـ Progress الإفصاح، والإخطار، ونشر الإصلاحات، والدعم، لكنها لم تستطع تصحيح كل خادم مباشرة أو جمع كل سجل محلي. أشار ملفها صراحة إلى نقص القياس عن بعد المستمر للإصدارات التي يديرها العملاء، والنشاط، والبيانات المخزنة، وحالة التصحيح.

هذا القيد ليس عذرًا؛ إنه حد تحكم. بائعي البرامج الذين يبيعون منتجات مواجهة للإنترنت محلية غالبًا ما يكون لديهم رؤية حية محدودة. يقدر العملاء هذا النموذج للاستقلالية والتحكم في البيانات. يظهر المفاضلة أثناء ثغرة من نوع يوم صفر. قد لا يعرف البائع من هو المكشوف، أو أي الإصدارات لا تزال متصلة، أو ما إذا كان عميل سابق لا يزال يدير نسخة. قد لا يتلقى العميل التحذير إذا كانت سجلات الملكية قديمة. قد يدير مزود الخدمة الخادم، بينما يظل مالك البيانات مسؤولاً قانونيًا عن الإخطار.

عملاء السحابة يواجهون خطرًا مختلفًا. قد يكون لديهم عبء تصحيح أقل لأن المزود يتحكم في البيئة. يعتمدون أيضًا بشكل أكبر على أدلة المزود وقرارات الاستعادة. قالت Progress إن الوصول إلى MOVEit Cloud تم إيقافه، وتصحيحه، واختباره، واستعادته. هذا هو الإجراء الصحيح للمزود، لكن العملاء ما زالوا بحاجة إلى مراجعة السجلات، وفحص التنزيلات غير العادية، وتحديد ما إذا كانت ملفاتهم قد تم الوصول إليها. يمكن للمزود إغلاق مستوى التحكم المشترك؛ لا يزال العميل يمتلك عواقب خاصة بالبيانات.

أنتج النموذج الهجين ساعات غير متساوية. بعض الإجراءات السحابية يمكن أن تحدث مركزيًا. بعض الإجراءات المحلية تعتمد على المسؤولين المحليين، ومزودي الخدمة المدارة، ونوافذ التغيير. بعض إخطارات مالكي البيانات تعتمد على الموردين الذين يحتاجون إلى تعيين الملفات للعملاء. لذلك امتدت موجة الإفصاح العام لأشهر، ليس لأن تصحيحًا واحدًا استغرق شهورًا للتثبيت في كل مكان، ولكن لأن أدلة مستوى التحكم كانت موزعة.

هذا درس في التصميم. يجب على بائعي البنية التحتية للنقل الحفاظ على دقة اتصالات العملاء، وقنوات القياس عن بعد الاختيارية، ومسارات إخطار الطوارئ للثغرات، وأدلة الإصدار القابلة للقراءة آليًا. يجب على العملاء الحفاظ على جرد الأصول المواجهة للإنترنت، وسجلات الملكية، وطرق التصعيد. يجب على مزودي الخدمة الحفاظ على تعيين العميل إلى الملف وساعات الإخطار التعاقدية. بدون هذه السجلات، يصبح التحذير بثًا في الضباب.

تسلسل التصحيح في يونيو حوّل اليقين إلى هدف متحرك

إصلاح 31 مايو لم ينه العمل الأمني. اكتشفت Progress والباحثون ثغرات إضافية من نوع SQL Injection في الأسابيع التالية. أصدرت Progress تصحيح 9 يونيو لـ CVE-2023-35036، ثم تصحيح 15 يونيو لـ CVE-2023-35708. يصف الجدول الزمني لـ Rapid7 والأسئلة الشائعة لـ Progress التسلسل. تناولت إصدارات يوليو اللاحقة المزيد من الثغرات. ربطت الأدلة العامة حملة الاستغلال الجماعي بـ CVE-2023-34362، وليس بكل اكتشاف لاحق. ومع ذلك، غير تسلسل التصحيح العبء على المشغلين.

بالنسبة للمشغل، أصبح "لقد صححنا MOVEit" ادعاءً مختومًا بزمن. التصحيح في 1 يونيو لا يعني التصحيح في 10 يونيو. التصحيح في 10 يونيو لا يعني الاكتمال بعد 15 يونيو. استبيان الامتثال الذي سأل فقط عما إذا كانت نسخة ما قد تم تصحيحها يمكن أن ينتج راحة زائفة. الدليل المناسب هو الإصدار والتاريخ والوقت وحالة الوصول إلى الويب وفرع التصحيح وما إذا كانت كل عقدة في النشر قد تم تحديثها.

هذا هو المكان الذي تكون فيه دورة حياة البرامج والارتباط بها مهمة. غالبًا ما يكون منتج نقل الملفات مدمجًا في وظائف مجدولة، وسير عمل الشركاء، وأنظمة المصادقة، وقواعد جدار الحماية، والعمليات التجارية. إيقافه عن العمل يقطع العمل الحقيقي. تصحيحه بشكل متكرر يمكن أن يتطلب اختبارًا وتنسيقًا. المنظمة المرتبطة بسير العمل لا يمكنها ببساطة التخلي عن المنتج أثناء الأزمة. يجب أن تستمر في تشغيل مستوى التحكم بينما مستوى التحكم نفسه قيد التدقيق.

يمكن أن يساعد تحرك Progress اللاحق نحو حزم الخدمات والصيانة الأكثر قابلية للتنبؤ في وضع الأمن الروتيني. الاستغلال الطارئ مختلف. خلال حملة نشطة، الوضوح أهم من الإيقاع. يجب أن يقول كل تحذير أي الإصدارات متأثرة، وما الذي تغير منذ التحذير السابق، وما إذا كان قد لوحظ استغلال، وما إذا كان يجب أن يظل الوصول إلى الويب مقيدًا، وما إذا كان التصحيح يلغي جميع التخفيفات السابقة. يحتاج المشغلون إلى شجرة قرار، وليس فقط ملاحظات الإصدار.

تسلسل يونيو غير أيضًا لغة الإفصاح. إذا لم يكن لدى العميل دليل على استغلال مايو لكنه ظل مكشوفًا لثغرة لاحقة قبل التصحيح، تغير نطاق التحقيق. إذا لم يتم ملاحظة استغلال الثغرات اللاحقة، يجب أن يقال ذلك بوضوح لتجنب تضخيم أعداد الحوادث. يتطلب توقيت التحذير الجيد الدقة حول الاستغلال الملاحظ، والقدرة المحتملة، وضرورة التصحيح. دمجهم في إنذار واحد يخلق إرهاقًا ويمكن أن يخفض جودة الاستجابة.

أدلة موارد الشبكة ساعدت لكنها لم تستطع إثبات الاختراق

كانت أدلة فحص الإنترنت مهمة في حملة MOVEit. حددت Censys آلاف مضيفي MOVEit المكشوفين على الإنترنت حول فترة الإفصاح وتتبعت التغييرات في التعرض. ساعدت هذه البيانات في إظهار السكان الذين يمكن الوصول إليهم والسرعة التي توقفت بها بعض الخدمات. يمكن أن تساعد أيضًا المنظمات في اكتشاف الأصول المنسية أو علاقات الاستضافة مع طرف ثالث. أدلة موارد الشبكة قيمة لأن المهاجمين يجدون الخدمات المكشوفة أسرع من العديد من جرد الأصول.

لكن التعرض ليس اختراقًا. المضيف المرئي على الإنترنت قد يكون محميًا بضابط تعويضي، أو تم تصحيحه بالفعل، أو غير ضعيف بسبب الإصدار، أو غير مستخدم لتخزين ملفات حساسة. على العكس، المضيف الذي لم يتم التقاطه بواسطة فحص معين قد يكون لا يزال مخترقًا. يرى الماسح الضوئي السمات الخارجية الملاحظة؛ لا يقرأ السجلات المحلية أو تاريخ الملفات. حذر تحليل الصناعة اللاحق من Censys من معاملة ملاحظات التعرض كأعداد للضحايا.

ينطبق نفس التحذير على مؤشرات IP وأسماء قشرة الويب. نشرت CISA وMandiant وRapid7 وHuntress وغيرهم من المستجيبين مؤشرات مفيدة. كانت تلك المؤشرات أدلة للتحقيق المحلي، وليس دليلًا عالميًا. يمكن للمهاجمين تغيير البنية التحتية. يمكن أن تدور السجلات. اسم ملف معروف مفقود لا يثبت السلامة. عنوان مصدر معروف في سجل لا يثبت دائمًا سرقة ناجحة. الدليل المحلي يظل حاسمًا.

الدرس من مستوى التحكم هو أن الأدلة يجب أن تكون متعددة الطبقات. تحدد الفحوصات الخارجية الخدمات التي يمكن الوصول إليها. تحدد تحذيرات البائع الإصدارات المتأثرة والإصلاحات. تحدد تقارير التهديد السلوكيات الملاحظة. تُظهر السجلات المحلية الطلبات والحسابات والتنزيلات والملفات والطوابع الزمنية. تُظهر سجلات الاحتفاظ بالملفات ما كان موجودًا. تُظهر خرائط بيانات العملاء من يملك السجلات. تحتاج قرارات الإفصاح إلى كل هذه الطبقات. الضعف في أي طبقة يبطئ الإخطار أو يخلق إخطارًا واسع النطاق.

كشف MOVEit كيف كان على العديد من المنظمات بناء هذه المجموعة من الأدلة تحت الضغط. بعضها فعلها علنًا وبشكل جيد. أخرى كشفت بعد أشهر من خلال الموردين. الفرق لم يكن دائمًا الجودة الأخلاقية. غالبًا ما كان يعكس ما إذا كانت المنظمة لديها سجلات دائمة، وملكية ملفات واضحة، واحتفاظ قصير، وخريطة مورد جاهزة للحوادث قبل وصول التحذير.

الإفصاح الجماعي كان فشلًا في تعيين البيانات بقدر ما كان نتيجة سرقة

أصبحت الحملة مرئية عالميًا من خلال إشعارات الإفصاح. يمكن لمنصة نقل ملفات واحدة مستغلة أن تحتوي على ملفات من العديد من العملاء، وكل ملف يمكن أن يحتوي على سجلات للعديد من الأشخاص. بعد السرقة، لم يعد السؤال فقط "هل تم تصحيح MOVEit؟" بل كان "أي الصفوف في أي ملفات تمثل أي أشخاص تحت أي التزامات قانونية؟" هذا هو تعيين البيانات.

كان على Nova Scotia إخطار مجموعات بما في ذلك الموظفين العموميين، والعاملين الصحيين، ومتلقي المعاشات، والطلاب، وعملاء الخدمات المجتمعية. أبلغت وزارة التعليم في مدينة نيويورك عن نسخ حوالي 19000 ملف تضمنت تقييمات الطلاب، وتقارير تقدم الخدمة، ومواد Medicaid، وسجلات إجازة الموظفين. كشفت CalPERS عن التعرض من خلال PBI Research Services، مورد يستخدم لتحديد وفيات الأعضاء ومنع المدفوعات الزائدة. تُظهر هذه الأمثلة ثلاثة أنماط: تأثير المشغل المباشر، وملكية البيانات في القطاع العام، والتعرض عبر الموردين.

غالبًا ما يتم التعامل مع تعيين البيانات كإدارة خصوصية. في حادث نقل ملفات، هو ضابط استرداد. إذا تم الاحتفاظ بالملفات لفترة أطول من اللازم، يزيد التعرض. إذا لم تحدد أسماء الملفات ملكية العميل، يتباطأ تحديد النطاق. إذا لم يتمكن مزود الخدمة من تعيين ملف بسرعة لمالك البيانات، يتباطأ الإخطار. إذا لم يعرف مالك البيانات أن المورد يستخدم MOVEit، فقد يعلم بالحادثة فقط بعد أن يبدأ المورد تحقيقه الخاص.

لذلك يجب أن يحمل مستوى التحكم في نقل الملفات بيانات وصفية تدعم التحديد الطارئ للنطاق: مالك البيانات، فئة الاحتفاظ، غرض النقل، وقت الحذف المتوقع، فئة الحساسية، واتصال العميل. لا يمكن أن تكون كل البيانات الوصفية عامة أو بسيطة. بعض عمليات النقل معقدة. لكن غياب البيانات الوصفية يحول الاختراق إلى عمل أثري. ينتظر الضحايا بينما تعيد المنظمات اكتشاف ما كان يستخدم النظام من أجله.

الاحتفاظ القصير هو فعال بشكل خاص. إذا كانت منصة النقل آلية تبادل مؤقتة، يجب ألا تتراكم الملفات بعد الحاجة التشغيلية. كل يوم إضافي من الاحتفاظ يزيد البيانات المتاحة لمهاجم يوم صفر. تقول العديد من المنظمات إنها تحتفظ بالبيانات "فقط في حالة" احتياج شخص ما لإعادة تنزيلها. أظهرت حملة MOVEit الجانب الآخر من الراحة: الملفات المحتفظ بها تصبح جرد اختراق.

لغة التحذير يجب أن تحمي الأدلة، وليس فقط الأنظمة

العديد من تحذيرات الثغرات مُحسّنة للتصحيح. هذا مفهوم. إغلاق الثغرة النشطة أمر عاجل. بالنسبة لمستويات التحكم في نقل الملفات، يجب أن تحمي التحذيرات أيضًا الأدلة. يجب أن تخبر الرسالة الأولى المشغلين بتقييد الوصول، وحفظ السجلات ذات الصلة، وإنشاء لقطات للنظام حيثما أمكن، وفحص المؤشرات المعروفة، وتحديد الملفات الموجودة خلال نافذة التعرض، والتنسيق مع مالكي البيانات قبل حذف أو الكتابة فوق الأدلة المفيدة.

هذا لا يعني تأخير التخفيف أثناء بناء قضية جنائية مثالية. يعني جعل حفظ الأدلة جزءًا من التخفيف. إعادة البناء المتسرعة يمكن أن تمحو السجلات. يمكن أن يزيل برنامج التنظيف الآثار قبل تسجيلها. يمكن أن تستأنف الخدمة المستعادة تدوير السجل الطبيعي. يمكن أن يكسر تطهير الملف السلسلة اللازمة لإخطار الأشخاص بدقة. أفضل كتيب طوارئ يرتب الخطوات بحيث يتم تقليل الخطر الحالي ويظل الخطر الماضي معروفًا.

تطورت إرشادات Progress بسرعة وشملت مراجعة السجلات، وحظر الوصول إلى الويب، والتصحيح، وفحص المؤشرات. أضاف المستجيبون الحكوميون والصناعيون مؤشراتهم وتوصياتهم. النقطة ليست أن الإرشادات العامة تفتقر إلى كل المحتوى الجنائي. النقطة هي أن منصات النقل يجب أن يكون لديها هذا الكتيب جاهزًا قبل ثغرة من نوع يوم صفر، مع مواقع سجلات محددة للمنتج، وتحذيرات افتراضية للاحتفاظ، وقوائم الآثار، وقوالب اتصال العملاء.

العملاء بحاجة إلى نفس الاستعداد. يجب أن يعرفوا أي أنظمة النقل مواجهة للإنترنت، وأي وحدات الأعمال تمتلكها، وأي الموردين يديرونها، وأين توجد السجلات، ومدة الاحتفاظ بالملفات، ومن يمكنه إيقافها. يجب عليهم التفويض المسبق لوقت التوقف الطارئ لمنتجات النقل عالية المخاطر. نظام نقل الملفات الذي لا يمكن إيقافه عن العمل أثناء الاستغلال النشط ليس نظام تبادل متحكم فيه. إنه عملية تجارية بدون وضع فشل آمن.

واجب الإفصاح للبائع استمر بعد التصحيح

واجهت Progress حدثًا صعبًا. كان عليها التحقيق في ثغرة من نوع يوم صفر، وتصحيح المنتجات السحابية والمحلية، والتواصل مع العملاء، والتنسيق مع الخبراء الخارجيين، والاستجابة لثغرات إضافية تم اكتشافها أثناء مراجعة الكود، والتعامل مع الاستفسارات القانونية والتنظيمية، وإدارة الإفصاح للمستثمرين. يظهر السجل العام نشاط استجابة كبير. كما يظهر لماذا لا ينتهي واجب الإفصاح للبائع عند نشر الإصلاح.

احتاج العملاء إلى وضوح حول حالة الاستغلال، والإصدارات المتأثرة، والتصحيحات الملغاة، والإجراءات السحابية، والمسؤوليات المحلية، ومراجعة السجلات، وما إذا كانت الثغرات الإضافية قد تم استغلالها. احتاج المستثمرون والجهات التنظيمية إلى معلومات المخاطر. احتاج مالكو البيانات إلى معرفة ما إذا كان مشغل المنصة يمكنه تحديد الملفات المسروقة. الإعلان اللاحق عن اختتام تحقيق هيئة الأوراق المالية، الذي أعلنته Progress، أضاف سجلًا عامًا آخر لكنه لم يزل الدروس التشغيلية.

يجب أن يعترف معيار المساءلة بما لم يستطع البائع التحكم فيه. لم تستطع Progress تصحيح كل خادم يديره العميل مباشرة. لم تستطع معرفة كل ملف يخزنه كل عميل. لم تستطع جعل كل مورد يخطر كل عميل فورًا. لكن Progress كانت تتحكم في التطوير الآمن، والاستجابة للثغرات، ووضوح التحذير، والإصلاح السحابي، والتواصل مع العملاء، والإرشادات الجنائية الخاصة بالمنتج. هذه هي المجالات التي تتركز فيها المساءلة.

بالنسبة للمشغلين، تركزت المساءلة في مكان آخر. سيطروا على التعرض، وإدارة الإصدار، والتغيير الطارئ، والاحتفاظ بالسجلات، والاحتفاظ بالملفات، والتواصل مع الموردين. بالنسبة لمالكي البيانات، تضمنت المساءلة معرفة أين تتحرك البيانات الحساسة وما إذا كان المورد يستخدم منصة نقل ضعيفة. حملة MOVEit ليست مفيدة إذا أصبحت بحثًا عن طرف واحد لإلقاء اللوم عليه لكل إخطار. إنها مفيدة إذا أظهرت بالضبط أي ضابط فشل وأين.

الاحتفاظ كان ضابط نصف القطر الصامت

غالبًا ما تحتفظ أنظمة نقل الملفات بالملفات للراحة. قد يحتاج الشريك إلى إعادة تنزيل دفعة. قد ترغب وحدة الأعمال في مخزن مؤقت قصير في حالة فشل وظيفة. قد يفضل مكتب المساعدة عدم مطالبة المرسل بالتحميل مرة أخرى. هذه الأسباب مفهومة. كما أنها تخلق جرد اختراق. خلال حملة MOVEit، لم يعتمد الضرر في أي بيئة محددة فقط على ما إذا كان الاستغلال ناجحًا، بل على ما هي الملفات التي كانت متاحة عندما نجح.

الاحتفاظ هو إذن ضابط نصف القطر. منصة نقل تحذف الملفات بسرعة بعد الاستلام الناجح تقدم للمهاجم أقل من تلك التي تتراكم أيامًا أو أسابيع من التبادلات الحساسة. الاحتفاظ القصير لا يمنع الاستغلال. يقلل من قيمة الاستغلال الناجح ويبسط التحديد اللاحق. إذا كان يمكن أن يكون موجودًا فقط نافذة ضيقة من الملفات، فإن المحققين لديهم سجلات أقل لتعيينها وأشخاص أقل لإخطارهم.

الاحتفاظ يؤثر أيضًا على الأدلة. حذف الملفات المنقولة بسرعة كبيرة دون الاحتفاظ بالبيانات الوصفية يمكن أن يجعل الإخطار أصعب، لأن المنظمة قد تعرف أن ملفًا كان موجودًا لكن ليس ما يحتويه أو من يملكه. الاحتفاظ بالملفات لأجل غير مسمى يخلق تعرضًا. النمط الأفضل هو الاحتفاظ القصير بالمحتوى مقترنًا ببيانات وصفية دائمة: المرسل، المستلم، مالك العمل، وقت النقل، فئة الحساسية، وقت الحذف، وهوية كافية للملف لتعيين النقل دون الحفاظ على محتوى غير ضروري. هذا يعطي المحققين دفتر أستاذ دون تحويل نظام النقل إلى أرشيف.

تكتشف العديد من المنظمات أثناء حادثة أن منصة النقل الخاصة بها أصبحت مستودعًا ظلًا. الوظائف المجدولة تودع الملفات. يجمعها المستخدمون لاحقًا. الوظائف الفاشلة تترك نسخًا مكررة. تبقى المجلدات القديمة لأنه لا أحد يملك التنظيف. ثم تكشف ثغرة ليس فقط التبادلات الحالية، بل تاريخًا من الراحة التشغيلية. تُظهر إفصاحات MOVEit لماذا يجب حوكمة منصات النقل كمخازن بيانات عالية المخاطر حتى عندما يكون غرضها المقصود هو الحركة المؤقتة.

هذا أيضًا حيث يتحمل مزودو الخدمة واجبًا خاصًا. المزود الذي يستخدم نظام نقل واحد للعديد من العملاء لا يجب أن يعتمد على الذاكرة البشرية لتحديد ملكية الملف بعد الاختراق. يجب ترميز ملكية العميل، وفئة البيانات، وقواعد الاحتفاظ في سير العمل. وإلا يصبح استغلال واحد تمرين إعادة بناء يدوي عميل بعميل. هذا التأخير يؤخر الإخطارات اللاحقة ويزيد من خطر كل من نقص الإخطار والإخطار المفرط.

درس الاحتفاظ عملي. قبل اختراق منتج النقل، يجب على المنظمات أن تسأل: ما الملفات المخزنة، لمدة، وتحت سلطة من، وبأي بيانات وصفية؟ بعد الاختراق، هذه الإجابات تقرر ما إذا كانت المنظمة يمكنها تحديد النطاق بسرعة أو يجب أن تحقق من المبادئ الأولى. يمكن أن يكون الفرق أشهرًا من عدم اليقين.

سلاسل الموردين حولت تحذيرًا واحدًا إلى العديد من ساعات الإخطار

كشفت حملة MOVEit أيضًا عن عدم التطابق بين ساعة تحذير البائع وساعة إخطار مالك البيانات. يمكن لـ Progress نشر تحذير وتصحيح في 31 مايو. يمكن للمشغل المحلي منع الوصول وتصحيح خادم في 1 يونيو. يمكن لمزود الخدمة بدء تحقيقه بعد اكتشاف تنزيلات مشبوهة. قد لا يعلم مالك البيانات أن سجلاته متورطة إلا لاحقًا. الشخص الذي كانت معلوماته في ملف قد يتلقى إخطارًا بعد أشهر من الاستغلال. كل خطوة كانت ساعة مختلفة.

هذا ليس مجرد بطء. إنها سمة هيكلية لتدفقات بيانات الموردين. قد يرسل نظام المعاشات سجلات إلى مزود التحقق من الوفيات. قد يستخدم المزود MOVEit. قد يتم تشغيل الخادم الضعيف من قبل المزود أو طرف آخر. قد يضطر نظام المعاشات بعد ذلك إلى إخطار الأعضاء. الشخص المتأثر قد لا يكون قد سمع عن منتج النقل. تسافر المساءلة من خلال العقود وخرائط البيانات التي غالبًا ما تكون أقل وضوحًا من التكنولوجيا.

يمكن لقانون الإخطار أن يكثف هذا التعقيد. تختلف السلطات القضائية والقطاعات في حساب مواعيد الإخطار. تبدأ بعض الساعات عندما تحدد المنظمة أن المعلومات الشخصية تم الحصول عليها. أخرى تعتمد على تأخير إنفاذ القانون، أو تعليمات مالك البيانات، أو اتفاقيات العملاء. المورد الذي لا يستطيع تعيين الملفات المسروقة للعملاء بسرعة يؤخر كل تحليل قانوني نهري. مالك البيانات الذي لا يعرف مكدس المعالج الفرعي لمورده قد لا يعرف أين يسأل أولاً.

الإجابة في التحكم هي أدلة مسار المورد. يجب أن يعرف مالكو البيانات أي البائعين والمعالجين الفرعيين يتعاملون مع النقل الحساس، وأي المنتجات يستخدمون، وأين يتم تخزين البيانات، ومدة بقاء الملفات متاحة، وما هي شروط إخطار الحادثة. يجب أن يكون مزودو الخدمة قادرين على إنتاج قوائم الملفات المتأثرة الخاصة بالعميل بسرعة. يجب على البائعين كتابة التحذيرات بتفاصيل كافية تمكن الموردين من تحديد ما إذا كانت بيانات عملائهم قد تكون ضمن النطاق. الهدف ليس الإخطار الفوري المثالي. إنه منع سلسلة إعادة اكتشاف يمكن تجنبها.

CalPERS و Nova Scotia وسجلات التعليم في مدينة نيويورك تظهر نقاطًا مختلفة في هذه السلسلة. واحدة تضمنت مسار مورد، واحدة تضمنت خدمات تديرها الحكومة، وواحدة تضمنت مالك بيانات تعليم عام. السمة المشتركة كانت الحركة من ثغرة المنتج إلى تحديد الملف إلى الإخطار الموجه للأشخاص. تصحيح المنتج لا يمكنه القيام بذلك. فقط سجلات ملكية البيانات الموجودة مسبقًا يمكنها.

النسخ غير المدعومة أو غير المُدارة تخلق بقعًا عمياء للتحذير

أشار ملف Progress إلى قياس عن بعد محدود لنشر MOVEit Transfer الذي يديره العملاء. هذا واقع شائع للبرامج المحلية. يصبح خطيرًا عندما يكون البرنامج مواجهًا للإنترنت وحرجًا. يمكن للبائع إخطار العملاء المعروفين، لكن جرد البرامج يتدهور. تتحرك وحدات الأعمال. يدير المقاولون الخوادم. تنتهي التراخيص بينما تبقى الأنظمة متصلة. يحتفظ العملاء السابقون بنسخ قديمة للوظائف القديمة. يمكن للتحذير أن يفوت النظام الذي لا يزال المهاجم يراه.

يساعد فحص الإنترنت في كشف هذه البقعة العمياء. يمكن لـ Censys ومصادر التعرض الأخرى إظهار أن خدمة تشبه MOVEit يمكن الوصول إليها، لكن لا يمكنها دائمًا تحديد المشغل المسؤول أو إثبات الإصدار. قد يجد الفحص مضيفًا لا تربطه قاعدة بيانات عملاء البائع بالشخص المناسب. هذا يخلق فجوة استجابة: يرى المهاجم هدفًا، قد لا يعرف البائع من يملكه، وقد لا تعرف المنظمة أن الأصل موجود.

درس المساءلة هو أن جرد الأصول ليس كتابيًا. إنه الرابط بين التحذيرات العامة والإصلاح الفعلي. المنظمة التي تدير برنامج نقل مواجه للإنترنت يجب أن يكون لها مالك، وسجل إصدار، واتصال طارئ، ومسار توقف معتمد، وقرار صريح حول ما إذا كانت الخدمة قد تكون قابلة للوصول من الإنترنت. يجب على البائع دعم اكتشاف الإصدار القابل للقراءة آليًا وقنوات إخطار العملاء التي تبقى بعد دوران الموظفين. يجب على مزودي الخدمة المدارة الحفاظ على خرائط الاتصال الطارئة الخاصة بهم الموجهة للعملاء.

النسخ غير المدعومة أو غير المُدارة تعقد أيضًا الإفصاح. إذا كان خادم قديم يحتفظ بملفات حساسة ولا أحد يتعرف عليه إلا بعد حملة، فقد تفتقر المنظمة إلى السجلات، أو سجلات الاحتفاظ، أو الدعم الحالي. النتيجة ليست فقط تأخير التصحيح؛ إنها أدلة ضعيفة حول من تضرر. ضعف الأدلة هذا يمكن أن ينتج إخطارًا واسعًا لأن المنظمة لا تستطيع تضييق النطاق، أو إخطارًا غير كافٍ لأنها لا تجد البيانات المتأثرة أبدًا.

لذلك يجب أن تجعل حملة MOVEit من جرد نقل الملفات المواجه للإنترنت بند حوكمة متكرر. يجب أن تطلب مجالس الإدارة وفرق التدقيق قائمة بأنظمة النقل، وحالة التعرض، والمالك، وقاعدة الاحتفاظ، والإصدار المدعوم، واتصال الحادثة. إذا لم يمكن إنتاج هذه القائمة قبل الأزمة، فلن تظهر بسحر بعد تحذير ثغرة من نوع يوم صفر.

ضمان التصحيح يحتاج إلى أثر أدلة مُرقم

الإصلاحات الطارئة المتكررة تخلق مشكلة توثيق. يحتاج المشغلون إلى إثبات ليس فقط أنهم صححوا، بل أي تصحيح طبقوا، ومتى تم حظر الوصول إلى الويب، ومتى تمت استعادة الخدمة، وما إذا كانت التحذيرات الإضافية قد ألغت الإصلاح السابق، وما إذا كانت جميع العقد في النشر قد تم تحديثها. في حادثة نقل ملفات عالية المخاطر، هذا الأثر الدليلي مهم لكل من الأمان والإخطار القانوني.

يوضح تسلسل MOVEit العام المشكلة. تناول 31 مايو الثغرة الأولية المستغلة. تناول 9 و 15 يونيو ثغرات إضافية من نوع SQL Injection تم اكتشافها أثناء المراجعة. جلب يوليو إصلاحات إضافية. بعضها لم يكن مرتبطًا علنًا بالاستغلال في الحملة الأصلية، لكنها لا تزال تتطلب إجراءً. المشغل الذي قام بالتحديث مرة واحدة وتوقف يمكن أن يقول بصدق إنه تصرف بسرعة بينما أصبح قديمًا بعد أيام.

يجب أن يشمل أثر الأدلة المُرقم معرف التحذير، وقائمة CVE، وإصدار البرنامج قبل التصحيح، وإصدار البرنامج بعد التصحيح، وهوية الحزمة أو التجزئة حيثما أمكن، وبداية ونهاية تقييد الوصول إلى الويب، وهوية المسؤول، والعقد المتأثرة، ونتيجة التحقق. بالنسبة للخدمات السحابية، يجب على المزود توفير أدلة مماثلة موجهة للعملاء تثبت تحديث البيئة. بالنسبة للأنظمة المحلية، يجب على المشغل حفظ أثره الخاص. بالنسبة لمزودي الخدمة، يجب أن تنص تقارير العملاء على أي بيئة استضافت بيانات العميل وما هي حالة التصحيح المطبقة على تلك البيئة.

هذا ليس إفراطًا بيروقراطيًا. عندما يسأل عميل ما إذا كانت بياناته قد تعرضت قبل أو بعد التصحيح، تعتمد الإجابة على التواريخ والإصدارات. عندما يسأل مؤمن أو منظم أو مالك بيانات ما إذا كان التخفيف في الوقت المناسب، تعتمد الإجابة على الأثر الدليلي. عندما يتم الكشف عن ثغرة لاحقة، يحتاج المستجيبون إلى معرفة ما إذا كانت الصيانة السابقة تضمنت بالفعل الإصلاح. بدون أدلة مُرقمة، يصبح الاستجابة للحوادث مسابقة ذاكرة.

درس دورة حياة البرامج الأوسع هو أن التصحيح الطارئ يجب أن يكون قابلاً للتدقيق بالتصميم. يجب أن تجعل المنتجات الإصدار الحالي وحالة التصحيح سهلة التصدير. يجب أن تعين التحذيرات الإصدارات لـ CVEs بوضوح. يجب أن يعامل المشغلون دليل التصحيح كجزء من الاستجابة للحوادث، وليس كمهمة بعد الإجراء. في مستوى التحكم في نقل الملفات، ضمان التصحيح هو ضمان الإفصاح.

يجب أن يكون ضمان التصحيح أيضًا قابلاً للقراءة للعميل. لا يجب على مالك البيانات أن يستنتج من بيان عام للمورد أن سجلاته الخاصة كانت خلف نسخة مصححة أو غير مصححة. التقرير المفيد يقول أي بيئة احتوت البيانات، وما هي نافذة التعرض قيد التحقيق، وما إذا كان دليل السرقة موجودًا، وما هي إصدارات التحذير المطبقة، وأي سجلات تم مراجعتها. هذه المعلومات تسمح لمالك البيانات بتقرير ما إذا كان يخطر لأن الاستحواذ مؤكد، أو لأنه لا يمكن استبعاد الاستحواذ، أو لأن العقد يتطلب إخطارًا بعد اختراق المنصة. هذه مواقف مساءلة مختلفة.

اختبار المساءلة

حولت MOVEit توقيت التصحيح إلى إفصاح جماعي لأن مستوى التحكم الضعيف جلس بين العديد من المنظمات وملفاتها الحساسة. تصحيح 31 مايو كان ضروريًا. لم يكن كافيًا للإجابة على من تم الوصول إليه بالفعل، وأي الملفات تم نسخها، وأي العملاء يمتلكون تلك الملفات، أو أي الأشخاص يواجهون خطرًا متبقيًا. هذا العمل يعتمد على السجلات، والاحتفاظ، وجرد الأصول، وخرائط الموردين، وحوكمة الإخطار.

المعيار الأفضل هو مرونة مستوى التحكم. يجب على بائعي نقل الملفات تصميم المنتجات والتحذيرات للاستجابة للاستغلال، وليس فقط التصحيح الروتيني. يجب على المشغلين الحفاظ على أنظمة النقل مرئية، ومكشوفة بأقل قدر ممكن، واحتفاظ قصير، وجاهزة للأدلة. يجب على مالكي البيانات معرفة أي الموردين ينقلون سجلاتهم وأي واجبات إخطار تبدأ عندما يتم اختراق منصة نقل المورد. يجب على الجهات التنظيمية الحكم على سرعة الاستجابة في طبقات: سرعة التصحيح، وحفظ الأدلة، وتعيين مالك البيانات، والإخطار الفردي.

الدرس الدائم للحملة هو أن نظام نقل الملفات ليس مجرد أنبوب. إنه خزنة مؤقتة، ومحرك سير عمل، ودفتر أدلة إثباتي. عندما يفشل مستوى التحكم ذلك، التصحيح هو فقط بداية المساءلة.