Ivanti a fait des passerelles d'accès sécurisé un problème de frontière de confiance du périmètre

Résumé

• Les enregistrements d'Ivanti 2024 pour Connect Secure et Policy Secure sont importants car les appareils concernés n'étaient pas des applications métier ordinaires. Il s'agissait de passerelles d'accès à distance dont la défaillance pourrait déplacer une compromission externe directement vers les systèmes internes.
• La directive d'urgence de la CISA, les avis d'Ivanti, les enregistrements de vulnérabilités du NVD et les recherches indépendantes de Mandiant et Volexity pointent tous vers le même problème de responsabilité: l'atténuation et le correction étaient nécessaires, mais les clients avaient également besoin de preuves que les appareils n'avaient pas déjà été compromis.
• L'Integrity Checker Tool est devenu un signal important, mais pas une réponse magique. Une vérification d'intégrité peut soutenir le triage; elle ne remplace pas par elle-même l'examen des journaux, la rotation des identifiants, les décisions de reconstruction et un calendrier documenté de l'exposition.
• La responsabilité est partagée mais pas symétrique. Ivanti contrôlait les correctifs produits, la clarté des avis, le langage d'atténuation et les conseils sur les outils. Les clients contrôlaient l'inventaire des expositions, les actions d'urgence, les décisions de reconstruction et les notifications en aval. Les MSP contrôlaient souvent les travaux de réparation pratiques pour les organisations sans leur propre expertise en matière d'appareils.
• Un modèle futur plus solide traiterait les passerelles d'accès sécurisé comme des frontières de confiance de niveau incident: pré-inventoriées, surveillées en externe, rapidement isolables, reconstruites en cas de faible confiance, et rapportées à la direction avec des inconnus connus visibles plutôt qu'enterrés.

La passerelle était l'objet de risque

Les passerelles d'accès à distance occupent une position étrange dans l'architecture de sécurité. Elles existent pour réduire les risques en donnant aux utilisateurs autorisés un accès contrôlé aux systèmes internes. Elles concentrent également la confiance. Si la passerelle est compromise, un attaquant peut ne pas avoir besoin d'hameçonner chaque employé ou d'exploiter chaque application séparément. L'appareil peut devenir un point d'entrée, un point d'observation ou un point de préparation. C'est pourquoi les enregistrements Ivanti 2024 sont plus qu'une histoire de CVE.

Ladirective d'urgence 24-01 de la CISAa ordonné aux agences civiles fédérales américaines de prendre des mesures spécifiques sur les produits Ivanti Connect Secure et Ivanti Policy Secure. Son importance ne réside pas seulement dans le fait que la CISA a utilisé une directive d'urgence. C'est que la directive traitait les appareils vulnérables comme des frontières de confiance opérationnelles dont l'intégrité devait être vérifiée, et non simplement corrigée à convenance. L'alerte précédente de la CISA,Ivanti Releases Security Update for Connect Secure and Policy Secure Gateways, a montré l'urgence publique à mesure que les vulnérabilités devenaient connues.

Le dossier du fournisseur a fourni le centre spécifique au produit. L'avis d'Ivanti pourCVE-2023-46805 et CVE-2024-21887traitait du contournement d'authentification et de l'injection de commandes dans les passerelles Connect Secure et Policy Secure. Lesconseils de l'Integrity Checker Tool d'Ivantisont devenus partie intégrante de la réponse opérationnelle. Les enregistrements du NVD pourCVE-2023-46805,CVE-2024-21887,CVE-2024-21893etCVE-2024-22024fournissent les métadonnées publiques de vulnérabilité autour du groupe de préoccupations concernant les appareils de périphérie.

Le dossier de recherche indépendant a rendu le même problème visible du point de vue de la réponse aux incidents. L'équipe Mandiant de Google Cloud a publiéSuspected APT targets Ivanti zero-day vulnerabilities, et Volexity a rapportéactive exploitation of two zero-day vulnerabilities in Ivanti Connect Secure VPN. Ces rapports ne doivent pas être étendus à une preuve pour chaque client. Ils sont la preuve que des attaquants réels ont vu de la valeur dans la même position de passerelle que les défenseurs considéraient comme fiable.

C'est le point central de la responsabilité. Une passerelle d'accès à distance n'est pas seulement un logiciel. C'est une frontière entre le monde extérieur et les systèmes internes. Lorsque le dispositif frontalier est suspect, l'organisation doit répondre à une question différente de "avons-nous installé la mise à jour?" Elle doit répondre "pouvons-nous à nouveau faire confiance à cette frontière, et quelles preuves soutiennent cette confiance?"

L'atténuation d'urgence est devenue un événement de gouvernance

L'action publique la plus visible a été la directive d'urgence de la CISA. Les directives d'urgence ne sont pas des articles de blog ordinaires. Ce sont des instruments de gouvernance pour les agences civiles fédérales, et ils traduisent le risque d'exploitation technique en action opérationnelle requise. Même pour les organisations en dehors du champ formel de la directive, celle-ci constitue un benchmark de responsabilité car elle montre ce qu'une autorité nationale de cybersécurité estimait justifié par le risque.

La structure de la directive est importante. Elle ne disait pas simplement "corrigez quand disponible". Elle exigeait des mesures d'atténuation, des vérifications des appareils et une déconnexion sous certaines conditions. Cette posture reflète une différence clé entre la gestion ordinaire des vulnérabilités et la gestion des frontières compromises. Si un dispositif périphérique vulnérable peut déjà être compromis, le laisser en ligne en attendant un correctif ultérieur peut préserver l'avantage de l'attaquant. Si l'organisation ne peut pas établir l'intégrité, la déconnexion ou la reconstruction peut être la voie la plus sûre.

Ce type de décision est inconfortable car il entre en conflit avec la continuité des activités. Les produits Connect Secure et Policy Secure prennent en charge le travail à distance, l'accès des fournisseurs, l'activité administrative et l'accessibilité des applications internes. Les désactiver peut perturber les opérations. Mais le fait que l'appareil soit utile est précisément pourquoi l'exploitation est importante. Une passerelle suffisamment importante opérationnellement pour rester en ligne est également suffisamment importante pour être inspectée de manière agressive lorsqu'un dossier d'exploitation crédible apparaît.

La CISA et les agences partenaires ont ensuite publiéAA24-060B, qui a élargi la réponse de l'urgence du correctif à la chasse aux menaces et à l'atténuation. C'est la deuxième étape de responsabilité. Premièrement, identifier la frontière vulnérable. Deuxièmement, réduire l'exposition immédiate. Troisièmement, rechercher une compromission. Quatrièmement, décider si la confiance peut être restaurée ou si une reconstruction est nécessaire. Les organisations qui ont sauté les deux étapes intermédiaires peuvent avoir traité un incident frontalier comme une mise à jour logicielle ordinaire.

Le dossier de gouvernance devrait montrer qui a pris ces décisions. Qui avait le pouvoir de déconnecter la passerelle? Qui a accepté la perturbation des activités? Qui a certifié que l'Integrity Checker Tool avait été exécuté? Qui a décidé si un résultat positif ou non concluant signifiait une reconstruction? Qui a informé les dirigeants de l'incertitude résiduelle? Si l'appareil servait une agence publique, qui a évalué si les services aux citoyens, les données réglementées ou les opérations critiques étaient exposés? Ces questions ne visent pas à attribuer automatiquement des torts.

Elles identifient la voie de contrôle qui doit fonctionner sous pression.

La même logique s'applique en dehors du gouvernement. Un hôpital, une université, un fabricant ou un cabinet d'avocats peut ne pas être lié par la directive de la CISA, mais chacun dépend toujours de la passerelle comme frontière de confiance. La directive donne aux conseils d'administration et aux RSSI un vocabulaire pour l'urgence. Si une agence fédérale a dû déconnecter ou inspecter, une organisation privée devrait au moins se demander pourquoi sa propre posture de risque était matériellement différente.

Les vérifications d'intégrité ont soutenu la confiance mais ne l'ont pas créée seules

L'Integrity Checker Tool d'Ivanti est devenu un artefact central car il répondait à la question qui préoccupait le plus les clients: l'appareil a-t-il été falsifié? Un tel outil peut être précieux. Il donne aux défenseurs un moyen reproductible de tester certains changements non autorisés et de trier les appareils qui pourraient nécessiter une action plus forte. Mais la responsabilité exige un langage prudent. Un outil d'intégrité n'est pas une enquête médico-légale complète, et un résultat propre n'est pas toujours une preuve universelle d'absence de compromission.

La distinction est importante car les dispositifs périphériques exploités peuvent comporter plusieurs types de risques. Il peut y avoir des fichiers modifiés. Il peut y avoir des webshells. Il peut y avoir des identifiants ou des éléments de session exposés avant la vérification. Il peut y avoir des journaux manquants ou écrasés. Il peut y avoir des connexions sortantes ou des mouvements latéraux qui ont eu lieu avant l'inspection de l'appareil. Un outil peut aider à identifier certaines preuves. Il ne peut pas réécrire la chronologie.

C'est pourquoi le dossier client doit associer la sortie de l'outil au contexte. Quand l'outil a-t-il été exécuté? A-t-il été exécuté avant ou après l'application des atténuations? L'appareil était-il connecté à Internet pendant que l'organisation attendait? Les journaux ont-ils été conservés? Les identifiants privilégiés ont-ils été changés? L'appareil a-t-il été reconstruit à partir d'un support de confiance? Les systèmes dépendants ont-ils été vérifiés pour détecter des signes d'activité consécutive? Un résultat propre de l'outil sans ces réponses environnantes peut créer un faux sentiment de sécurité.

Le guide de traitement des incidents informatiques du NIST est pertinent ici car il traite la réponse aux incidents comme la préparation, la détection, l'analyse, le confinement, l'éradication, la récupération et les leçons apprises. Le cas Ivanti rappelle que la logique de traitement des incidents s'applique même lorsque le déclencheur commence comme un avis de produit. Une fois que l'exploitation est active, l'organisation ne se contente plus de corriger. Elle analyse si une frontière a été franchie.

Les conseils du NCSC du Royaume-Uni sur l'atténuation des attaques de logiciels malveillants et de rançongiciels sont également utiles comme contexte de contrôle général car ils mettent l'accent sur la préparation, les sauvegardes, la récupération et le confinement. Une passerelle compromise peut ne pas être elle-même un rançongiciel, mais la passerelle peut faire partie de la voie d'accès qui permet ensuite le rançongiciel, l'espionnage, le vol d'identifiants ou l'exfiltration de données. La réflexion sur la récupération doit commencer alors que la réponse à la vulnérabilité est encore en cours.

Les organisations les plus fortes ont probablement traité l'Integrity Checker Tool comme un point de données à l'intérieur d'un arbre de décision. Si l'outil indiquait une compromission, elles escaladaient. Si le résultat était non concluant, elles reconstruisaient ou isolaient. Si le résultat était propre mais l'exposition longue, elles examinaient toujours les journaux et changeaient les identifiants. Si les journaux étaient insuffisants, elles enregistraient cela comme une incertitude résiduelle. C'est à cela que ressemble une réparation fondée sur des preuves.

Les devoirs du fournisseur s'étendaient au-delà du premier avis

Ivanti contrôlait le produit, les avis, les atténuations, les correctifs et les conseils d'intégrité. Cela ne rend pas Ivanti responsable de chaque décision de déploiement du client. Cela signifie que l'entreprise contrôlait plusieurs faits à fort levier que les clients ne pouvaient pas produire eux-mêmes. Quelles versions étaient affectées? Quelles atténuations étaient valides? Qu'est-ce que l'Integrity Checker Tool vérifiait réellement? Quand les correctifs étaient-ils disponibles? Que devrait faire un client lorsque l'outil signale une compromission ou ne peut pas établir l'intégrité?

Le niveau de responsabilité d'un fournisseur d'accès sécurisé doit être supérieur à la publication générique d'avis. Un fournisseur de passerelle doit supposer que les clients seront confrontés à une pression technique et exécutive simultanée. L'avis doit expliquer la voie de préjudice en langage clair: l'appareil se trouve à la frontière, l'exploitation peut contourner l'authentification ou exécuter des commandes, et les décisions de remédiation peuvent devoir inclure la déconnexion ou la reconstruction. Le client doit savoir non seulement quoi installer, mais quand la confiance dans l'appareil doit être considérée comme rompue.

Les enregistrements CVE ultérieurs sont pertinents car ils montrent comment une seule urgence peut devenir une séquence. Une fois que les clients traitent déjà avec CVE-2023-46805 et CVE-2024-21887, l'apparition de vulnérabilités supplémentaires comme CVE-2024-21893 et CVE-2024-22024 change la planification. Un récit de correctif unique devient inadéquat. Les clients ont besoin d'un programme d'exposition et d'intégrité soutenu pour la classe d'appareils. La cadence de mise à jour, la clarté et le support de détection du fournisseur déterminent si ce programme est pratique.

Les travaux Secure by Design de la CISA encadrent l'attente plus large. Les fournisseurs de technologie ne devraient pas supposer que les clients peuvent compenser indéfiniment la fragilité du produit. Pour les produits périphériques, la conception sécurisée comprend la réduction de l'exposition inutile, le durcissement des voies administratives, la facilité d'utilisation des journaux, la production d'avis lisibles par machine, le support de mises à niveau sûres et l'aide aux clients pour reconstruire la confiance après une exploitation. C'est un devoir de produit, pas une faveur.

En même temps, les clients ne peuvent pas externaliser toute la responsabilité à Ivanti. Un avis parfait ne corrige pas un appareil. Un outil d'intégrité solide ne s'exécute pas tout seul. Une directive d'urgence claire ne maintient pas l'inventaire local des actifs. Le fournisseur crée la voie de réparation; le client doit la parcourir et préserver les preuves. Le blâme devient utile seulement lorsqu'il correspond au contrôle.

Les MSP étaient la couche de contrôle silencieuse

De nombreuses organisations n'exploitent pas directement les appareils d'accès sécurisé. Elles comptent sur les MSP, les intégrateurs de sécurité, les fournisseurs informatiques régionaux ou les équipes réseau externalisées. Cela rend les enregistrements Ivanti particulièrement importants pour les petites organisations et les organismes publics. La partie qui subit le préjudice juridique et opérationnel peut ne pas être celle qui détient le mot de passe administrateur.

Un appareil contrôlé par un MSP modifie la chaîne de preuve. Le client doit savoir si l'appareil a été affecté, s'il a été exposé, si l'atténuation a été appliquée, si l'Integrity Checker Tool a été exécuté, si des artefacts suspects ont été trouvés, et si une reconstruction ou une rotation des identifiants a été recommandée. Si le MSP dit simplement "traité", le client peut n'avoir aucune base défendable pour sa propre décision de risque.

Le contrat client devrait donc définir les preuves de sécurité d'urgence avant l'urgence. Il devrait dire qui reçoit les avis du fournisseur, qui approuve la déconnexion, qui paie pour la réponse en dehors des heures ouvrables, quelles preuves sont fournies, à quelle vitesse les journaux sont conservés, et quand le client est informé qu'une compromission ne peut être exclue. Ces clauses peuvent sembler ennuyeuses. Lors d'une urgence de type Ivanti, elles décident si le client voit la vérité à temps.

Les MSP ont également besoin de discipline interne. S'ils gèrent des dizaines ou des centaines de passerelles, une directive d'urgence peut créer une file d'attente. Quels clients sont prioritaires? Quels appareils sont accessibles depuis Internet? Lesquels desservent des infrastructures critiques ou des services publics? Lesquels ont une journalisation faible? Lesquels ne peuvent pas être corrigés sans temps d'arrêt? La priorisation du MSP devient une partie du risque du client. Un MSP mature devrait être capable d'expliquer cette priorisation et de fournir des preuves pour chaque client, pas seulement de rapporter les progrès globaux.

C'est là que la continuité des PME entre en scène. Une petite organisation peut dépendre d'une seule passerelle pour l'accès à distance, d'un seul MSP pour la sécurité et d'un seul dirigeant pour approuver le temps d'arrêt. Si la passerelle est déconnectée, l'entreprise souffre. Si elle reste exposée, l'entreprise peut être compromise. Le rôle du MSP est de transformer ce dilemme en une décision fondée sur des preuves assez rapidement pour que le client ne choisisse pas à l'aveugle.

La continuité du secteur public a rendu la directive plus qu'un exercice de paperasse fédéral

La dimension du secteur public est importante car les appareils d'accès à distance se trouvent souvent derrière des services que les gens ne peuvent pas choisir d'éviter. Les agences gouvernementales, les écoles, les hôpitaux, les tribunaux et les services publics peuvent utiliser des passerelles pour soutenir le personnel, les entrepreneurs et la maintenance. Lorsque ces passerelles sont suspectes, la planification de la continuité doit inclure à la fois la restauration technologique et les conséquences pour le service public.

La directive d'urgence de la CISA concerne formellement les agences civiles fédérales, mais sa logique se propage. Une agence d'État ou un hôpital qui s'appuie sur une infrastructure de passerelle similaire doit décider s'il peut maintenir le service tout en inspectant ou en déconnectant un dispositif frontalier. Si l'accès à distance est supprimé, les employés peuvent-ils toujours traiter les demandes, soigner les patients, coordonner la logistique ou répondre aux urgences? Si l'accès reste, quelles preuves soutiennent la décision que la passerelle est suffisamment fiable?

Ce double risque est souvent sous-rapporté. Les écrits sur la cybersécurité peuvent se concentrer sur la vulnérabilité et ignorer la continuité du service. Les écrits sur les opérations peuvent se concentrer sur le temps d'arrêt et ignorer l'exploitation. Les enregistrements Ivanti forcent les deux dans le même cadre. Une passerelle d'accès sécurisé est utile car elle permet au travail de continuer. Elle est dangereuse lorsqu'elle est compromise car elle peut également permettre à l'accès de l'attaquant de continuer. La décision responsable équilibre les deux réalités avec des preuves.

Pour les organismes publics, les inconnues résiduelles doivent être documentées avec un soin inhabituel. Si une passerelle protégeait des données, des systèmes ou des canaux de service connectés aux citoyens, l'institution devrait savoir si une compromission a été trouvée, si elle a été exclue ou si les preuves étaient insuffisantes. "Aucune preuve de compromission" ne devrait pas être utilisé lorsque personne n'avait les journaux ou n'a effectué les vérifications. La meilleure formulation est moins confortable mais plus honnête: "nous n'avons trouvé aucun indicateur dans les sources disponibles, mais des limitations de preuve subsistent."

Ce langage est important car la confiance du public est endommagée par une certitude fausse. Les agences et les organisations réglementées n'ont pas besoin de publier chaque artefact technique. Elles doivent éviter de minimiser l'incertitude qui affecte les personnes extérieures à l'organisation. Un incident de passerelle peut toucher des données personnelles, l'accès aux services, les systèmes d'approvisionnement, les comptes des employés ou les réseaux partenaires. Les personnes qui portent ce risque méritent un dossier de décision qui reconnaît ce qui est connu et ce qui ne l'est pas.

Le contrôle futur est la préparation à la reconstruction

Une leçon de l'épisode Ivanti est que certains dispositifs périphériques devraient être reconstruits plutôt que simplement nettoyés lorsque la confiance est faible. La préparation à la reconstruction est un contrôle. Cela signifie que l'organisation peut redéployer une passerelle à partir d'un support de confiance, restaurer la configuration en toute sécurité, changer les secrets, valider l'accès et préserver les preuves sans transformer une urgence cybernétique en semaines d'improvisation.

Si la reconstruction est impossible parce que personne ne connaît la configuration ou qu'aucune sauvegarde n'existe, la passerelle est devenue un point unique de fragilité institutionnelle.

Les lignes de base de configuration sécurisée de la CISA sont pertinentes non pas parce qu'elles dictent un plan de reconstruction spécifique à Ivanti, mais parce qu'elles expriment l'idée que la configuration sécurisée doit être reproductible. Une configuration de passerelle qui ne peut pas être recréée est un passif. Une configuration qui peut être reconstruite, examinée et comparée donne aux défenseurs une voie plus claire lorsque l'intégrité est incertaine.

La préparation à la reconstruction change également les attentes envers les fournisseurs. Les fournisseurs devraient prendre en charge des configurations exportables, révisables et restaurables sans encourager les clients à conserver un état compromis. Ils devraient documenter les secrets qui doivent être changés après une compromission suspectée. Ils devraient rendre les journaux et les artefacts d'intégrité disponibles avant que les clients n'effacent l'appareil. Ils devraient avertir lorsqu'un correctif ne traite pas une persistance possible. Ce ne sont pas des cas marginaux.

Ce sont des résultats probables lorsqu'un produit frontalier exposé est ciblé par des attaquants capables.

Les clients peuvent tester la préparation à la reconstruction par le biais d'exercices. Prenez une passerelle hors production ou un modèle de laboratoire. Simulez un avis critique de type Ivanti. L'équipe peut-elle trouver l'appareil? Peut-elle appliquer une atténuation? Peut-elle exécuter une vérification d'intégrité? Peut-elle conserver les journaux? Peut-elle reconstruire à partir d'un support de confiance? Peut-elle restaurer l'accès sans copier des artefacts suspects? Peut-elle informer la direction? L'exercice révélera si l'organisation dispose d'une passerelle de sécurité ou d'une boîte mystère fragile.

C'est également là que les achats devraient changer. Les acheteurs devraient demander aux fournisseurs comment ils soutiennent la reconstruction de niveau incident. Ils devraient demander aux MSP comment les preuves seront fournies. Ils devraient demander si le produit produit des journaux d'audit utiles, si l'état de version est vérifiable en externe, si les avis d'urgence sont lisibles par machine et si le remplacement d'un appareil compromis est opérationnellement faisable. Ces questions semblent moins excitantes que les fonctionnalités du produit. Lors d'un incident de type Ivanti, elles deviennent le produit.

La priorisation a dû devenir locale, pas seulement globale

Les signaux de priorisation globaux étaient nécessaires dans le cas Ivanti, mais ils n'étaient pas suffisants. Le catalogue des vulnérabilités exploitées connues (KEV) de la CISA est utile car il convertit les preuves d'exploitation en urgence de remédiation. Il aide les agences et les entreprises à éviter de traiter chaque vulnérabilité comme égale. Mais le signal KEV doit encore rencontrer les faits locaux. Une vulnérabilité listée sur un appareil public, non corrigé et mal journalisé n'est pas le même problème opérationnel qu'un même CVE sur un appareil isolé, atténué et entièrement reconstruit.

Inversement, une organisation ne peut pas diminuer le risque simplement parce que l'appareil est difficile à corriger.

La priorisation locale devrait commencer par l'exposition. Quelles passerelles Ivanti sont accessibles depuis Internet? Lesquelles soutiennent des utilisateurs administratifs privilégiés? Lesquelles connectent des fournisseurs ou des entrepreneurs dans des environnements sensibles? Lesquelles desservent des opérations de service public? Lesquelles ont déjà produit des résultats suspects de vérification d'intégrité? C'est là que la responsabilité devient opérationnelle. Une équipe de sécurité qui ne peut pas répondre à ces questions peut encore citer l'avis, mais elle ne peut pas gouverner la réponse.

Le facteur suivant est la qualité des preuves. Une passerelle avec des journaux solides, une propriété claire, une atténuation rapide et une reconstruction propre a un risque résiduel différent d'une passerelle sans journaux conservés et avec un correctif tardif. Les deux peuvent éventuellement signaler "remédié". Une seule peut soutenir cette affirmation avec suffisamment de preuves pour satisfaire un conseil d'administration, un régulateur, un assureur ou un client affecté.

La discussion publique sur Ivanti a parfois réduit le problème à l'état du correctif, mais la discussion interne plus forte aurait dû classer les appareils par exposition plus faiblesse des preuves.

Le troisième facteur est la dépendance. Une passerelle qui soutient un petit laboratoire non critique peut être plus facile à déconnecter qu'une passerelle qui soutient les administrateurs d'hôpital, le personnel fédéral ou les ingénieurs de production. Mais la dépendance ne devrait pas automatiquement diminuer l'urgence. Elle devrait élever le niveau de gouvernance. Si un appareil est trop important pour être déconnecté à la légère, il est suffisamment important pour être inspecté en profondeur et pour avoir un plan d'urgence pré-approuvé. La criticité n'est pas une excuse pour le retard; c'est une raison pour rendre la décision visible.

La priorisation a également dû tenir compte du comportement des adversaires. Mandiant et Volexity n'ont pas décrit une classe de vulnérabilité abstraite. Ils ont décrit des modèles d'exploitation actifs. Lorsque l'exploitation est active, les défenseurs doivent supposer que les attaquants lisent les avis des fournisseurs, suivent les fenêtres d'atténuation et recherchent les organisations qui sont lentes ou incertaines. Cela comprime le temps de décision. L'organisation qui passe des jours à concilier des feuilles de calcul d'appareils donne aux attaquants l'avantage que le bon inventaire était censé supprimer.

C'est pourquoi la directive publique et le dossier de recherche devraient modifier la budgétisation future. L'inventaire des périphériques, la surveillance externe de la surface d'attaque, la conservation des journaux et l'automatisation de la reconstruction peuvent sembler des fonctions de support jusqu'au jour où un produit de passerelle est exploité. Ensuite, ils deviennent la différence entre une décision rapide fondée sur des preuves et une longue dispute sur ce que l'entreprise possède même. Le coût de ces contrôles devrait être comparé au coût de l'incapacité à répondre à la première question en cas d'urgence: où sont les passerelles?

Les obligations de notification ont commencé avant que chaque fait ne soit certain

Une autre question difficile est de savoir quand les clients, utilisateurs, partenaires ou parties prenantes publiques doivent être informés qu'un risque de passerelle existe. Tous les appareils Ivanti vulnérables n'ont pas déclenché une obligation de notification publique. Toutes les organisations n'avaient pas de compromission confirmée. Mais une passerelle d'accès sécurisé est suffisamment proche des systèmes sensibles pour que certaines voies de notification devraient commencer avant que chaque conclusion médico-légale ne soit finale.

Les parties concernées peuvent inclure les dirigeants, les propriétaires de systèmes, les équipes d'identité, les prestataires de réponse aux incidents, les assureurs cyber, les régulateurs, les clients dont l'accès traverse la passerelle et les fournisseurs qui utilisent la voie d'accès.

La première notification est interne et opérationnelle. Si la passerelle est potentiellement compromise, les administrateurs d'identité doivent le savoir car les identifiants, les sessions et les politiques d'accès peuvent nécessiter un examen. Les équipes réseau doivent le savoir car la segmentation et le trafic sortant peuvent nécessiter une inspection. Les équipes juridiques doivent le savoir car l'accès aux données ne peut être exclu jusqu'à ce que les preuves soient examinées. Les équipes de communication doivent préparer un langage qui ne surestime pas la certitude.

Les propriétaires d'entreprise doivent savoir si la déconnexion affectera le service.

La deuxième notification est destinée aux fournisseurs. Si un MSP gère la passerelle, le client a besoin d'un plan d'action écrit. Si un fournisseur utilise la passerelle, le fournisseur peut avoir besoin de suspendre l'accès ou de vérifier ses propres comptes. Si la passerelle se connecte à un fournisseur cloud ou d'identité, les journaux de ces systèmes peuvent faire partie de l'évaluation de la compromission. Attendre que l'équipe de l'appareil termine son travail peut permettre aux preuves pertinentes dans les systèmes adjacents d'expirer.

La troisième notification peut être externe. Une agence publique, un fournisseur de soins de santé ou une entreprise réglementée peut ne pas savoir immédiatement si des données personnelles ont été accédées. Mais elle peut toujours préserver la voie de notification en documentant quand la vulnérabilité a été découverte, quels systèmes étaient connectés, quels journaux sont en cours d'examen et quelles preuves manquent encore. Si une analyse ultérieure montre un accès aux données, l'organisation aura une chronologie plus propre. Si l'analyse ultérieure ne trouve aucun indicateur, l'organisation peut expliquer la portée de son examen.

Cette discipline empêche deux mauvais résultats. Le premier est une réassurance prématurée. Une entreprise ne devrait pas dire qu'il n'y a pas de compromission quand elle veut seulement dire qu'elle n'a pas cherché assez loin. Le second est une alarme vague. Une entreprise ne devrait pas impliquer un vol de données simplement parce qu'un appareil était vulnérable. La position responsable se situe entre ces erreurs: faits connus, actions prises, preuves en cours d'examen et incertitude qui subsiste.

Les enregistrements Ivanti sont un exemple public utile car ils ont forcé les organisations à faire ces distinctions en temps réel. Certaines pouvaient dire qu'elles n'étaient pas exposées. Certaines pouvaient dire qu'elles avaient atténué et effectué des vérifications d'intégrité. Certaines ont dû déconnecter. Certaines ont peut-être dû reconstruire. Certaines n'ont probablement pas pu établir suffisamment de preuves dans un sens ou dans l'autre. Cette variation ne devrait pas être aplanie. C'est exactement ce qu'un registre des risques sérieux devrait préserver.

La bonne métrique est le temps jusqu'à la frontière de confiance

La mesure de performance la plus utile après un événement de type Ivanti n'est pas le temps jusqu'à la première réunion ou le temps jusqu'au téléchargement du correctif. C'est le temps jusqu'à la frontière de confiance. Cette métrique commence lorsque des informations crédibles sur l'exploitation ou la vulnérabilité d'urgence deviennent disponibles. Elle se termine lorsque l'organisation peut soutenir une affirmation que la passerelle n'est pas affectée, est atténuée en toute sécurité, est reconstruite à partir d'un état de confiance ou est retirée du service. La métrique inclut les preuves, pas seulement l'activité.

Le temps jusqu'à la frontière de confiance comporte plusieurs sous-horloges. Temps jusqu'à l'inventaire: à quelle vitesse l'organisation a-t-elle identifié toutes les passerelles Ivanti? Temps jusqu'à la décision d'exposition: à quelle vitesse a-t-elle su lesquelles étaient accessibles depuis Internet ou à haut risque? Temps jusqu'à l'atténuation: à quelle vitesse les atténuations, la déconnexion ou les restrictions d'accès du fournisseur ont-elles été appliquées? Temps jusqu'à l'évaluation de l'intégrité: à quelle vitesse les vérifications et les journaux ont-ils été examinés?

Temps jusqu'à la décision de reconstruction: à quelle vitesse l'organisation a-t-elle décidé si le correctif suffisait? Temps jusqu'à la communication avec les parties prenantes: à quelle vitesse les décideurs et les parties dépendantes ont-ils reçu des informations précises?

Chaque sous-horloge a un propriétaire différent. La gestion des actifs peut posséder l'inventaire. La sécurité réseau peut posséder l'exposition. L'infrastructure peut posséder l'atténuation. La réponse aux incidents peut posséder l'évaluation de l'intégrité. La continuité des activités peut posséder l'impact sur le service. Les services juridiques et de communication peuvent posséder les mises à jour des parties prenantes. La leçon est que les incidents de passerelle ne peuvent pas être laissés à un seul administrateur d'appareil. L'appareil se trouve à travers trop de surfaces de contrôle.

Cette métrique rend également le support du fournisseur mesurable. Un fournisseur peut raccourcir le temps jusqu'à la frontière de confiance en publiant des données claires sur les versions affectées, des correctifs stables, des outils d'intégrité fiables, des indicateurs actionnables, des conseils de reconstruction et des explications de risque en langage clair. Un fournisseur peut l'allonger en publiant des conseils fragmentés, en modifiant les instructions sans clarté, ou en laissant les clients déduire si une vérification propre suffit. Le client fait l'expérience de cette qualité de support comme du temps.

Pour les MSP, le temps jusqu'à la frontière de confiance devrait devenir une attente de niveau de service. Le contrat devrait dire à quelle vitesse le MSP identifiera les appareils clients affectés, appliquera les atténuations, effectuera des vérifications, fournira des preuves écrites et escaladera une compromission suspectée. Si le MSP ne peut pas respecter cette norme, le client devrait le savoir avant une urgence. Un modèle de service qui ne peut pas produire de preuves sous pression ne gère pas vraiment la frontière.

La métrique est exigeante, mais elle est juste. Elle n'exige pas une sécurité parfaite ou une certitude instantanée. Elle exige une voie visible de la vulnérabilité publique à la confiance restaurée. Les enregistrements Ivanti 2024 montrent que lorsque l'objet de risque est une passerelle d'accès sécurisé, la confiance restaurée est le livrable réel.

Le paquet d'audit devrait être petit mais difficile à falsifier

Le meilleur paquet de preuves après une urgence de passerelle Ivanti n'a pas besoin d'être un rapport médico-légal de mille pages. Il doit être petit, structuré et difficile à falsifier. Un paquet utile listerait chaque appareil, propriétaire, exposition publique, version affectée, temps d'atténuation, temps de correctif, résultat de vérification d'intégrité, statut de reconstruction, décision de rotation des identifiants, sources de journaux examinées, systèmes en aval vérifiés et inconnues restantes. Il nommerait également la personne ou le fournisseur qui a effectué chaque action. Ce document est ennuyeux par conception.

Sa valeur est qu'il convertit une urgence chaotique en un enregistrement qui peut être examiné plus tard.

Le paquet devrait conserver soigneusement les résultats négatifs. "Aucun webshell trouvé dans les chemins examinés" est meilleur que "aucune compromission". "Aucun événement d'authentification suspect trouvé dans les journaux conservés à partir du 10 janvier" est meilleur que "aucune preuve". La déclaration plus précise indique à la direction ce qui a été réellement vérifié et où se situe la frontière de la connaissance. La précision protège les lecteurs à la fois de la panique et de l'excès de confiance.

Il devrait également conserver les chemins abandonnés. Si un appareil n'a pas pu être vérifié parce qu'il était hors ligne, parce que le MSP manquait d'identifiants, parce que les journaux ont été écrasés ou parce que l'outil a échoué, ce fait appartient au paquet. De nombreux enregistrements post-incident effacent les vérifications échouées et ne montrent que les actions réussies. Cela rend l'organisation plus ordonnée et moins sûre. La vérification échouée est souvent le début de la vraie leçon: propriété manquante, journalisation faible, mauvais accès du fournisseur, ou un appareil que personne ne savait reconstruire.

Enfin, le paquet devrait relier les actions techniques aux décisions commerciales. Si l'accès à distance a été déconnecté, quels services ont été affectés et comment des alternatives ont-elles été fournies? Si l'appareil a été maintenu en ligne sous atténuation, qui a approuvé le risque résiduel? Si la reconstruction a été différée, pourquoi? Si une notification externe n'a pas été faite, quels faits ont soutenu cette décision et quels faits étaient encore en cours d'examen? Une passerelle est à la fois un objet technique et une dépendance commerciale. L'enregistrement d'audit devrait montrer les deux moitiés.

Ce type de paquet n'éliminerait pas les futurs incidents de type Ivanti. Il les rendrait moins flous. L'organisation pourrait apprendre si elle a été lente parce que les conseils du fournisseur étaient peu clairs, parce que l'inventaire était manquant, parce que la réponse du MSP était retardée, parce que la direction évitait les temps d'arrêt, ou parce que les répondants manquaient de données médico-légales. Chaque diagnostic pointe vers une réparation différente. Sans le paquet, toutes ces causes s'effondrent dans une phrase vague après action: corrigez plus vite la prochaine fois. Cette phrase est vraie et encore trop mince.

Les preuves sont ce qui transforme l'urgence en apprentissage institutionnel, et l'apprentissage est ce qui rendra la prochaine défaillance de frontière plus courte. La prochaine révision devrait demander ces preuves en premier, avant d'accepter un tableau de bord vert.

La vérification de l'intégrité devrait devenir une habitude client

Les enregistrements Ivanti montrent également pourquoi la vérification de l'intégrité ne devrait pas être traitée comme une corvée d'urgence ponctuelle. Les appareils d'accès sécurisé se trouvent à une frontière privilégiée entre les utilisateurs externes et les ressources internes. Les clients devraient savoir comment exécuter les outils d'intégrité du fournisseur, conserver les résultats, escalader les anomalies et répéter les vérifications après l'atténuation ou la reconstruction. Une passerelle qui transmet du trafic mais ne peut pas prouver son intégrité reste un problème de confiance.

L'habitude devrait être répétée avant le prochain avis, pas découverte pendant celui-ci.

Inconnues résiduelles et la question de responsabilité

Le dossier public ne peut pas répondre à chaque question spécifique au client. Il ne montre pas quels réseaux privés ont été compromis, quels appareils ont été reconstruits, quels MSP ont retardé, quels journaux manquaient, ou quels systèmes en aval ont été touchés après l'exploitation de la passerelle. Il montre que la catégorie de produit comportait suffisamment de risque pour des directives d'urgence, des recherches sur les menaces, des mises à jour de fournisseurs, des outils d'intégrité et des avis publics répétés.

La question de responsabilité est donc pratique. Ivanti a-t-il donné aux clients les informations et les outils nécessaires pour identifier, atténuer, corriger, inspecter et restaurer la confiance? Les clients avaient-ils l'inventaire, l'autorité et la discipline pour agir sur ces informations? Les MSP ont-ils fourni des preuves aux clients dont ils contrôlaient les passerelles? La direction a-t-elle vu l'incertitude résiduelle, ou seulement un pourcentage de correctifs rassurant? Les organismes publics ont-ils traité l'intégrité des passerelles comme faisant partie de la continuité des services?

Lorsque la réponse est oui, une passerelle d'accès sécurisé peut retrouver son rôle de frontière de confiance. Lorsque la réponse est non, la passerelle reste un point d'interrogation à l'endroit précis où le réseau a le plus besoin de certitude. Les enregistrements Ivanti 2024 devraient être rappelés pour cette leçon. L'étiquette du produit disait accès sécurisé. L'incident demandait si l'accès, une fois exposé, pouvait être rendu à nouveau digne de confiance avec des preuves suffisamment solides pour les personnes dépendant de l'autre côté de la passerelle.