VMware ESXiArgs يُظهر كيف تصبح تصحيحات المشرف القديمة واجبات استمرارية

ملخص

• في فبراير 2023، حذرت الحكومات والمستجيبون من أن المهاجمين كانوا يستغلون أنظمة VMware ESXi غير المصححة في حملة برامج الفدية ESXiArgs، مستخدمين ثغرة كانت VMware قد عالجتها في عام 2021.
• سؤال المساءلة المركزي هو: من كان لديه السيطرة العملية على ديون تصحيحات المشرف، والتعرض للإنترنت، والإصدارات غير المدعومة، وعزل النسخ الاحتياطية، ونصوص الاسترداد، والتواصل مع العملاء، واستمرارية الخدمات الافتراضية؟
• الجذر العملي للقضية ليس تصنيفًا واحدًا مثل الاختراق أو الانقطاع أو الثغرة أو فشل البائع. يركز السجل على تعرض VMware ESXi OpenSLP القديم، وفشل تبني التصحيحات، والمشرفين المواجهين للإنترنت، وتشفير برامج الفدية لملفات التكوين، وإرشادات الاسترداد، وجودة النسخ الاحتياطي، والاعتماد التجاري المخفي داخل مجموعات المحاكاة الافتراضية.
• واجه مقدمو خدمات الاستضافة، والوكالات العامة، والشركات الصغيرة، والمؤسسات، وأصحاب التطبيقات، والمستخدمون النهائيون فقدان الخدمة عندما اعتمدت الآلات الافتراضية على مشرفين لم يتم الحفاظ على تحديث حالة تصحيحاتهم واستعدادهم للاسترداد.
• يدعم السجل نتيجة مساءلة عالية الثقة بشأن واجبات السيطرة وفجوات الأدلة. لا يدعم افتراض حقائق تظل خاصة، مثل كل إدخال سجل، أو كل تأثير على العميل، أو كل قرار داخلي، أو كل خسارة في المراحل اللاحقة.

سجل الأدلة وكيفية استخدامه

تعامل هذه المقالة السجل العام كدليل متعدد الطبقات بدلاً من كونه حسابًا رئيسيًا واحدًا. تُستخدم إشعارات الشركة لما ذكرته شركة Vmware International Unlimited Company أنها وجدته أو غيرته أو نصحت به. تُستخدم مواد الحكومة والجهات التنظيمية والثغرات وأبحاث الأمن لتأطير واجبات السيطرة حول الحادث. يُستخدم التقارير الثانوية فقط حيث تحافظ على البيانات العامة أو التسلسل الزمني أو سياق الأطراف المتأثرة غير المتوفرة بطريقة أخرى في وثيقة أولية مستقرة.

الحادثة تدور في الحقيقة حول السيطرة

أظهرت VMware ESXiArgs كيف تصبح تصحيحات المشرف القديمة واجبات استمرارية لأن الحدث وضع السيطرة العملية تحت ضوء أكثر سطوعًا مما فعله العنوان الرئيسي. يبدأ السجل العام بـ استشارة VMware VMSA-2021-0002 ويعززه إدخال NVD CVE-2021-21974 و استشارة CISA ESXiArgs لبرامج الفدية. تلك السجلات مهمة لأنها تحدد الفرق بين قصة أمنية غامضة ومجموعة من الواجبات التشغيلية: العثور على الأنظمة المتأثرة، تحديد البيانات أو مواد الثقة التي يمكن الوصول إليها، إخطار الأشخاص الذين يجب أن يتصرفوا، وإثبات أن مسار المخاطر القديم قد تم إغلاقه.

الحركة التحليلية المهمة هي فصل المحفز عن المساءلة. المحفز هو حملة برامج الفدية ESXiArgs التي تستغل ثغرة VMware ESXi OpenSLP غير المصححة CVE-2021-21974، 2023. المساءلة أوسع. تشمل خيارات التصميم قبل الحدث، والمراقبة التي كان ينبغي أن تكتشف النشاط غير الطبيعي، وسلطة الطوارئ لاحتوائه، والأدلة التي تميز الاختراق المؤكد عن التعرض المحتمل، والتواصل الذي يسمح للأطراف المعتمدة باتخاذ قراراتها الخاصة. يمكن للمزود أن يكون دقيقًا بشأن المحفز التقني الضيق ويظل يترك العملاء دون أدلة كافية لإدارة جانبهم من المخاطر.

بالنسبة لشركة Vmware International Unlimited Company، فإن القضية العامة تقع بالتالي في سطح السيطرة: ديون تصحيحات ESXi القديمة، التعرض لـ OpenSLP، موجة برامج الفدية، استرداد المشرف، عزل النسخ الاحتياطية، الإصدارات غير المدعومة، وأدلة الاستمرارية. تلك ليست تفاصيل علاقات عامة. إنها الآلية التي ينمو أو يتقلص بها الضرر. يمكن لاختراق قصير أن ينتج مخاطر هوية طويلة الأمد. يمكن لثغرة قديمة أن تتحول إلى فشل استمرارية حي. يمكن لحساب بائع أن يصبح مشكلة حساب عميل. يمكن لتذكرة دعم منصة أن تحمل مواد أكثر حساسية من خدمة الإنتاج نفسها. تستخدم المقالة هذه العدسة في جميع الأنحاء.

التسلسل الزمني جزء من الأدلة

التسلسل الزمني مهم لأن العملاء يمكنهم التصرف فقط بعد أن يعرفوا ما يكفي للتصرف. في هذه الحالة، يبدأ التسلسل الزمني العام بالمحفز الموصوف أعلاه، ثم ينتقل عبر الاحتواء، وتوجيه العملاء، والتقارير المتابعة، والتحليل اللاحق. تختبر اللحظة المبكرة الكشف والتصعيد. تختبر اللحظة الوسطى ما إذا كانت الضوابط المؤقتة أصبحت إصلاحًا دائمًا. تختبر اللحظة اللاحقة ما إذا كانت المنظمة قد تعلمت ما يكفي لمنع مسار مماثل بدلاً من مجرد إغلاق الحادثة بعد أن تلاشى الاهتمام.

يجب أن يجيب التسلسل الزمني الجيد للحادثة على عدة أسئلة. متى بدأ النشاط غير الطبيعي؟ متى رآه المدافع أول مرة؟ متى فهم المدافع أهميته؟ متى احتوت المنظمة المسار؟ متى عرفت أي العملاء والسجلات والخدمات وبيانات الاعتماد والأنظمة يمكن أن تتأثر؟ متى حصل الأشخاص خارج المنظمة على معلومات كافية لحماية أنفسهم؟ نادرًا ما تجيب الإشعارات العامة على كل سؤال من هذه الأسئلة، لكن الأسئلة لا تزال الإطار الصحيح للمساءلة.

الفجوة بين حدث داخلي وإشعار عام ليست تلقائيًا خطأ. يحتاج مستجيبو الحوادث إلى وقت للتحقق من الحقائق. يمكن للإشعار المبكر أن ينشر نصائح غير صحيحة. لكن يجب أن تكون الفجوة قابلة للتفسير. إذا كان العملاء يتحكمون في كلمات المرور والرموز ونقاط النهاية وملفات الدعم والحسابات المصرفية والمسؤولين أو المستخدمين النهائيين، فإن التأخير ينقل المخاطر إليهم أيضًا. المعيار الخاضع للمساءلة ليس الكمال الفوري. إنه التواصل الفوري والمتدرج الذي يميز الحقائق المؤكدة والمخاطر المحتملة والإجراء الموصى به وعدم اليقين غير المحلول.

لم يكن كائن البيانات أو الثقة عرضيًا

لم يكن الكائن المكشوف أو المهدد في هذه الحالة عرضيًا للأعمال. يركز السجل على تعرض VMware ESXi OpenSLP القديم، وفشل تبني التصحيحات، والمشرفين المواجهين للإنترنت، وتشفير برامج الفدية لملفات التكوين، وإرشادات الاسترداد، وجودة النسخ الاحتياطي، والاعتماد التجاري المخفي داخل مجموعات المحاكاة الافتراضية. هذا يعني أن الحادثة لمست كائن ثقة كانت المنظمة موجودة لإدارته أو دعت العملاء للاعتماد عليه. عندما يكون هذا الكائن هو بيانات اعتماد أو شهادة توقيع أو مرفق دعم أو مجموعة بيانات وصفية للعميل أو خادم بناء أو جدار ناري أو مشرف أو سجل هوية خدمة عامة، لا يمكن للمنظمة التعامل معه كتفصيل عادي لنظام المكاتب.

كائنات الثقة لها ملف مساءلة خاص. تسمح للأنظمة الأخرى باتخاذ القرارات. تخبر شهادة توقيع الرمز نقطة النهاية ما إذا كان البرنامج شرعيًا. تخبر بيانات اعتماد الدعم المنصة ما إذا كان بإمكان الشخص رؤية سجلات العملاء. يخبر خادم البناء المستخدمين النهائيين أن الأداة جاءت من العملية المتوقعة. يخبر جدار ناري أو بوابة وصول عن بعد الشبكة بالجلسات التي قد تدخل. يخبر سجل بيانات وصفية للعميل المحتال بمن يستهدف. غالبًا ما يأتي الضرر لاحقًا، عندما يعيد شخص ما استخدام كائن الثقة في بيئة مختلفة.

لهذا السبب يحتاج تحليل النطاق إلى تغطية الوظيفة، وليس فقط أسماء الجداول أو أسماء الخوادم. السؤال عما إذا تم نسخ جدول قاعدة بيانات ضيق جدًا إذا كانت الحقول المنسوخة تحدد المسؤولين. السؤال عما إذا تم اختراق مستوى بيانات الإنتاج ضيق جدًا إذا كانت سجلات الشركة تكشف كيفية مهاجمة مستوى البيانات لاحقًا. السؤال عما إذا بقيت الخدمة متصلة ضيق جدًا إذا بقيت بيانات الاعتماد والشهادات والمرفقات قابلة للاستخدام بعد الحدث.

مسؤولية المزود تتبع أعلى ضوابط النفوذ

المزود في هذه القصة سيطر على البيئة التي بدأ فيها الحدث العام، لكن هذا البيان ليس كافيًا. السؤال الأكثر دقة هو ما هي الضوابط عالية النفوذ التي كانت على جانب المزود. في العديد من الحوادث، تشمل هذه الضوابط الهندسة المعمارية، والوصول المميز، وتقسيم الخدمات، ومعالجة الشهادات أو المفاتيح، وتغطية التسجيل، وتقليل بيانات العملاء، والإعدادات الافتراضية الآمنة، والإلغاء الطارئ، وهندسة الإصدارات، وسلطة نشر إرشادات موثوقة.

يجب الحكم على المزود من خلال ما إذا كان قد جعل المسار المحفوف بالمخاطر سهلاً أم صعبًا. هل تطلبت الأدوات المميزة مصادقة قوية وأدوارًا ضيقة؟ هل تم الاحتفاظ بمرفقات الدعم الحساسة أو البيانات الوصفية لفترة أطول من اللازم؟ هل تم فصل أنظمة الإنتاج عن أنظمة الشركة؟ هل تم تصميم الخدمات المكشوفة للفشل المغلق؟ هل كانت السجلات كاملة لإعادة بناء الوصول؟ هل يمكن للمنظمة إلغاء مواد الثقة بسرعة؟ هل يمكن للعملاء التحقق من أنهم قاموا بتثبيت إصدار آمن أو اتخذوا خطوة الاحتواء الصحيحة؟

قد يظهر السجل العام جزءًا فقط من وضع التحكم هذا. يمكن أن يظهر أنه تم إصدار إشعار، أو إصدار تصحيح، أو طلب إعادة تعيين كلمة المرور، أو تعطيل حساب بائع، أو استبدال شهادة، أو إبقاء وكالة عامة على الخدمة. غالبًا لا يمكنه إظهار مراجعات الوصول الداخلية، أو مناقشة مجلس الإدارة، أو الثقة الجنائية، أو كل رسالة عميل. لا ينبغي ملء هذا النقص في الرؤية الكاملة بالتخمين. يجب تسميته كحد أدلة وتحويله إلى طلب لضمان مستقبلي أوضح.

مسؤولية العميل والمشغل لم تختف

كان لدى العملاء والمشغلين أيضًا واجبات. هذا ليس تحويلًا للوم. إنه اعتراف بأن العديد من حوادث التكنولوجيا تعبر حدودًا تنظيمية. قد يتحكم العميل في تحديثات نقطة النهاية، وإعادة استخدام كلمة المرور، والحسابات المميزة، وتعرض جدار الحماية، وتحميلات الدعم، وسلوك المسؤول، وعزل النسخ الاحتياطية، ومراجعة التنبيهات، وتثقيف المستخدم. قد تتحكم وكالة عامة في إثبات الهوية وإشعار المواطن. قد يتحكم مزود الخدمة المُدارة في وحدة التحكم التي لا يراها العميل أبدًا.

التوزيع الصحيح يعتمد على القدرة. إذا كان المزود فقط يمكنه تحديد سجلات الدعم التي تم الوصول إليها، فإن المزود يمتلك تلك الأدلة. إذا كان العميل فقط يمكنه تدوير سر نهائي أو مراجعة سجلاته الخاصة، فإن العميل يمتلك هذا الإجراء بعد تلقي إشعار موثوق. إذا كان المزود المُدار يدير الأداة المتأثرة، فإن المزود المُدار يدين بالإجراء والأدلة للعميل. المساءلة تتبع السيطرة العملية، وليس رؤية العلامة التجارية.

هذا مهم لأن رد الفعل الناقص غالبًا ما يختبئ وراء خطأ طرف آخر. قد يقول العميل إن البائع تسبب في المشكلة وبالتالي يفشل في مراجعة تعرضه الخاص. قد يقول البائع إن العميل أساء تكوين النظام وبالتالي يفشل في تحسين الإعدادات الافتراضية الآمنة. قد يقول المزود المُدار إنه قام بالتصحيح ويتجنب شرح ما إذا كان قد راجع الاختراق. تخدم المصلحة العامة فقط عندما يذكر كل طرف ما كان يسيطر عليه وما فعله بهذا التحكم.

التقسيم هو الحدود بين الحادثة والتسلسل

يقرر التقسيم ما إذا كانت الحادثة تبقى محدودة. في هذه الحالة، قد يكون التقسيم ذو الصلة بين تكنولوجيا المعلومات الخاصة بالشركة والبنية التحتية للمنتج، بين أدوات الدعم وبيانات الإنتاج، بين البيانات الوصفية ومحتوى العميل، بين مستوى الإدارة ومستوى حركة المرور، بين خدمة البناء ومفاتيح التوقيع، أو بين مضيف المشرف وعقار النسخ الاحتياطي. الحدود الدقيقة تتغير حسب الموضوع، لكن مبدأ المساءلة مستقر.

يجب أن يكون ادعاء التقسيم قابلاً للاختبار. لا يكفي القول إن بيئة واحدة منفصلة عن أخرى. يجب أن يظهر السجل أي الهويات يمكنها عبور الحدود، وما هي مسارات الشبكة الموجودة، وما هي السجلات التي تؤكد الحركة الفاشلة أو الغائبة، وما هي حسابات الخدمة التي تمت مراجعتها، وما هي ضوابط الطوارئ التي تم تطبيقها. لا يحتاج العملاء إلى كل تفاصيل حساسة، لكنهم يحتاجون إلى ضمان كافٍ لمعرفة ما إذا كان حادث جانب المزود قد غير مخاطرهم الخاصة.

تتجنب أقوى البيانات العامة طرفين متطرفين. لا تبالغ في الضرر بالتلميح إلى أن كل نظام تابع قد تم اختراقه. كما لا تختبئ وراء حدود تقنية ضيقة مع تجاهل المخاطر المتصلة. القول إن مستوى بيانات الإنتاج لم يتأثر مفيد. القول بما هي البيانات الوصفية وبيانات الاعتماد والشهادات والمرفقات والسجلات الإدارية التي تأثرت ضروري بنفس القدر لأن هذه المواد يمكن استخدامها لمهاجمة مستوى البيانات لاحقًا.

يجب أن يخبر الإشعار المستلمين بما يمكنهم فعله

الإشعار ليس طقوسًا. إنه نقل للأدلة القابلة للتنفيذ. يخبر الإشعار المفيد المستلمين بما حدث، وما هي البيانات أو مواد الثقة التي قد تكون متورطة، وما فعلته المنظمة بالفعل، وما يجب على المستلمين فعله الآن، وما لا يزال غير معروف، وأين ستظهر التحديثات اللاحقة. إذا قال الإشعار فقط إن حادثة وقعت، فقد يلبي حاجة اتصال رسمية بينما يفشل في تلبية الحاجة التشغيلية.

يحتاج المستلمون المختلفون إلى محتوى مختلف. يحتاج مسؤولو الأمن إلى مؤشرات وحسابات متأثرة ومتطلبات إعادة تعيين ونوافذ مراجعة السجل وإرشادات التكوين. يحتاج المستهلكون إلى نصائح بلغة واضحة عن مخاطر الهوية وإرشادات الدفع وكلمة المرور وجهات اتصال الدعم. يحتاج مستخدمو الخدمة العامة إلى ضمان استمرار الخدمات الأساسية أو وجود بدائل. يحتاج المطورون إلى إرشادات سلامة البناء وخطوات تدوير الأسرار. يحتاج المسؤولون التنفيذيون إلى مصفوفة من التعرض والاختراق والمعالجة والمخاطر المتبقية.

لذلك تعامل المقالة التواصل كتحكم، وليس كمجرد لطف. يمكن لإشعار متأخر أو غامض أن يزيد الضرر حتى لو تم احتواء الاختراق الأولي بسرعة. يمكن للإشعار المتدرج أن يقلل الضرر حتى قبل استقرار كل حقيقة. يمكن أن يكون الإشعار المصحح مسؤولاً عندما يتوسع النطاق. المفتاح هو تسمية عدم اليقين بأمانة بدلاً من التظاهر بأن النسخة العامة الأولى هي النسخة النهائية.

سطح الإساءة يمتد إلى ما وراء الاختراق المؤكد

الاختراق المؤكد هو فقط سطح المخاطر الأول. يمكن للمهاجمين والمجرمين والانتهازيين إعادة استخدام معلومات الحادثة للتصيد والاحتيال وسرقة بيانات الاعتماد والابتزاز ومكالمات الدعم المزيفة وطعوم تحديثات البرامج وعمليات احتيال الفواتير واستهداف التوظيف والضغط الاجتماعي. واجه مقدمو خدمات الاستضافة، والوكالات العامة، والشركات الصغيرة، والمؤسسات، وأصحاب التطبيقات، والمستخدمون النهائيون فقدان الخدمة عندما اعتمدت الآلات الافتراضية على مشرفين لم يتم الحفاظ على تحديث حالة تصحيحاتهم واستعدادهم للاسترداد. لذلك يجب على المنظمة قياس ليس فقط ما فعله المتسلل، ولكن ما تمكنه المعلومات المكشوفة الآخرين من فعله بعد ذلك.

هذا صحيح بشكل خاص عندما تحدد المواد المكشوفة المسؤولين، وجهات اتصال الدعم، وعلاقات الدفع، وعملاء علامة تجارية معينة، والمستخدمين الذين قدموا وثائق هوية، أو المنظمات التي تدير تقنية معينة. تلك السجلات تقلل من تكلفة بحث المهاجم. تجعل الهندسة الاجتماعية أرخص وأكثر مصداقية. كما تسمح للمجرمين بتخصيص التوقيت: إشعار إعادة تعيين مزيف بعد حادثة حقيقية يبدو أكثر قابلية للتصديق من رسالة تصيد عادية.

يجب أن يشمل منع الإساءة بعد الحدث مراقبة الانتحال، وتحذير العملاء من الطعوم المحتملة، وتشديد التحقق من الدعم، وإلغاء الرموز القديمة، وتدوير الأسرار المكشوفة، ومراقبة نشاط الحسابات الجديدة، وإعطاء موظفي الدعم في الخطوط الأمامية نصوصًا لا تسرب المزيد من المعلومات. يجب على المنظمة أيضًا مراجعة ما إذا كانت قد جمعت أو احتفظت ببيانات أكثر مما تتطلبه وظيفة الدعم أو الخدمة حقًا.

يجب أن تدعم الأدلة الجنائية قرار الثقة

للمراجعة الجنائية غرض محدد: إنها تدعم قرار الثقة. هل يمكن للعميل الاستمرار في استخدام البرنامج؟ هل يمكن للمنظمة الوثوق بجدار الحماية؟ هل يمكنها الوثوق بأدوات البناء؟ هل يمكنها الوثوق بسجلات الدعم؟ هل يمكنها الوثوق بمزود الهوية، أو مخزن البيانات الوصفية، أو المشرف، أو الشهادة، أو النسخ الاحتياطي، أو جلسة الوصول عن بعد؟ التصحيح أو إعادة التعيين أو تعطيل شيء ما هو فقط جزء من الإجابة.

يتطلب قرار الثقة أدلة حول ما تم الوصول إليه، وما كان يمكن الوصول إليه، وما تم تغييره، وما هي بيانات الاعتماد أو المفاتيح الموجودة، وما هي السجلات كاملة، وما إذا كان يمكن تغيير السجلات، وما هي الإشارات المستقلة التي تؤكد الاستنتاج. عندما تكون الأدلة غير كاملة، يجب على المنظمة أن تقول ذلك وتتخذ قرارًا متحفظًا للأصول عالية القيمة. قد يحتاج نظام محيطي مخترق أو خادم بناء إلى إعادة بناء وتدوير الأسرار حتى بعد إصلاح الخلل الأصلي.

يخلق السجل الجنائي الضعيف مشكلة مساءلة ثانوية. إذا لم تستطع المنظمة إثبات أن كائن الثقة ظل آمنًا، فقد تحتاج إلى تحمل تكلفة المعالجة الأوسع. هذا مكلف. لكن البديل هو نقل عدم اليقين إلى العملاء أو المواطنين أو المستخدمين النهائيين الذين يفتقرون إلى أدلة المزود. تحول إدارة الحوادث الناضجة السجلات الخاصة إلى ضمان عام كافٍ للخارجيين للتصرف بعقلانية.

الحوافز الاقتصادية تفسر نقص الاستثمار

النمط المتكرر عبر الحوادث ليس غامضًا. غالبًا ما تفرض الضوابط الوقائية تكاليف مرئية قبل وقوع أي حادثة. التقسيم يبطئ الراحة. أقل الامتيازات يحبط الدعم. تدوير الشهادات يخلق مخاطر التوافق. تقوية خادم البناء يبطئ التسليم. يتطلب تصحيح المشرف نوافذ صيانة. تقليل بيانات العميل قد يقلل من التسويق أو تفاصيل الدعم. يستهلك اختبار النسخ الاحتياطي وقتًا. هذه التكاليف فورية؛ الضرر الذي تم تجنبه غير مؤكد حتى يصل.

تلك الفجوة في الحوافز هي سبب عدم انتظار المساءلة لسجل محكمة أو رقم خسارة مؤكد. إذا انتظرت كل منظمة حتى يتم إثبات الضرر، فإن المسار الأرخص هو دائمًا تأجيل التحكم والأمل في أن يمتص طرف آخر الخسارة. قد يعاني العملاء من مخاطر الهوية، أو التوقف، أو مراقبة الاحتيال، أو التوظيف الطارئ، أو انقطاع العقد، أو إزعاج الخدمة العامة بينما يعالج الطرف الذي لديه أفضل تحكم وقائي التكلفة كخارجية.

نموذج حوافز أفضل يربط واجبات التحكم بالطرف الذي يمكنه تقليل المخاطر بأقل تكلفة قبل الحدث. يجب على البائعين جعل الإعدادات الافتراضية الآمنة والسجلات الكاملة أمرًا طبيعيًا. يجب على العملاء الحفاظ على المخزونات ونوافذ التصحيح واختبارات الاسترداد ونظافة بيانات الاعتماد. يجب على المزودين المُدارين تقديم حزم أدلة. يجب على المنظمين وشركات التأمين طلب دليل على هذه الضوابط قبل الحوادث، وليس فقط روايات بعد ذلك.

يجب أن يبقى سجل الحوكمة بعد دورة الأخبار

يجب أن يظل سجل الحوكمة مفيدًا بعد تلاشي دورة الأخبار. يجب أن يصف هذا السجل المحفز، والأصول المتأثرة، والأشخاص المتأثرين، وإجراءات الاحتواء، ونصائح العملاء، وجودة الأدلة، والمخاطر المتبقية، والتأثير التجاري، وأصحاب المعالجة، والاختبارات المتابعة. يجب أن يظهر أيضًا ما تغير بعد الحدث: قواعد الوصول، وفترات الاحتفاظ، والإشراف على البائعين، وتغطية التسجيل، ومستويات خدمة التصحيح، وتدوير الأسرار، وعزل النسخ الاحتياطية، أو دفاتر تشغيل إشعارات العملاء.

بدون هذا السجل، تتعلم المنظمة فقط بشكل مؤقت. يتناوب الموظفون. تبقى الاستثناءات الطارئة. تصبح التدابير المؤقتة دائمة. يعود نفس النوع من الحوادث في منتج أو علاقة بائع مختلفة. يتيح سجل المساءلة طويل الأمد لمجلس الإدارة أو المنظم أو العميل أو المشغل المستقبلي أن يسأل عما إذا كان الإصلاح الموعود لا يزال موجودًا بعد ستة أشهر.

بالنسبة لشركة Vmware International Unlimited Company، الدرس الدائم ليس أن كل ضرر محتمل قد حدث. إنه أن الحدث العام كشف فئة تحكم ستتكرر. قد تتضمن الحالة التالية منتجًا أو جغرافيا أو مهاجمًا أو مجموعة بيانات مختلفة. سيكون الاختبار هو نفسه: هل يمكن للمنظمة أن تظهر من كان يسيطر على المسار المحفوف بالمخاطر، وماذا فعلوا، ولماذا يجب على الخارجيين الوثوق بالنتيجة؟

ما الذي سيغير التقييم

سيتغير التقييم مع أدلة أقوى أو أضعف. ستشمل الأدلة الأقوى ملخصًا جنائيًا مستقلاً، وفئات تأثير العملاء الكاملة، وتسلسلًا زمنيًا واضحًا من أول اكتشاف إلى الاحتواء، وإثباتًا على أن مواد الثقة ذات الصلة تم تدويرها أو لم تتعرض أبدًا، واختبارًا لاحقًا يظهر أن نفس المسار لم يعد يعمل. ستشمل الأدلة الأضعف توسعًا متأخرًا في النطاق دون تفسير، وفئات بيانات غير واضحة، وسجلات مفقودة، وحوادث مماثلة متكررة، أو نمطًا من التعامل مع إجراء العميل كاختياري عندما يكون إجراء العميل ضروريًا.

سيتغير أيضًا مع أدلة الأطراف المتأثرة. يجب تقييم العميل الذي يمكنه إظهار عدم التعرض، والتحديث السريع، والسجلات الكاملة، وعدم وجود مواد ثقة قابلة للوصول بشكل مختلف عن العميل الذي كان لديه إصدارات قديمة، وأسطح إدارة مكشوفة، وسجلات غير كاملة، وبيانات اعتماد معاد استخدامها، أو ملفات دعم حساسة. يجب تقييم المزود ذي الإعدادات الافتراضية الآمنة والاحتفاظ الضيق بشكل مختلف عن المزود الذي أعطى أدوات داخلية واسعة وصولًا دائمًا إلى سجلات حساسة.

لهذا السبب تقاوم مقالة مساءلة جيدة الذعر والبراءة. يمكن للسجل العام دعم نتيجة سيطرة دون إثبات كل خسارة. يمكنه تحديد فجوات الأدلة دون اختراع حقائق. يمكنه الاعتراف بأن المزود تعامل مع جزء من الحادثة بمسؤولية مع الاستمرار في التساؤل عما إذا كان التصميم قبل الحادثة قد خلق مخاطر يمكن تجنبها. الدقة ليست ضعفًا؛ إنها ما يجعل المساءلة ذات مصداقية.

الأدلة التي يجب على العملاء الاحتفاظ بها قبل أن يتلاشى الذاكرة

غالبًا ما يتم جمع أدلة العميل الأكثر فائدة في الساعات الأولى بعد الإشعار. يجب على المسؤولين الاحتفاظ بسجلات المصادقة، واتصالات الدعم، وقوائم الحسابات المكشوفة، وأحداث جدار الحماية أو نقطة النهاية، وصادرات التكوين، وسجلات إعادة تعيين كلمة المرور، ومخزونات الشهادات أو المفاتيح، ولقطات شاشة لإشعارات البائع كما كانت موجودة في ذلك الوقت. تشرح تلك المواد لاحقًا لماذا اختارت المنظمة إعادة تعيين ضيقة، أو إعادة تعيين واسعة، أو إعادة بناء، أو إفصاح، أو استجابة مراقبة. بدونها، تصبح المراجعة اللاحقة نقاشًا حول التذكر بدلاً من سجل السيطرة.

الاحتفاظ مهم أيضًا لأن إشعارات البائع يمكن أن تتطور. قد يقول الإشعار الأول إن التحقيق مستمر. قد يضيق أو يوسع الإشعار اللاحق عدد السكان المتأثرين. قد تضيف استشارة أمنية حالة الاستغلال في البرية. العميل الذي يحفظ كل إصدار يمكنه رسم خريطة لقراراته بالحقائق المتاحة في ذلك الوقت. هذا يحمي من النظر بأثر رجعي غير العادل مع استمرار كشف العمل البطيء بعد الإشعار الموثوق.

لا ينبغي أن تبقى الأدلة داخل فريق الأمن وحده. تحتاج فرق القانون، والمشتريات، والخصوصية، والدعم، واستمرارية الأعمال، والهندسة، والتنفيذ إلى نسخة مناسبة لدورهم. يحتاج فريق الخصوصية إلى حقول البيانات المتأثرة. تحتاج الهندسة إلى مؤشرات تقنية وأصحاب النظام. تحتاج المشتريات إلى واجبات العقد. يحتاج الدعم إلى لغة للعملاء. يحتاج المسؤولون التنفيذيون إلى المخاطر المتبقية وأسماء المالكين. يمكن أن تفشل حادثة واحدة إذا كانت الأدلة صحيحة لكنها محصورة في الوظيفة الخاطئة.

نافذة إجراء العميل هي واجب قابل للقياس

غالبًا ما يبدأ حدث جانب المزود ساعة جانب العميل. إذا طلب الإشعار من العملاء تحديث البرنامج، أو تدوير بيانات الاعتماد، أو مراجعة السجلات، أو تعطيل الواجهات المكشوفة، أو تحذير المستخدمين، فإن وقت استجابة العميل يصبح جزءًا من سجل المساءلة. المزود سيطر على الإشعار والخدمة المتأثرة. العميل سيطر على الإجراء المحلي. لا يمكن لأي طرف إنهاء المهمة بمفرده.

يجب قياس نافذة الإجراء هذه بمصطلحات تتطابق مع المخاطر. قد يتطلب عيب حافة حرج مكشوف ساعات. قد يتطلب تعرض بيانات وصفية واسع تحذيرات تصيد في نفس اليوم ومراجعة المسؤول. قد يتطلب استبدال الشهادة نشر تحديث وتنظيف القائمة البيضاء وإثبات أن الحزم الموقعة قديمة لم تعد موثوقة. قد يتطلب تعرض مرفق الدعم مراجعة المرفقات وإشعار المستخدم. قد تتطلب موجة برامج فدية المشرف عزل طارئ والتحقق من صحة النسخ الاحتياطي قبل تطبيق نوافذ الصيانة العادية.

الهدف ليس معاقبة كل تأخير. بعض البيئات معقدة، والخدمات العامة لا يمكنها التوقف بشكل عادي، ويمكن للتغييرات الطارئة أن تعطل العمليات الأساسية. الهدف هو جعل التأخير صريحًا. إذا تأخرت منظمة، يجب أن تسجل التحكم التعويضي، وسبب العمل، والمالك، ووقت انتهاء الصلاحية، والدليل على أن المخاطرة لم تظل مفتوحة إلى أجل غير مسمى. التأخير غير المسجل هو كيف يصبح الاستثناء المؤقت الحادثة التالية.

ادعاءات الإصلاح بحاجة إلى دليل دائم

ادعاء الإصلاح أقوى عندما يسمي التحكم الذي تغير والدليل على أن التغيير لا يزال قائماً. لحوادث الهوية، قد يشمل الدليل حسابات خدمة معطلة، وجلسات أقصر، ومصادقة أقوى للمسؤولين، ومراجعات الوصول، وسير عمل إعادة تعيين مقاومة للتصيد. لحوادث الدعم، قد يشمل الدليل أدوار بائع أضيق، وحدود الاحتفاظ بالمرفقات، وتسجيل الإجراءات المميزة، وتنظيف ملفات العملاء. لحوادث الأجهزة الطرفية، قد يشمل الدليل عزل إدارة تم التحقق منه خارجيًا، وإصدارات ثابتة، ومراجعة السجل، وتدوير الأسرار، وقرارات إعادة البناء.

لا يحتاج الجمهور العام إلى كل تفاصيل حساسة، لكنه يحتاج إلى شكل الإصلاح. القول إن الأمن تم تعزيزه أضعف من قول أي فئة من الوصول تمت إزالتها، وأي فئة من السجلات تم تقليلها، وأي فئة من بيانات الاعتماد تم تدويرها، وأي فئة من الأجهزة أعيد بناؤها، وأي اختبار يتحقق من النتيجة. لغة الإصلاح المحددة تسمح للعملاء بمقارنة العلاج مع مسار الفشل.

المتانة هي الجزء الصعب. تبدو العديد من الإصلاحات قوية مباشرة بعد الحادثة ثم تتدهور. تعود قواعد جدار الحماية المؤقتة. تعود أذونات الدعم القديمة. لا تتم مراجعة التسجيل الجديد. لا يتم اختبار النسخ الاحتياطية. يتم التدريب مرة واحدة ويختفي. يجب أن يتضمن سجل المساءلة بالتالي نقطة تحقق لاحقة. الإصلاح الذي لا يستطيع البقاء في العمليات العادية هو فقط توقف في المخاطرة، وليس إغلاقًا.

المزودون المُدارون يقعون داخل سلسلة الواجب

العديد من المنظمات المتأثرة لا تدير بشكل مباشر الأنظمة التي تمت مناقشتها في الإشعارات العامة. قد يدير المزود المُدار أدوات الدعم عن بعد، وخوادم البناء، ومنصات البريد، وجدران الحماية، وحسابات قواعد البيانات، والمشرفين، وسير عمل مكتب المساعدة، أو إشعارات العملاء. يمكن لهذا المزود تقليل المخاطر بسرعة أو إبقاء العملاء عميانًا. واجب الأدلة الخاص به هو بالتالي أكثر من مجرد مجاملة خدمة.

يجب أن يكون المزود المُدار مستعدًا لإخبار العميل ما إذا كان المنتج أو الخدمة المتأثرة موجودة، وما إذا كانت مكشوفة، ومتى تم تحديثها أو عزلها، وما إذا أظهرت السجلات نشاطًا مشبوهًا، وما إذا تم تدوير بيانات الاعتماد، وما إذا تم اختبار النسخ الاحتياطية، وما هي المخاطر المتبقية. البيان المجرد بأن الأمر تم التعامل معه ليس كافيًا لعميل يجب أن يجيب على مستخدميه أو المنظمين أو شركات التأمين أو مجلس الإدارة.

يجب أن توضح العقود هذا التوقع قبل الطوارئ. يجب أن تحدد محفزات الإخطار العاجل، وتقديم الأدلة، وسلطة الصيانة الطارئة، وملكية بيانات الاعتماد، ومسؤولية النسخ الاحتياطي، ومن يدفع مقابل الاسترداد غير العادي. إذا كان العقد يعامل أدلة الأمن كخيارية، فقد يكتشف العميل أثناء حادثة أنه اشترى وقت التشغيل وليس المساءلة.

تقليل البيانات يغير نصف قطر الانفجار

أسهل سجل مكشوف للحماية هو السجل الذي لم يتم الاحتفاظ به أبدًا. لهذا السبب يهم تقليل البيانات في الحوادث التي تبدو أنها تتعلق بالاختراق التقني. أداة دعم تخزن مرفقات قديمة، وبوابة حساب تحتفظ ببيانات وصفية غير ضرورية، ومزود خدمة عملاء يمكنه عرض أدلة هوية واسعة، أو نظام شركة يجمع جهات اتصال المسؤولين - كل ذلك يزيد من قيمة الاختراق قبل وصول المهاجم.

التقليل لا يعني التظاهر بأن العمل يمكن أن يعمل بدون سجلات. تحتاج فرق الدعم إلى معلومات كافية لحل مشاكل العملاء. تحتاج فرق الأمن إلى سجلات. تحتاج الخدمات المالية إلى سجلات منظمة. تحتاج أنظمة النقل العام إلى حسابات وامتيازات واسترداد ومدفوعات. سؤال التحكم هو ما إذا كانت المنظمة يمكنها تبرير كل حقل حساس، وكل فترة احتفاظ، وكل إذن بائع، وكل مسار تصدير بعد حادثة.

السجلات الأصغر تغير الإشعار أيضًا. إذا كان المزود يمكنه القول إن مجموعة حقول ضيقة فقط تم الاحتفاظ بها والوصول إليها، يمكن للعملاء التصرف بدقة. إذا احتفظ المزود بمرفقات واسعة أو بيانات وصفية غنية، يصبح الإشعار أصعب وينمو سطح الإساءة النهائي. التقليل هو بالتالي ليس شعار خصوصية. إنه تحكم في المرونة لأنه يقلل من عدد الأشخاص والقرارات التي يتم جرها إلى الحادثة.

يجب أن تطلب إشراف مجلس الإدارة أدلة السيطرة، وليس فقط الحالة

غالبًا ما يتلقى المسؤولون التنفيذيون تحديثات الحادثة ككلمات حالة: تم الاحتواء، تم المعالجة، لا تأثير مادي، التحقيق مستمر. تلك الكلمات واسعة جدًا لحوكمة المخاطر. يجب أن يسأل الإشراف على مستوى مجلس الإدارة أي تحكم فشل أو تعرض للضغط، ومن يملكه، وما الدليل الذي يثبت الاحتواء، وأي العملاء أو المستخدمين لا يزالون يمكن أن يتأذوا، وما هي الإصلاحات دائمة، وما لا يزال غير معروف.

يجب أن يسأل مجلس الإدارة أيضًا ما إذا كانت الحادثة كشفت نمطًا. هل كانت هذه تكرارًا لتعرض أداة دعم سابقة، أو فجوة تصحيح قديمة، أو افتراض تقسيم، أو ضعف إشراف بائع، أو فشل متكرر في تدوير مواد الثقة؟ حادثة واحدة قد تكون سوء حظ. نمط تحكم متكرر هو دليل حوكمة. يظهر ما إذا كانت المنظمة تتعلم أم تستجيب فقط.

هذا لا يتطلب من المديرين أن يصبحوا مستجيبي حوادث. يتطلب منهم طلب أدلة على مستوى القرار. يحتاجون إلى أعداد التعرض، ونوافذ الإجراء، والتزامات العميل، والمحفزات القانونية، وتأثيرات استمرارية الأعمال، وأصحاب المتابعة. عندما تسأل مجالس الإدارة فقط ما إذا كانت القصة قد انتهت، تتم مكافأة الإدارة على الإغلاق الصامت. عندما تسأل مجالس الإدارة ما الدليل الذي غير بيئة التحكم، يصبح الإصلاح مرئيًا.

يجب أن تغير الحادثة أسئلة المشتريات المستقبلية

يجب على العملاء تحويل فئة الحادثة هذه إلى أسئلة مشتريات أفضل. يجب أن يسألوا البائعين كيف يتم تقييد وصول الدعم، وكيف يتم تنظيف مرفقات العملاء، وكيف يتم فصل تكنولوجيا معلومات الشركة عن خدمات الإنتاج، وكيف يتم حماية شهادات التوقيع، وكيف تخزن أنظمة البناء الأسرار، وكيف تسجل منتجات الحافة النشاط الإداري، وكيف يتم إيقاف الإصدارات القديمة، وكيف يتلقى العملاء أدلة عاجلة أثناء حدث أمني.

يجب طرح هذه الأسئلة قبل التجديد، وليس فقط بعد أزمة. قد يفضل الفريق التجاري مقارنة ميزات بسيطة، لكن الحوادث تظهر أن الضمان التشغيلي يمكن أن يكون بنفس أهمية قدرة المنتج. منصة رخيصة بامتيازات دعم واسعة، وسجلات ضعيفة، وإشعارات بطيئة، وواجبات استرداد غير واضحة يمكن أن تصبح باهظة الثمن عندما يحدث خطأ ما. مزود أكثر انضباطًا يقلل من المخاطر الخفية حتى عندما لا يفشل شيء.

يجب على المشتريات أيضًا تجنب الضمان الورقي فقط. يجب أن تتصل إجابة الاستبيان بأدلة قابلة للاختبار: ملخصات التدقيق، وإعدادات الاحتفاظ، ونماذج الأدوار، ومستويات خدمة التصحيح، وأمثلة إشعارات العملاء، وتمارين الاسترداد، والتقييمات المستقلة حيثما كانت متاحة. الهدف ليس طلب شفافية مستحيلة. إنه شراء حقوق أدلة كافية بحيث لا يكون العميل عاجزًا عندما يصبح المزود جزءًا من سطح المخاطر الخاص به.

درس المساءلة قابل لإعادة الاستخدام

الدرس القابل لإعادة الاستخدام هو أن حوادث البنية التحتية الحديثة نادرًا ما تتوقف عند النظام الذي بدأت فيه. يمكن لمزود دعم مخترق أن يصبح مشكلة هوية. يمكن لحادثة نظام شركة أن تصبح مشكلة بيانات وصفية للعميل. يمكن لخادم بناء ضعيف أن يصبح مشكلة سلسلة توريد برمجيات. يمكن لمنتج وصول عن بعد أن يصبح مشكلة ثقة شهادة. يمكن لجدار ناري أو مشرف أن يصبح مشكلة استمرارية. تتداخل الفئات لأن العملاء يعتمدون على خدمات مجمعة، وليس صناديق معزولة.

هذا التداخل هو سبب كتابة خطط الاستجابة حول أسطح السيطرة. من يملك ثقة الهوية؟ من يملك ثقة البرامج الموقعة؟ من يملك بيانات الدعم؟ من يملك إدارة الحافة؟ من يملك النسخ الاحتياطية؟ من يملك اتصال العملاء؟ من يملك أدلة البائعين؟ إذا كان هؤلاء الملاك معروفين قبل الحدث، يمكن للمنظمة الاستجابة بارتباك أقل. إذا تم اكتشافهم أثناء الحدث، تتوسع الحادثة بينما يتفاوض الناس على السلطة.

يجب أن تكون المنظمة الناضجة قادرة على قراءة أي إشعار مستقبلي في هذه الفئة ورسم خريطة فورية للمالكين والإجراءات والأدلة. هذا هو الفرق بين الوعي بالحادثة والاستعداد للحادثة. الوعي يقول إن شيئًا ما حدث. الاستعداد يقول من يجب أن يفعل ماذا، ومتى، وبأي دليل، وكيف سيعرف الأشخاص المعتمدون.

استنتاج المصلحة العامة

استنتاج المصلحة العامة هو أن حملة برامج الفدية ESXiArgs التي تستغل ثغرة VMware ESXi OpenSLP غير المصححة CVE-2021-21974، 2023 يجب أن تُذكر كاختبار سيطرة. اختبر الحدث ما إذا كانت المنظمة وعملاؤها يمكنهم التمييز بين الاحتواء التقني واستعادة الثقة. اختبر ما إذا كانت الإشعارات قابلة للتنفيذ. اختبر ما إذا كانت السجلات الحساسة أو كائنات الثقة قد تم تقليلها. اختبر ما إذا كانت الأطراف المعتمدة تلقت أدلة كافية لحماية أنفسها.

أقوى استجابة لهذه الفئة من الحوادث ليست طمأنة أعلى. إنها مسار مخاطرة أضيق، ومسار احتواء أسرع، ومسار أدلة أكثر اكتمالاً، ومسار عمل عميل أوضح. وهذا يعني بيانات غير ضرورية أقل، وامتيازات دعم واسعة أقل، وحدود إدارية أضيق، وفصل أقوى بين بيئات الأعمال والخدمة، وتسجيل أفضل، واسترداد مختبر، وإلغاء أسرع لبيانات الاعتماد أو الشهادات عندما تكون الثقة غير مؤكدة.

أظهرت VMware ESXiArgs كيف تصبح تصحيحات المشرف القديمة واجبات استمرارية لأن المنظمة جلست عند نقطة حيث كان على العديد من الآخرين الاعتماد على أدلتها. عندما يكون هذا صحيحًا، تتبع المساءلة سطح السيطرة العملي. الطرف الذي لديه أوضح رؤية وأفضل قدرة على تقليل الضرر يجب أن يفعل أكثر من مجرد القول إن الحدث انتهى. يجب أن يظهر لماذا يمكن لعلاقة الثقة أن تستمر بأمان.