جعلت Palo Alto Networks اختراق جذر جدار الحماية اختبارًا لاستعادة المساءلة

ملخص

• كشفت Palo Alto Networks عن CVE-2024-3400 في أبريل 2024 لجدران الحماية PAN-OS التي تحتوي على ميزات بوابة أو بوابة GlobalProtect، وحددت استغلالًا نشطًا تم تحليله لاحقًا باسم Operation MidnightEclipse.
• السؤال المركزي للمساءلة هو: من كان لديه السيطرة العملية على تعرض GlobalProtect، وسرعة التصحيح والإصلاح العاجل، والقياس عن بعد، وتقييم الاختراق، وتدوير بيانات الاعتماد، وإعادة بناء الجهاز، وضمان العملاء؟
• الجذر العملي للحالة ليس تصنيفًا واحدًا مثل اختراق أو انقطاع أو ثغرة أو فشل بائع. يعتمد السجل على ثغرة حقن أوامر PAN-OS، واستغلال واجهات GlobalProtect المكشوفة، وأدوات الجهات الفاعلة في التهديد، ووتيرة الإصلاح العاجل، وتوقيعات الحماية من الثغرات، والإرشادات الجنائية، وقرارات العملاء بعد اختراق المحيط على مستوى الجذر.
• واجهت الشركات والوكالات العامة وفرق الأمن والعاملون عن بعد ومزودو الخدمات المدارة ومالكو التطبيقات النهائية فقدان ثقة المحيط واحتمال تعرض بيانات الاعتماد والتكلفة التشغيلية لإثبات أن جدار الحماية نظيف.
• يدعم السجل استنتاج مساءلة عالي الثقة حول واجبات التحكم وفجوات الأدلة. لا يدعم افتراض الحقائق التي تظل خاصة، مثل كل إدخال سجل، أو كل تأثير على العميل، أو كل قرار داخلي، أو كل خسارة لاحقة.

سجل الأدلة وكيفية استخدامه

يتعامل هذا المقال مع السجل العام كأدلة متعددة الطبقات بدلاً من حساب رئيسي واحد. تُستخدم إشعارات الشركة لما قالته Palo Alto Networks, Inc إنها وجدته أو غيرته أو نصحت به. تُستخدم مواد الحكومة والمنظمين والثغرات وأبحاث الأمن لتأطير واجبات التحكم حول الحادث. تُستخدم التقارير الثانوية فقط عندما تحافظ على البيانات العامة أو التسلسل الزمني أو سياق الأطراف المتأثرة غير المتوفر بطريقة أخرى في وثيقة أولية مستقرة.

الحادث يتعلق حقًا بالتحكم

جعلت Palo Alto Networks اختراق جذر جدار الحماية اختبارًا لاستعادة المساءلة لأن الحدث وضع التحكم العملي تحت ضوء أكثر سطوعًا مما فعل العنوان الرئيسي. يبدأ السجل العام بـاستشارة Palo Alto Networks لـ CVE-2024-3400ويعززهتحليل عملية MidnightEclipse من وحدة 42وإرشادات تقييم الاختراق من Palo Alto Networks. هذه السجلات مهمة لأنها تحدد الفرق بين قصة أمنية غامضة ومجموعة من الواجبات التشغيلية: العثور على الأنظمة المتأثرة، تحديد البيانات أو مواد الثقة التي يمكن الوصول إليها، إخطار الأشخاص الذين يجب عليهم التصرف، وإثبات أن مسار المخاطر القديم قد أُغلق.

الخطوة التحليلية المهمة هي فصل المحفز عن المساءلة. المحفز هو استغلال ثغرة PAN-OS GlobalProtect CVE-2024-3400 وعملية MidnightEclipse لعام 2024. المساءلة أوسع. تشمل خيارات التصميم قبل الحدث، والمراقبة التي كان ينبغي أن تكتشف النشاط غير الطبيعي، والسلطة الطارئة لاحتوائه، والأدلة التي تميز الاختراق المؤكد عن التعرض المحتمل، والتواصل الذي يسمح للأطراف المعتمدة باتخاذ قراراتها الخاصة. يمكن أن يكون المزود دقيقًا بشأن المحفز الفني الضيق ومع ذلك يترك العملاء بدون أدلة كافية لإدارة جانبهم من المخاطر.

بالنسبة لـ Palo Alto Networks, Inc، فإن القضية العامة تكمن بالتالي في سطح التحكم: تعرض GlobalProtect، استغلال CVE-2024-3400، توقيت الإصلاح العاجل، القياس عن بعد، مراجعة اختراق الجذر، تدوير بيانات الاعتماد، وقرارات إعادة بناء جدار الحماية. هذه ليست تفاصيل علاقات عامة. إنها الآلية التي ينمو بها الضرر أو ينكمش. يمكن أن ينتج عن الاختراق القصير مخاطر هوية طويلة الأمد. يمكن أن تصبح الثغرة القديمة فشل استمرارية حي. يمكن أن يصبح حساب البائع مشكلة حساب عميل. يمكن أن تحمل تذكرة دعم المنصة مواد أكثر حساسية من خدمة الإنتاج نفسها. يستخدم المقال هذه العدسة طوال الوقت.

الجدول الزمني جزء من الأدلة

الجدول الزمني مهم لأن العملاء لا يمكنهم التصرف إلا بعد أن يعرفوا ما يكفي للتصرف. في هذه الحالة، يبدأ التسلسل الزمني العام بالمحفز الموصوف أعلاه، ثم ينتقل عبر الاحتواء، وتوجيهات العملاء، وتقارير المتابعة، والتحليل اللاحق. تختبر اللحظة المبكرة الكشف والتصعيد. تختبر اللحظة الوسطى ما إذا كانت الضوابط المؤقتة أصبحت إصلاحًا دائمًا. تختبر اللحظة المتأخرة ما إذا كانت المنظمة قد تعلمت ما يكفي لمنع مسار مماثل بدلاً من مجرد إغلاق الحادث بعد أن تلاشى الاهتمام.

يجب أن يجيب الجدول الزمني الجيد للحادث على عدة أسئلة. متى بدأ النشاط غير الطبيعي؟ متى رآه المدافع لأول مرة؟ متى فهم المدافع أهميته؟ متى احتوت المنظمة المسار؟ متى عرفت أي العملاء أو السجلات أو الخدمات أو بيانات الاعتماد أو الأنظمة يمكن أن تتأثر؟ متى تلقى الأشخاص خارج المنظمة معلومات كافية لحماية أنفسهم؟ نادرًا ما تجيب الإشعارات العامة على كل هذه الأسئلة، لكن الأسئلة لا تزال إطار المساءلة الصحيح.

الفجوة بين الحدث الداخلي والإشعار العام ليست مخالفة تلقائيًا. يحتاج المستجيبون للحوادث وقتًا للتحقق من الحقائق. يمكن أن يؤدي الإشعار المبكر إلى نشر نصائح غير صحيحة. لكن يجب أن تكون الفجوة قابلة للتفسير. إذا كان العملاء يتحكمون في كلمات المرور أو الرموز أو نقاط النهاية أو ملفات الدعم أو الحسابات المصرفية أو المسؤولين أو المستخدمين النهائيين، فإن التأخير ينقل المخاطر إليهم أيضًا. المعيار المسؤول ليس الكمال الفوري. إنه التواصل الفوري والمرحلي الذي يميز بين الحقائق المؤكدة والمخاطر المعقولة والإجراءات الموصى بها وعدم اليقين غير المحلول.

بيانات أو كائن الثقة لم يكن عرضيًا

البيانات أو الكائن المكشوف أو المعرض للخطر في هذه الحالة لم يكن عرضيًا بالنسبة للأعمال. يعتمد السجل على ثغرة حقن أوامر PAN-OS، واستغلال واجهات GlobalProtect المكشوفة، وأدوات الجهات الفاعلة في التهديد، ووتيرة الإصلاح العاجل، وتوقيعات الحماية من الثغرات، والإرشادات الجنائية، وقرارات العملاء بعد اختراق المحيط على مستوى الجذر. هذا يعني أن الحادث لمس كائن ثقة كانت المنظمة موجودة لإدارته أو دعت العملاء للاعتماد عليه. عندما يكون هذا الكائن عبارة عن بيانات اعتماد أو شهادة توقيع أو مرفق دعم أو مجموعة بيانات وصفية للعميل أو خادم بناء أو جدار حماية أو مراقب افتراضي أو سجل هوية خدمة عامة، لا يمكن للمنظمة معاملته كتفاصيل نظام مكتبي عادي.

كائنات الثقة لها ملف مساءلة خاص. إنها تسمح للأنظمة الأخرى باتخاذ القرارات. تخبر شهادة توقيع الكود نقطة النهاية ما إذا كان البرنامج شرعيًا. تخبر بيانات اعتماد الدعم المنصة ما إذا كان يمكن للشخص رؤية سجلات العملاء. يخبر خادم البناء المستخدمين النهائيين أن الأداة جاءت من العملية المتوقعة. يخبر جدار الحماية أو بوابة الوصول عن بعد الشبكة بالجلسات التي يمكنها الدخول. يخبر سجل بيانات وصفية للعميل المحتال بمن يستهدف. غالبًا ما يأتي الضرر لاحقًا، عندما يعيد شخص ما استخدام كائن الثقة في بيئة مختلفة.

لهذا السبب يحتاج تحليل النطاق إلى تغطية الوظيفة، وليس فقط أسماء الجداول أو أسماء الخوادم. السؤال عما إذا كان قد تم نسخ جدول قاعدة بيانات ضيق جدًا إذا كانت الحقول المنسوخة تحدد المسؤولين. السؤال عما إذا كان قد تم اختراق مستوى بيانات الإنتاج ضيق جدًا إذا كشفت سجلات الشركة عن كيفية مهاجمة هذا المستوى لاحقًا. السؤال عما إذا كانت الخدمة لا تزال متصلة بالإنترنت ضيق جدًا إذا ظلت بيانات الاعتماد أو الشهادات أو المرفقات قابلة للاستخدام بعد الحدث.

مسؤولية المزود تتبع أعلى ضوابط التأثير

المزود في هذه القصة تحكم في البيئة التي بدأ فيها الحدث العام، لكن هذا البيان ليس كافيًا. السؤال الأكثر دقة هو ما هي الضوابط عالية التأثير التي كانت على جانب المزود. في العديد من الحوادث، تشمل هذه الضوابط البنية والوصول المميز وتقسيم الخدمة ومعالجة الشهادات أو المفاتيح وتغطية التسجيل وتقليل بيانات العملاء والإعدادات الافتراضية الآمنة وإلغاء الطوارئ وهندسة الإصدار وسلطة نشر إرشادات موثوقة.

يجب الحكم على المزود بما إذا كان قد جعل المسار المحفوف بالمخاطر سهلًا أم صعبًا. هل تطلبت الأدوات المميزة مصادقة قوية وأدوار مشددة؟ هل تم الاحتفاظ بمرفقات الدعم الحساسة أو البيانات الوصفية لفترة أطول من اللازم؟ هل تم فصل أنظمة الإنتاج عن أنظمة الشركة؟ هل تم تصميم الخدمات المكشوفة لتفشل بشكل آمن؟ هل كانت السجلات كاملة بما يكفي لإعادة بناء الوصول؟ هل يمكن للمنظمة إلغاء مواد الثقة بسرعة؟ هل يمكن للعملاء التحقق من أنهم قاموا بتثبيت إصدار آمن أو اتخذوا خطوة الاحتواء الصحيحة؟

قد يظهر السجل العام جزءًا فقط من وضع التحكم هذا. يمكن أن يظهر أنه تم إصدار إشعار، أو إصدار تصحيح، أو طلب إعادة تعيين كلمة المرور، أو تعطيل حساب بائع، أو استبدال شهادة، أو أن وكالة عامة أبقت الخدمة قيد التشغيل. غالبًا لا يمكن أن يظهر مراجعات الوصول الداخلية أو مناقشات مجلس الإدارة أو الثقة الجنائية أو كل رسالة عميل. لا ينبغي ملء هذا النقص في الرؤية الكاملة بالتكهنات. يجب تسميته كحد للأدلة وتحويله إلى طلب لتأكيد مستقبلي أوضح.

مسؤولية العميل والمشغل لم تختف

كان لدى العملاء والمشغلين أيضًا واجبات. هذا ليس تحويلًا للوم. إنه اعتراف بأن العديد من حوادث التكنولوجيا تعبر حدودًا تنظيمية. قد يتحكم العميل في تحديثات نقاط النهاية وإعادة استخدام كلمات المرور والحسابات المميزة وتعرض جدار الحماية وتحميلات الدعم وسلوك المسؤول وعزل النسخ الاحتياطي ومراجعة التنبيهات وتعليم المستخدم. قد تتحكم وكالة عامة في إثبات الهوية وإشعار المواطن. قد يتحكم مزود خدمة مدار في وحدة التحكم التي لا يراها العملاء أبدًا.

يعتمد التخصيص الصحيح على القدرة. إذا كان المزود فقط هو من يستطيع تحديد سجلات الدعم التي تم الوصول إليها، فإن المزود يمتلك هذا الدليل. إذا كان العميل فقط هو من يستطيع تدوير سر لاحق أو مراجعة سجلاته الخاصة، فإن العميل يمتلك هذا الإجراء بعد تلقي إشعار موثوق. إذا قام مزود مدار بتشغيل الأداة المتأثرة، فإن المزود المدار يدين بكل من الإجراء والدليل للعميل. المساءلة تتبع التحكم العملي، وليس رؤية العلامة التجارية.

هذا مهم لأن رد الفعل الناقص غالبًا ما يختبئ وراء خطأ طرف آخر. قد يقول العميل إن البائع تسبب في المشكلة وبالتالي يفشل في مراجعة تعرضه الخاص. قد يقول البائع إن العميل أساء تكوين النظام وبالتالي يفشل في تحسين الإعدادات الافتراضية الآمنة. قد يقول مزود مدار إنه قام بالتصحيح ويتجنب شرح ما إذا كان قد راجع الاختراق. يتم خدمة المصلحة العامة فقط عندما يذكر كل طرف ما يتحكم فيه وما فعله بهذا التحكم.

التقسيم هو الحد الفاصل بين الحادث والتداعيات

التقسيم يقرر ما إذا كان الحادث يظل محدودًا. في هذه الحالة، قد يكون التقسيم ذو الصلة بين تكنولوجيا المعلومات للشركة والبنية التحتية للمنتج، أو بين أدوات الدعم وبيانات الإنتاج، أو بين البيانات الوصفية ومحتوى العميل، أو بين مستوى الإدارة ومستوى حركة المرور، أو بين خدمة البناء ومفاتيح التوقيع، أو بين مضيف المراقب الافتراضي ومخزون النسخ الاحتياطي. تتغير الحدود الدقيقة حسب الموضوع، لكن مبدأ المساءلة مستقر.

يجب أن يكون ادعاء التقسيم قابلاً للاختبار. لا يكفي القول بأن بيئة واحدة منفصلة عن أخرى. يجب أن يظهر السجل أي الهويات يمكن أن تعبر الحدود، وأي مسارات الشبكة كانت موجودة، وأي سجلات تؤكد الحركة الفاشلة أو الغائبة، وأي حسابات خدمة تمت مراجعتها، وأي ضوابط طوارئ تم تطبيقها. لا يحتاج العملاء إلى كل التفاصيل الحساسة، لكنهم يحتاجون إلى تأكيد كافٍ لمعرفة ما إذا كان حادث من جانب المزود قد غير مخاطرهم الخاصة.

أقوى البيانات العامة تتجنب نقيضين. لا تبالغ في الضرر من خلال الإيحاء بأن كل نظام معتمد قد تم اختراقه. كما أنها لا تختبئ وراء حد تقني ضيق مع تجاهل المخاطر المتصلة. القول إن مستوى بيانات الإنتاج لم يتأثر مفيد. القول بأن البيانات الوصفية أو بيانات الاعتماد أو الشهادات أو المرفقات أو السجلات الإدارية التي تأثرت ضروري بنفس القدر لأن هذه المواد يمكن استخدامها لمهاجمة مستوى البيانات لاحقًا.

يجب أن يخبر الإشعار المستلمين بما يمكنهم فعله

الإشعار ليس طقسًا. إنه نقل لأدلة قابلة للتنفيذ. يخبر الإشعار المفيد المستلمين بما حدث، وما هي البيانات أو مواد الثقة التي قد تكون معنية، وما الذي فعلته المنظمة بالفعل، وما الذي يجب على المستلمين فعله الآن، وما الذي لا يزال غير معروف، وأين ستظهر التحديثات اللاحقة. إذا قال الإشعار فقط إن حادثًا وقع، فقد يلبي حاجة اتصال رسمية مع الفشل في تلبية الحاجة التشغيلية.

يتطلب المستلمون المختلفون محتوى مختلفًا. يحتاج مسؤولو الأمان إلى مؤشرات وحسابات متأثرة ومتطلبات إعادة التعيين ونوافذ مراجعة السجلات وإرشادات التكوين. يحتاج المستهلكون إلى نصائح حول مخاطر الهوية بلغة بسيطة وإرشادات حول كلمات المرور والمدفوعات وجهات اتصال الدعم. يحتاج مستخدمو الخدمات العامة إلى تأكيد بأن الخدمات الأساسية مستمرة أو أن البدائل موجودة. يحتاج المطورون إلى إرشادات حول سلامة البناء وخطوات تدوير الأسرار. يحتاج التنفيذيون إلى مصفوفة من التعرض والاختراق والمعالجة والمخاطر المتبقية.

لذلك يعامل المقال التواصل كضابط، وليس مجاملة. يمكن أن يزيد الإشعار المتأخر أو الغامض من الضرر حتى لو تم احتواء الاختراق الأولي بسرعة. يمكن أن يقلل الإشعار المرحلي من الضرر حتى قبل أن تستقر كل الحقائق. يمكن أن يكون الإشعار المصحح مسؤولاً عندما يتوسع النطاق. المفتاح هو تصنيف عدم اليقين بصدق بدلاً من التظاهر بأن النسخة العامة الأولى نهائية.

سطح الإساءة يمتد إلى ما وراء الاختراق المؤكد

الاختراق المؤكد هو فقط سطح المخاطر الأول. يمكن للمهاجمين والمجرمين والانتهازيين إعادة استخدام معلومات الحادث للتصيد والاحتيال وسرقة بيانات الاعتماد والابتزاز ومكالمات الدعم المزيفة وطُعم تحديث البرامج وعمليات احتيال الفواتير واستهداف التوظيف والضغط الاجتماعي. واجهت الشركات والوكالات العامة وفرق الأمن والعاملون عن بعد ومزودو الخدمات المدارة ومالكو التطبيقات النهائية فقدان ثقة المحيط واحتمال تعرض بيانات الاعتماد والتكلفة التشغيلية لإثبات أن جدار الحماية نظيف. لذلك يجب على المنظمة قياس ليس فقط ما فعله المتسلل، ولكن ما تمكن المعلومات المكشوفة الآخرين من فعله بعد ذلك.

هذا صحيح بشكل خاص عندما تحدد المواد المكشوفة المسؤولين أو جهات اتصال الدعم أو علاقات الدفع أو عملاء علامة تجارية معينة أو المستخدمين الذين قدموا وثائق هوية أو المنظمات التي تشغل تقنية معينة. هذه السجلات تقلل من تكلفة بحث المهاجم. إنها تجعل الهندسة الاجتماعية أرخص وأكثر مصداقية. كما أنها تسمح للمجرمين بتخصيص التوقيت: إشعار إعادة تعيين مزيف بعد حادث حقيقي يبدو أكثر تصديقًا من رسالة تصيد عادية.

يجب أن تشمل الوقاية من الإساءة بعد الحدث مراقبة انتحال الشخصية، وتحذير العملاء من الطُعم المحتملة، وتشديد التحقق من الدعم، وإلغاء الرموز القديمة، وتدوير الأسرار المكشوفة، ومراقبة نشاط الحساب الجديد، وإعطاء موظفي دعم الخط الأمامي نصوصًا لا تسرب المزيد من المعلومات. يجب على المنظمة أيضًا مراجعة ما إذا كانت قد جمعت أو احتفظت ببيانات أكثر مما تطلبه وظيفة الدعم أو الخدمة حقًا.

يجب أن تدعم الأدلة الجنائية قرار الثقة

المراجعة الجنائية لها غرض محدد: إنها تدعم قرار الثقة. هل يمكن للعميل الاستمرار في استخدام البرنامج؟ هل يمكن للمنظمة أن تثق بجدار الحماية؟ هل يمكنها أن تثق بأدوات البناء؟ هل يمكنها أن تثق بسجلات الدعم؟ هل يمكنها أن تثق بمزود الهوية أو مخزن البيانات الوصفية أو المراقب الافتراضي أو الشهادة أو النسخة الاحتياطية أو جلسة الوصول عن بعد؟ التصحيح أو إعادة التعيين أو تعطيل شيء ما هو جزء فقط من الإجابة.

يتطلب قرار الثقة أدلة حول ما تم الوصول إليه، وما كان يمكن الوصول إليه، وما تم تغييره، وما هي بيانات الاعتماد أو المفاتيح الموجودة، وما هي السجلات الكاملة، وما إذا كان يمكن تغيير السجلات، وما هي الإشارات المستقلة التي تؤكد الاستنتاج. عندما تكون الأدلة غير كاملة، يجب على المنظمة أن تقول ذلك وتتخذ قرارًا متحفظًا للأصول عالية القيمة. قد يحتاج نظام محيطي أو خادم بناء مخترق إلى إعادة البناء وتدوير الأسرار حتى بعد إصلاح الخطأ الأصلي.

السجل الجنائي الضعيف يخلق مشكلة مساءلة ثانوية. إذا لم تستطع المنظمة إثبات أن كائن الثقة ظل آمنًا، فقد تحتاج إلى تحمل تكلفة معالجة أوسع. هذا مكلف. لكن البديل هو نقل عدم اليقين إلى العملاء أو المواطنين أو المستخدمين النهائيين الذين يفتقرون إلى أدلة المزود. تحول إدارة الحوادث الناضجة السجلات الخاصة إلى تأكيد عام كافٍ للأطراف الخارجية للتصرف بعقلانية.

الحوافز الاقتصادية تفسر نقص الاستثمار

النمط المتكرر عبر الحوادث ليس غامضًا. غالبًا ما تفرض الضوابط الوقائية تكاليف مرئية قبل وقوع أي حادث. التقسيم يبطئ الراحة. أقل امتياز يحبط الدعم. تدوير الشهادات يخلق خطر التوافق. تشديد خادم البناء يبطئ التسليم. يتطلب تصحيح المراقب الافتراضي نوافذ صيانة. قد يقلل تقليل بيانات العملاء من تفاصيل التسويق أو الدعم. اختبار النسخ الاحتياطي يستهلك الوقت. هذه التكاليف فورية؛ الضرر الذي تم تجنبه غير مؤكد حتى يصل.

هذه الفجوة في الحوافز هي سبب عدم قدرة المساءلة على انتظار سجل محكمة أو رقم خسارة مؤكد. إذا انتظرت كل منظمة حتى يثبت الضرر، فإن أرخص مسار هو دائمًا تأجيل الضابط والأمل في أن يمتص طرف آخر الخسارة. قد يعاني العملاء من مخاطر الهوية أو التوقف أو مراقبة الاحتيال أو التوظيف الطارئ أو تعطيل العقد أو إزعاج الخدمة العامة بينما يعامل الطرف صاحب أفضل ضابط وقائي التكلفة كخارجية.

نموذج حوافز أفضل يربط واجبات التحكم بالطرف الذي يمكنه تقليل المخاطر بأقل تكلفة قبل الحدث. يجب على البائعين جعل الإعدادات الافتراضية الآمنة والسجلات الكاملة أمرًا طبيعيًا. يجب على العملاء الحفاظ على الجرد ونوافذ التصحيح واختبارات الاستعادة ونظافة بيانات الاعتماد. يجب على مقدمي الخدمات المدارة تقديم حزم أدلة. يجب على المنظمين وشركات التأمين أن يطلبوا إثباتًا لهذه الضوابط قبل الحوادث، وليس فقط السرد بعد ذلك.

يجب أن يبقى سجل الحوكمة بعد دورة الأخبار

يجب أن يظل سجل الحوكمة مفيدًا بعد أن تتلاشى دورة الأخبار. يجب أن يصف هذا السجل المحفز والأصول المتأثرة والأشخاص المتأثرين وإجراءات الاحتواء ونصائح العملاء وجودة الأدلة والمخاطر المتبقية وتأثير الأعمال ومالكي المعالجة واختبارات المتابعة. يجب أن يظهر أيضًا ما تغير بعد الحدث: قواعد الوصول، فترات الاحتفاظ، الرقابة على البائعين، تغطية التسجيل، مستويات خدمة التصحيح، تدوير الأسرار، عزل النسخ الاحتياطي، أو كتيبات إشعار العملاء.

بدون هذا السجل، تتعلم المنظمة بشكل مؤقت فقط. يتبدل الموظفون. تبقى استثناءات الطوارئ. تصبح التخفيفات المؤقتة دائمة. تعود نفس فئة الحادث في منتج أو علاقة بائع مختلفة. يسمح سجل المساءلة طويل الأمد لمجلس الإدارة أو المنظم أو العميل أو المشغل المستقبلي بالسؤال عما إذا كان الإصلاح الموعود لا يزال موجودًا بعد ستة أشهر.

بالنسبة لـ Palo Alto Networks, Inc، الدرس الدائم ليس أن كل ضرر محتمل قد حدث. إنه أن الحدث العام كشف عن فئة تحكم ستتكرر. قد تتضمن الحالة التالية منتجًا أو جغرافية أو مهاجمًا أو مجموعة بيانات مختلفة. سيكون الاختبار هو نفسه: هل يمكن للمنظمة أن تظهر من الذي تحكم في المسار المحفوف بالمخاطر، وما الذي فعلوه، ولماذا يجب أن يثق الغرباء بالنتيجة؟

ما الذي سيغير التقييم

سيتغير التقييم بأدلة أقوى أو أضعف. ستشمل الأدلة الأقوى ملخصًا جنائيًا مستقلاً، وفئات تأثير العملاء الكاملة، وجدولًا زمنيًا واضحًا من الاكتشاف الأول إلى الاحتواء، وإثباتًا أن مواد الثقة ذات الصلة تم تدويرها أو لم تتعرض أبدًا، واختبارًا لاحقًا يظهر أن نفس المسار لم يعد يعمل. ستشمل الأدلة الأضعف توسع النطاق المتأخر دون تفسير، وفئات البيانات غير الواضحة، والسجلات المفقودة، والحوادث المماثلة المتكررة، أو نمط معاملة إجراء العميل كاختياري عندما يكون إجراء العميل ضروريًا.

سيتغير أيضًا بأدلة الأطراف المتأثرة. يجب تقييم العميل الذي يمكنه إظهار عدم التعرض والتحديث السريع والسجلات الكاملة وعدم وجود مواد ثقة قابلة للوصول بشكل مختلف عن العميل الذي كان لديه إصدارات قديمة وأسطح إدارة مكشوفة وسجلات غير كاملة وبيانات اعتماد معاد استخدامها أو ملفات دعم حساسة. يجب تقييم المزود ذو الإعدادات الافتراضية الآمنة والاحتفاظ الضيق بشكل مختلف عن المزود الذي أعطى أدوات داخلية واسعة وصولاً مستمرًا إلى السجلات الحساسة.

لهذا السبب يقاوم مقال المساءلة الجيد كل من الذعر والغفران. يمكن للسجل العام أن يدعم استنتاج تحكم دون إثبات كل خسارة. يمكنه تحديد فجوات الأدلة دون اختراع الحقائق. يمكنه أن يدرك أن المزود تعامل مع جزء من الحادث بمسؤولية مع الاستمرار في التساؤل عما إذا كان التصميم قبل الحادث قد خلق مخاطر يمكن تجنبها. الدقة ليست لينًا؛ إنها ما يجعل المساءلة ذات مصداقية.

الأدلة التي يجب على العملاء الحفاظ عليها قبل أن تتلاشى الذاكرة

غالبًا ما يتم جمع أدلة العملاء الأكثر فائدة في الساعات الأولى بعد الإشعار. يجب على المسؤولين الحفاظ على سجلات المصادقة واتصالات الدعم وقوائم الحسابات المكشوفة وأحداث جدار الحماية أو نقطة النهاية وتصديرات التكوين وسجلات إعادة تعيين كلمة المرور وقوائم جرد الشهادات أو المفاتيح ولقطات شاشة إشعارات البائعين كما كانت موجودة في ذلك الوقت. تشرح هذه المواد لاحقًا لماذا اختارت المنظمة إعادة تعيين ضيقة أو واسعة أو إعادة بناء أو إفصاح أو استجابة مراقبة. بدونها، تصبح المراجعة اللاحقة نقاشًا حول التذكر بدلاً من سجل تحكم.

الحفظ مهم أيضًا لأن إشعارات المزود يمكن أن تتطور. قد يقول الإشعار الأول إن التحقيق مستمر. قد يضيق الإشعار اللاحق أو يوسع السكان المتأثرين. قد تضيف استشارة أمنية حالة مستغلة في البرية. يمكن للعميل الذي يحفظ كل إصدار أن يربط قراراته بالحقائق المتاحة في ذلك الوقت. هذا يحمي من الإدراك المتأخر غير العادل مع الاستمرار في كشف العمل البطيء بعد إشعار موثوق.

يجب ألا تبقى الأدلة داخل فريق الأمن وحده. تحتاج الفرق القانونية والمشتريات والخصوصية والدعم واستمرارية الأعمال والهندسة والتنفيذية كل منها إلى نسخة تناسب دورها. يحتاج فريق الخصوصية إلى حقول البيانات المتأثرة. تحتاج الهندسة إلى مؤشرات فنية ومالكي النظام. تحتاج المشتريات إلى واجبات العقد. يحتاج الدعم إلى لغة للعملاء. يحتاج التنفيذيون إلى المخاطر المتبقية وأسماء المالكين. يمكن أن يفشل حادث واحد إذا كانت الأدلة صحيحة لكنها محاصرة في الوظيفة الخاطئة.

نافذة عمل العميل واجب قابل للقياس

غالبًا ما يبدأ حدث من جانب المزود ساعة من جانب العميل. إذا أخبر الإشعار العملاء بتحديث البرنامج أو تدوير بيانات الاعتماد أو مراجعة السجلات أو تعطيل الواجهات المكشوفة أو تحذير المستخدمين، يصبح وقت استجابة العميل جزءًا من سجل المساءلة. المزود تحكم في الإشعار والخدمة المتأثرة. العميل تحكم في الإجراء المحلي. لا يمكن لأي من الجانبين إنهاء المهمة بمفرده.

يجب قياس نافذة العمل هذه بمصطلحات تتناسب مع المخاطر. قد يتطلب العيب الحرج المكشوف على الحافة ساعات. قد يتطلب التعرض الواسع للبيانات الوصفية تحذيرات تصيد في نفس اليوم ومراجعة المسؤول. قد يتطلب استبدال الشهادة نشر التحديث وتنظيف قائمة السماح وإثبات أن الحزم القديمة الموقعة لم تعد موثوقة. قد يتطلب تعرض تذكرة الدعم مراجعة المرفقات وإشعار المستخدم. قد تتطلب موجة برامج الفدية على المراقب الافتراضي عزلًا طارئًا والتحقق من النسخ الاحتياطي قبل تطبيق نوافذ الصيانة العادية.

الهدف ليس معاقبة كل تأخير. بعض البيئات معقدة، ولا يمكن للخدمات العامة أن تتوقف بشكل عرضي، ويمكن أن تؤدي التغييرات الطارئة إلى تعطيل العمليات الأساسية. الهدف هو جعل التأخير واضحًا. إذا تأخرت منظمة، يجب أن تسجل الضابط التعويضي وسبب العمل والمالك ووقت الانتهاء والأدلة على أن المخاطر لم تظل مفتوحة إلى أجل غير مسمى. التأخير غير المسجل هو كيف يصبح الاستثناء المؤقت الحادث التالي.

ادعاءات الإصلاح تحتاج إلى دليل دائم

يكون ادعاء الإصلاح أقوى عندما يسمي الضابط الذي تغير والدليل على أن التغيير لا يزال قائمًا. بالنسبة لحوادث الهوية، قد يشمل الدليل حسابات خدمة معطلة وجلسات أقصر ومصادقة مسؤول أقوى ومراجعات وصول وسير عمل إعادة التعيين المقاوم للتصيد. بالنسبة لحوادث الدعم، قد يشمل الدليل أدوار بائع أضيق وحدود الاحتفاظ بالمرفقات وتسجيل الإجراءات المميزة وتطهير ملفات العملاء. بالنسبة لحوادث الأجهزة الطرفية، قد يشمل الدليل عزل الإدارة الذي تم التحقق منه خارجيًا والإصدارات الثابتة ومراجعة السجلات وتدوير الأسرار وقرارات إعادة البناء.

لا يحتاج الجمهور العام إلى كل التفاصيل الحساسة، لكنه يحتاج إلى شكل الإصلاح. القول بأن الأمان قد تم تعزيزه أضعف من قول أي فئة من الوصول تمت إزالتها، وأي فئة من السجلات تم تقليلها، وأي فئة من بيانات الاعتماد تم تدويرها، وأي فئة من الأجهزة تم إعادة بنائها، وأي اختبار يتحقق من النتيجة. تسمح لغة الإصلاح المحددة للعملاء بمقارنة العلاج بمسار الفشل.

المتانة هي الجزء الصعب. تبدو العديد من الإصلاحات قوية مباشرة بعد الحادث ثم تتدهور. تعود قواعد جدار الحماية المؤقتة. تنمو أذونات الدعم القديمة مرة أخرى. لا تتم مراجعة التسجيل الجديد. لا يتم اختبار النسخ الاحتياطية. يتم تشغيل التدريب مرة واحدة ويختفي. لذلك يجب أن يتضمن سجل المساءلة نقطة تحقق لاحقة. الإصلاح الذي لا يمكنه البقاء على قيد الحياة في العمليات العادية هو مجرد توقف في المخاطر، وليس إغلاقًا.

مزودو الخدمات المدارة يجلسون داخل سلسلة الواجب

العديد من المنظمات المتأثرة لا تدير بشكل مباشر الأنظمة التي تمت مناقشتها في الإشعارات العامة. قد يقوم مزود مدار بتشغيل أدوات الدعم عن بعد أو خوادم البناء أو منصات البريد أو جدران الحماية أو حسابات قواعد البيانات أو المراقبات الافتراضية أو سير عمل مكتب المساعدة أو إشعارات العملاء. يمكن لهذا المزود تقليل المخاطر بسرعة أو إبقاء العملاء في الظلام. وبالتالي فإن واجب الدليل الخاص به هو أكثر من مجرد مجاملة خدمة.

يجب أن يكون المزود المدار مستعدًا لإخبار العميل ما إذا كان المنتج أو الخدمة المتأثرة موجودة، وما إذا كانت مكشوفة، ومتى تم تحديثها أو عزلها، وما إذا كانت السجلات تظهر نشاطًا مشبوهًا، وما إذا تم تدوير بيانات الاعتماد، وما إذا تم اختبار النسخ الاحتياطية، وما هي المخاطر المتبقية. البيان المجرد بأن الأمر قد تم التعامل معه لا يكفي للعميل الذي يجب أن يرد على مستخدميه أو منظميه أو شركات التأمين أو مجلس إدارته.

يجب أن توضح العقود هذا التوقع قبل الطوارئ. يجب أن تحدد محفزات الإشعار العاجل وتسليم الأدلة وسلطة الصيانة الطارئة وملكية بيانات الاعتماد ومسؤولية النسخ الاحتياطي ومن يدفع مقابل الاستعادة غير العادية. إذا عامل العقد أدلة الأمن على أنها اختيارية، فقد يكتشف العميل أثناء الحادث أنه اشترى وقت التشغيل وليس المساءلة.

تقليل البيانات يغير نصف قطر الانفجار

أسهل سجل مكشوف لحمايته هو السجل الذي لم يتم الاحتفاظ به أبدًا. لهذا السبب يهم تقليل البيانات في الحوادث التي تبدو وكأنها تتعلق بالاختراق التقني. أداة دعم تخزن المرفقات القديمة، أو بوابة حساب تحتفظ ببيانات وصفية غير ضرورية، أو مزود خدمة عملاء يمكنه عرض أدلة هوية واسعة، أو نظام شركة يجمع جهات اتصال المسؤولين، كل ذلك يزيد من قيمة الاختراق قبل وصول المهاجم.

التقليل لا يعني التظاهر بأن الشركة يمكن أن تعمل بدون سجلات. تحتاج فرق الدعم إلى معلومات كافية لحل مشاكل العملاء. تحتاج فرق الأمان إلى سجلات. تحتاج الخدمات المالية إلى سجلات منظمة. تحتاج أنظمة النقل العام إلى حسابات وامتيازات ومبالغ مستردة وعمليات دفع. سؤال التحكم هو ما إذا كان يمكن للمنظمة تبرير كل حقل حساس، وكل فترة احتفاظ، وكل إذن بائع، وكل مسار تصدير بعد حادث.

السجلات الأصغر تغير الإشعار أيضًا. إذا كان بإمكان المزود القول إنه تم الاحتفاظ بمجموعة حقول ضيقة فقط والوصول إليها، يمكن للعملاء التصرف بدقة. إذا احتفظ المزود بمرفقات واسعة أو بيانات وصفية غنية، يصبح الإشعار أصعب وينمو سطح الإساءة اللاحقة. وبالتالي فإن التقليل ليس شعار خصوصية. إنه ضابط مرونة لأنه يقلل من عدد الأشخاص والقرارات التي يتم جرها إلى الحادث.

يجب أن تطلب رقابة مجلس الإدارة أدلة تحكم، وليس فقط الحالة

غالبًا ما يتلقى التنفيذيون تحديثات الحوادث ككلمات حالة: تم الاحتواء، تمت المعالجة، لا تأثير مادي، التحقيق مستمر. هذه الكلمات واسعة جدًا لحكم المخاطر. يجب أن تسأل الرقابة على مستوى مجلس الإدارة عن أي ضابط فشل أو تم الضغط عليه، وأي طرف يمتلكه، وما هو الدليل الذي يثبت الاحتواء، وأي العملاء أو المستخدمين لا يزالون يمكن أن يتضرروا، وما هي الإصلاحات الدائمة، وما الذي لا يزال غير معروف.

يجب أن يسأل مجلس الإدارة أيضًا عما إذا كان الحادث قد كشف عن نمط. هل كان هذا تكرارًا لتعرض أداة دعم سابقة، أو فجوة تصحيح قديمة، أو افتراض تقسيم، أو ضعف رقابة على البائع، أو فشل متكرر في تدوير مواد الثقة؟ قد يكون حادث واحد حظًا سيئًا. نمط التحكم المتكرر هو دليل حوكمة. إنه يظهر ما إذا كانت المنظمة تتعلم أم مجرد تستجيب.

هذا لا يتطلب من المدراء أن يصبحوا مستجيبين للحوادث. إنه يتطلب منهم طلب أدلة على مستوى القرار. يحتاجون إلى أعداد التعرض ونوافذ العمل والتزامات العملاء والمحفزات القانونية وتأثيرات استمرارية الأعمال ومالكي المتابعة. عندما تسأل مجالس الإدارة فقط عما إذا كانت القصة قد انتهت، تتم مكافأة الإدارة على الإغلاق الهادئ. عندما تسأل مجالس الإدارة عن الأدلة التي غيرت بيئة التحكم، يصبح الإصلاح مرئيًا.

يجب أن يغير الحادث أسئلة المشتريات المستقبلية

يجب على العملاء تحويل هذه الفئة من الحوادث إلى أسئلة مشتريات أفضل. يجب أن يسألوا البائعين كيف يتم تقييد وصول الدعم، وكيف يتم تطهير مرفقات العملاء، وكيف يتم فصل تكنولوجيا المعلومات للشركة عن خدمات الإنتاج، وكيف يتم حماية شهادات التوقيع، وكيف تخزن أنظمة البناء الأسرار، وكيف تسجل منتجات الحافة النشاط الإداري، وكيف يتم إيقاف الإصدارات القديمة، وكيف يتلقى العملاء أدلة عاجلة أثناء حدث أمني.

يجب طرح هذه الأسئلة قبل التجديد، وليس فقط بعد الأزمة. قد يفضل الفريق التجاري مقارنة ميزات بسيطة، لكن الحوادث تظهر أن التأكيد التشغيلي يمكن أن يكون بنفس أهمية قدرة المنتج. منصة رخيصة مع امتيازات دعم واسعة وسجلات ضعيفة وإشعارات بطيئة وواجبات استعادة غير واضحة يمكن أن تصبح باهظة الثمن عندما يحدث خطأ ما. مزود أكثر انضباطًا يقلل من المخاطر الخفية حتى عندما لا يفشل شيء.

يجب على المشتريات أيضًا تجنب التأكيد الورقي فقط. يجب أن ترتبط إجابة الاستبيان بأدلة قابلة للاختبار: ملخصات التدقيق، وإعدادات الاحتفاظ، ونماذج الأدوار، ومستويات خدمة التصحيح، وأمثلة إشعارات العملاء، وتمارين الاستعادة، والتقييمات المستقلة حيثما توفرت. الهدف ليس المطالبة بشفافية مستحيلة. إنه شراء حقوق أدلة كافية حتى لا يكون العميل عاجزًا عندما يصبح المزود جزءًا من سطح المخاطر الخاص به.

درس المساءلة قابل لإعادة الاستخدام

الدرس القابل لإعادة الاستخدام هو أن حوادث البنية التحتية الحديثة نادرًا ما تتوقف عند النظام الذي تبدأ فيه. يمكن أن يصبح مزود الدعم المخترق مشكلة هوية. يمكن أن يصبح حادث نظام الشركة مشكلة بيانات وصفية للعميل. يمكن أن يصبح خادم البناء المعرض للخطر مشكلة سلسلة توريد البرامج. يمكن أن يصبح منتج الوصول عن بعد مشكلة ثقة الشهادة. يمكن أن يصبح جدار الحماية أو المراقب الافتراضي مشكلة استمرارية. تتداخل الفئات لأن العملاء يعتمدون على خدمات مجمعة، وليس صناديق معزولة.

هذا التداخل هو السبب في أنه يجب كتابة خطط الاستجابة حول أسطح التحكم. من يمتلك ثقة الهوية؟ من يمتلك ثقة البرامج الموقعة؟ من يمتلك بيانات الدعم؟ من يمتلك إدارة الحافة؟ من يمتلك النسخ الاحتياطية؟ من يمتلك اتصالات العملاء؟ من يمتلك أدلة البائع؟ إذا كان هؤلاء المالكون معروفين قبل الحدث، يمكن للمنظمة الاستجابة بارتباك أقل. إذا تم اكتشافهم أثناء الحدث، يتوسع الحادث بينما يتفاوض الناس على السلطة.

يجب أن تكون المنظمة الناضجة قادرة على قراءة أي إشعار مستقبلي في هذه الفئة وتعيينه على الفور للمالكين والإجراءات والأدلة. هذا هو الفرق بين الوعي بالحادث والاستعداد للحادث. الوعي يقول إن شيئًا ما حدث. الاستعداد يقول من يجب أن يفعل ماذا، وبحلول متى، وبأي دليل، وكيف سيعرف الأشخاص المعتمدون.

الاستنتاج من المصلحة العامة

الاستنتاج من المصلحة العامة هو أن استغلال ثغرة PAN-OS GlobalProtect CVE-2024-3400 وعملية MidnightEclipse لعام 2024 يجب أن يُتذكر كاختبار تحكم. اختبر الحدث ما إذا كانت المنظمة وعملاؤها يستطيعون التمييز بين الاحتواء التقني واستعادة الثقة. اختبر ما إذا كانت الإشعارات قابلة للتنفيذ. اختبر ما إذا تم تقليل السجلات الحساسة أو كائنات الثقة. اختبر ما إذا تلقت الأطراف المعتمدة أدلة كافية لحماية نفسها.

أقوى استجابة لهذه الفئة من الحوادث ليست طمأنة أعلى صوتًا. إنه مسار محفوف بالمخاطر أضيق، ومسار احتواء أسرع، ومسار أدلة أكثر اكتمالاً، ومسار عمل أوضح للعميل. هذا يعني بيانات أقل غير ضرورية، وامتيازات دعم أقل اتساعًا، وحدود إدارية أكثر إحكامًا، وفصل أقوى بين بيئات الأعمال والخدمة، وتسجيل أفضل، واستعادة مختبرة، وإلغاء أسرع لبيانات الاعتماد أو الشهادات عندما تكون الثقة غير مؤكدة.

جعلت Palo Alto Networks اختراق جذر جدار الحماية اختبارًا لاستعادة المساءلة لأن المنظمة كانت في نقطة حيث كان على كثيرين آخرين الاعتماد على أدلتها. عندما يكون هذا صحيحًا، تتبع المساءلة سطح التحكم العملي. يجب على الطرف صاحب أوضح رؤية وأفضل قدرة على تقليل الضرر أن يفعل أكثر من القول إن الحدث قد انتهى. يجب أن يظهر لماذا يمكن أن تستمر علاقة الثقة بأمان.