Ivanti がセキュアアクセスゲートウェイを境界信頼問題とした

サマリー

• Ivanti の 2024 年の Connect Secure および Policy Secure に関する記録が重要なのは、影響を受けたアプライアンスが通常のビジネスアプリケーションではなかったためである。それらはリモートアクセスゲートウェイであり、その障害は外部からの侵害を内部システムに直接もたらす可能性があった。
• CISA の緊急指令、Ivanti のアドバイザリ、NVD の脆弱性記録、および Mandiant と Volexity による独立した調査はすべて、同じ説明責任の問題を指し示している: 緩和策とパッチ適用は必要だったが、顧客はアプライアンスがすでに侵害されているかどうかについての証拠も必要としていた。
• Integrity Checker Tool は重要なシグナルとなったが、魔法の答えではなかった。整合性チェックはトリアージを支援できるが、それ自体がログレビュー、資格情報のローテーション、再構築の判断、および文書化された露出のタイムラインに代わるものではない。
• 責任は共有されているが、対称的ではない。Ivanti は製品修正、アドバイザリの明確さ、緩和策の表現、およびツールガイダンスを管理した。顧客は露出インベントリ、緊急対応、再構築の判断、および下流への通知を管理した。MSP は多くの場合、独自のアプライアンス専門知識を持たない組織に対して実際の修復作業を管理した。
• より強力な将来モデルは、セキュアアクセスゲートウェイをインシデントグレードの信頼境界として扱うだろう: 事前にインベントリ化され、外部から監視され、迅速に隔離可能で、信頼が弱い場合には再構築され、既知の未知が隠されるのではなく可視化された状態でリーダーシップに報告される。

ゲートウェイはリスク対象だった

リモートアクセスゲートウェイは、セキュリティアーキテクチャの中で奇妙な位置にある。これらは、許可されたユーザーに内部システムへの制御されたアクセスを提供することでリスクを低減するために存在する。また、信頼を集中させる。ゲートウェイが侵害されると、攻撃者はすべての従業員をフィッシングしたり、すべてのアプリケーションを個別に悪用したりする必要がないかもしれない。アプライアンスはエントリポイント、観測地点、またはステージング地点になり得る。そのため、2024 年の Ivanti の記録は単なる CVE の話ではない。

CISA の緊急指令 24-01は、米国連邦民事機関に Ivanti Connect Secure および Ivanti Policy Secure 製品に対する特定の措置を命じた。その重要性は、CISA が緊急指令を使用したことだけではない。指令は、脆弱なアプライアンスを、単に都合の良いときにパッチを当てるだけでなく、その整合性を検証しなければならない運用上の信頼境界として扱ったことにある。CISA の以前の警告、Ivanti が Connect Secure および Policy Secure ゲートウェイのセキュリティアップデートをリリースは、脆弱性が知られるようになるにつれて公共の緊急性を示していた。

ベンダーの記録は、製品固有の中心点を提供した。Ivanti のCVE-2023-46805 および CVE-2024-21887 に関するアドバイザリは、Connect Secure および Policy Secure ゲートウェイにおける認証バイパスとコマンドインジェクションに対処した。Ivanti のIntegrity Checker Tool ガイダンスは、運用対応の一部となった。CVE-2023-46805、CVE-2024-21887、CVE-2024-21893、CVE-2024-22024に関する NVD の記録は、エッジアプライアンスに関する懸念のクラスターに関する公開脆弱性メタデータを提供する。

独立した調査記録は、インシデント対応から同じ問題を可視化した。Google Cloud の Mandiant チームはAPT が Ivanti のゼロデイ脆弱性を標的にした可能性を公開し、Volexity はIvanti Connect Secure VPN における 2 つのゼロデイ脆弱性の活発な悪用を報告した。これらの報告は、すべての顧客に関する証明にまで拡張されるべきではない。それらは、実際の攻撃者が防御側が信頼していた同じゲートウェイの位置に価値を見出したという証拠である。

これが核心的な説明責任のポイントである。リモートアクセスゲートウェイは単なるソフトウェアではない。外部の世界と内部のシステムの間の境界である。境界デバイスが疑わしい場合、組織は「アップデートをインストールしましたか？」とは異なる質問に答えなければならない。「この境界を再び信頼できるか、そしてその信頼を裏付ける証拠は何か？」

緊急緩和策はガバナンスイベントとなった

最も見える公的行動は CISA の緊急指令であった。緊急指令は日常的なブログ投稿ではない。それらは連邦民事機関向けのガバナンス手段であり、技術的な悪用リスクを必要な運用措置に変換する。指令の正式な範囲外にある組織にとっても、この指令は説明責任のベンチマークとなる。なぜなら、国家のサイバー当局がリスクに値すると考えたものを示しているからである。

指令の構造が重要である。単に「利用可能になったらパッチを当てる」と言ったわけではない。緩和策、アプライアンスチェック、および特定の条件下での切断を要求した。その姿勢は、通常の脆弱性管理と侵害された境界管理の間の重要な違いを反映している。脆弱なエッジデバイスがすでに侵害されている可能性がある場合、後のパッチを待ちながらオンラインにしておくことは、攻撃者の有利な立場を維持することになりかねない。組織が整合性を確立できない場合、切断または再構築がより安全な経路となる可能性がある。

そのような決定は、ビジネス継続性と衝突するため、不快である。Connect Secure および Policy Secure 製品は、リモートワーク、ベンダーアクセス、管理活動、および内部アプリケーションの到達可能性をサポートする。それらをオフにすると運用が中断される可能性がある。しかし、デバイスが有用であるという事実こそが、悪用が重要である理由である。運用上重要であるためにオンラインにしておくことが必要なゲートウェイは、信頼できる悪用記録が現れた場合に積極的に検査することも重要である。

CISA とパートナー機関は後にAA24-060Bを発行し、対応をパッチの緊急性から脅威ハンティングと緩和策へと拡大した。これは 2 番目の説明責任ステップである。まず、脆弱な境界を特定する。次に、即時露出を減らす。第三に、侵害を探す。第四に、信頼を回復できるか、再構築が必要かを決定する。中間の 2 つのステップを省略した組織は、境界インシデントを通常のソフトウェアアップデートとして扱ったかもしれない。

ガバナンス記録は、誰がそれらの決定を下したかを示すべきである。誰がゲートウェイを切断する権限を持っていたか？誰がビジネスの中断を受け入れたか？誰が Integrity Checker Tool が実行されたことを認定したか？誰が陽性または決定的でない結果が再構築を意味するかどうかを決定したか？誰が残留不確実性について経営陣に説明したか？アプライアンスが公的機関のために機能していた場合、市民サービス、規制データ、または重要な運用が露出していたかどうかを評価したのは誰か？これらの質問は、反射的に非難することを意図しているわけではない。それらは、圧力下で機能しなければならない制御経路を特定する。

同じ論理は政府以外にも適用される。病院、大学、製造業者、法律事務所は CISA の指令に拘束されないかもしれないが、それぞれ依然としてゲートウェイを信頼境界として依存している。指令は取締役会や CISO に緊急性のための語彙を提供する。連邦機関が切断または検査しなければならなかった場合、民間組織は少なくとも自社のリスク態勢がなぜ実質的に異なるのかを問うべきである。

整合性チェックは信頼を支援したが、単独では信頼を生み出さなかった

Ivanti の Integrity Checker Tool は、顧客が最も気にかけていた質問に答えたため、中心的なアーティファクトとなった: アプライアンスは改ざんされたか？そのようなツールは価値がある。防御側に特定の不正変更をテストし、より強力な措置が必要なデバイスをトリアージするための再現可能な方法を提供する。しかし、説明責任には慎重な表現が必要である。整合性ツールは完全なフォレンジック調査ではなく、クリーンな結果は常に侵害がないことの普遍的な証明ではない。

その区別が重要なのは、悪用されたエッジデバイスが数種類のリスクを運ぶ可能性があるからである。変更されたファイルがあるかもしれない。ウェブシェルがあるかもしれない。チェック前に露出した資格情報やセッション資料があるかもしれない。欠落または上書きされたログがあるかもしれない。アプライアンスが検査される前に発生した外部接続や横方向の移動があるかもしれない。ツールは一部の証拠を特定するのに役立つ。タイムラインを書き換えることはできない。

そのため、顧客記録はツールの出力をコンテキストと組み合わせるべきである。ツールはいつ実行されたか？緩和策を適用する前か後か？組織が待っている間、アプライアンスはインターネットに接続されていたか？ログは保存されたか？特権資格情報はローテーションされたか？デバイスは信頼できるメディアから再構築されたか？依存システムはフォローオンアクティビティの兆候についてチェックされたか？これらの周辺的な回答なしのクリーンなツール結果は、誤った安心感を生み出す可能性がある。

NIST のコンピュータセキュリティインシデント対応ガイドはここで関連する。なぜなら、インシデント対応を準備、検出、分析、封じ込め、根絶、回復、教訓として扱っているからである。Ivanti の事例は、トリガーが製品アドバイザリとして始まった場合でも、インシデント対応のロジックが適用されることを思い出させる。悪用が活発になると、組織はもはや単にパッチを当てているわけではない。境界が越えられたかどうかを分析しているのである。

英国の NCSC によるマルウェアとランサムウェア攻撃の緩和に関するガイダンスも、準備、バックアップ、復旧、封じ込めを重視しているため、一般的な制御コンテキストとして有用である。侵害されたゲートウェイ自体はランサムウェアではないかもしれないが、ゲートウェイは後にランサムウェア、スパイ活動、資格情報の盗難、データ漏洩を可能にするアクセス経路の一部となり得る。脆弱性対応がまだ進行中である間に、復旧の思考を開始しなければならない。

最も強い組織は、おそらく Integrity Checker Tool を決定木の中の 1 つのデータポイントとして扱った。ツールが侵害を示した場合、エスカレーションした。結果が決定的でなかった場合、再構築または隔離した。結果がクリーンだが露出が長かった場合、それでもログをレビューし、資格情報をローテーションした。ログが不十分だった場合、それを残留不確実性として記録した。それが証拠主導の修復の姿である。

ベンダーの義務は最初のアドバイザリを超えて及んだ

Ivanti は製品、アドバイザリ、緩和策、パッチ、および整合性ガイダンスを管理していた。それは Ivanti がすべての顧客の導入決定に責任を負うという意味ではない。それは、同社が顧客自身では生産できないいくつかの高レバレッジの事実を管理していたことを意味する。どのバージョンが影響を受けたか？どの緩和策が有効か？Integrity Checker Tool は実際に何をチェックしたか？パッチはいつ利用可能になったか？ツールが侵害をフラグしたり、整合性を確立できない場合、顧客はどうすべきか？

セキュアアクセスベンダーに対する説明責任基準は、一般的なアドバイザリ投稿よりも高くなければならない。ゲートウェイベンダーは、顧客が同時に技術的および経営的な圧力に直面すると想定すべきである。アドバイザリは、害の経路を平易な言葉で説明すべきである: デバイスは境界にあり、悪用は認証をバイパスしたりコマンドを実行したりする可能性があり、修復の決定には切断や再構築を含める必要があるかもしれない。顧客は何をインストールするかだけでなく、いつアプライアンスへの信頼を破棄すべきかを知る必要がある。

後の CVE 記録は、単一の緊急事態がどのように連鎖になり得るかを示しているため、関連する。顧客がすでに CVE-2023-46805 および CVE-2024-21887 に対処しているときに、CVE-2024-21893 や CVE-2024-22024 などの追加の脆弱性が現れると、計画が変わる。1 回限りのパッチ適用のナラティブは不十分になる。顧客はアプライアンスクラスに対する持続的な露出と整合性プログラムを必要とする。ベンダーの更新頻度、明確さ、および検出サポートは、そのプログラムが実用的かどうかを形作る。

CISA のSecure by Designの取り組みは、より広い期待を枠付けている。テクノロジーサプライヤーは、顧客が製品の脆弱性を無期限に補償できると想定すべきではない。エッジ製品の場合、セキュアデザインには、不必要な露出の削減、管理パスの強化、ログの有用性の向上、機械可読なアドバイザリの作成、安全なアップグレードのサポート、および悪用後の信頼回復の支援が含まれる。それは製品の義務であり、好意ではない。

同時に、顧客はすべての説明責任を Ivanti に外部委託することはできない。完璧なアドバイザリがアプライアンスにパッチを当てるわけではない。強力な整合性ツールは自動的に実行されない。明確な緊急指令がローカル資産インベントリを維持するわけではない。ベンダーは修復への経路を作成する。顧客はその経路を進み、証拠を保存しなければならない。非難は、それが制御にマッピングされた場合にのみ有用になる。

MSP は静かな制御層だった

多くの組織はセキュアアクセスアプライアンスを直接運用していない。彼らは MSP、セキュリティインテグレーター、地域の IT プロバイダー、または外部委託されたネットワークチームに依存している。そのため、Ivanti の記録は小規模組織や公的機関にとって特に重要である。法的および運用上の損害を被る当事者は、管理者パスワードを持つ当事者ではないかもしれない。

MSP が管理するアプライアンスは証拠の連鎖を変える。顧客は、デバイスが影響を受けたか、露出していたか、緩和策が適用されたか、Integrity Checker Tool が実行されたか、疑わしいアーティファクトが見つかったか、再構築や資格情報のローテーションが推奨されたかを知る必要がある。MSP が単に「対応済み」と言う場合、顧客は自社のリスク判断のための防御可能な根拠を持たない可能性がある。

したがって、顧客契約は緊急時の前に緊急セキュリティ証拠を定義すべきである。誰がベンダーアドバイザリを受け取るか、誰が切断を承認するか、誰が時間外対応の費用を支払うか、どの証拠が提供されるか、ログがどれだけ早く保存されるか、いつ顧客に侵害が除外できないことを伝えるかを規定すべきである。これらの条項は退屈に聞こえるかもしれない。Ivanti スタイルの緊急時には、それらが顧客が適時に真実を目にするかどうかを決定する。

MSP はまた内部の規律を必要とする。数十または数百のゲートウェイを管理している場合、緊急指令はキューを作成する。どの顧客が最初か？どのデバイスがインターネットに面しているか？どれが重要インフラまたは公共サービスを提供するか？どれがログが弱いか？どれがダウンタイムなしではパッチを当てられないか？MSP の優先順位付けは顧客のリスクの一部となる。成熟した MSP はその優先順位付けを説明し、各顧客に対して進捗状況のみでなく証拠を示すことができるべきである。

ここで SME の継続性がストーリーに入る。小規模組織はリモートアクセスのために 1 つのゲートウェイ、セキュリティのために 1 つの MSP、ダウンタイムを承認するために 1 つの経営幹部に依存しているかもしれない。ゲートウェイが切断されると、ビジネスは打撃を受ける。露出したままにしておくと、ビジネスは侵害されるかもしれない。MSP の役割は、そのジレンマを証拠に基づく決定に迅速に変換し、顧客が盲目的に選択しないようにすることである。

公共部門の継続性は指令を連邦の書類作業以上のものにした

公共部門の側面が重要なのは、リモートアクセスアプライアンスがしばしば人々が避けることを選択できないサービスの背後にあるからである。政府機関、学校、病院、裁判所、公益事業者は、スタッフ、請負業者、およびメンテナンスをサポートするためにゲートウェイを使用する可能性がある。それらのゲートウェイが疑わしい場合、継続性計画には技術的復旧と公共サービスの影響の両方を含めなければならない。

CISA の緊急指令は形式的には連邦民事機関に関するものだが、その論理は伝播する。同様のゲートウェイインフラに依存する州機関や病院は、境界デバイスを検査または切断しながらサービスを維持できるかどうかを決定しなければならない。リモートアクセスが削除された場合、従業員は依然として請求を処理し、患者を治療し、物流を調整し、緊急事態に対応できるか？アクセスが残る場合、ゲートウェイが十分に信頼できるという決定をどの証拠が支持するか？

この二重のリスクはしばしば過少報告される。サイバーセキュリティの記事は脆弱性に焦点を当て、サービス継続性を無視することができる。運用に関する記事はダウンタイムに焦点を当て、悪用を無視することができる。Ivanti の記録は両方を同じ枠組みに強制する。セキュアアクセスゲートウェイは、作業を動かし続けるので有用である。侵害されると、攻撃者のアクセスも動かし続ける可能性があるため危険である。説明責任のある決定は、証拠を用いて両方の現実のバランスを取る。

公的機関の場合、残りの未知数は特別な注意を払って文書化されるべきである。ゲートウェイが市民に接続されたデータ、システム、またはサービスチャネルを保護していた場合、機関は侵害が見つかったか、除外されたか、または証拠が不十分かを知るべきである。「侵害の証拠なし」は、誰もログを持っていなかったり、チェックを実行していなかった場合に使用されるべきではない。より良い表現はあまり快適ではないが、より正直である:「利用可能な情報源には指標が見つからなかったが、証拠の限界は残っている」。

その表現が重要なのは、公共の信頼が誤った確実性によって損なわれるからである。機関や規制対象組織はすべての技術的アーティファクトを公開する必要はない。組織外の人々に影響を与える不確実性を最小限に抑えることを避ける必要がある。ゲートウェイインシデントは、個人データ、サービスアクセス、調達システム、従業員アカウント、またはパートナーネットワークに触れる可能性がある。そのリスクを負う人々は、既知のこととそうでないことを認識した決定記録に値する。

将来の制御は再構築の準備である

Ivanti のエピソードからの教訓の 1 つは、信頼が弱い場合、一部のエッジデバイスは単にクリーンアップするのではなく再構築されるべきであるということである。再構築の準備は制御である。つまり、組織は信頼できるメディアからゲートウェイを再展開し、構成を安全に復元し、シークレットをローテーションし、アクセスを検証し、サイバー緊急事態を数週間の即興に変えることなく証拠を保存できる。構成を知る者やバックアップが存在しないために再構築が不可能な場合、ゲートウェイは組織の脆弱性の単一障害点となっている。

CISA のセキュア構成ベースラインは、Ivanti 固有の再構築計画を指示するからではなく、セキュア構成は再現可能であるべきであるという考えを表現しているため、関連する。再作成できないゲートウェイ構成は負債である。再構築、レビュー、比較できる構成は、整合性が不確かな場合に防御側にクリーンな経路を提供する。

再構築の準備はまたベンダーの期待を変える。ベンダーは、顧客が侵害された状態を保存することを奨励することなく、エクスポート可能でレビュー可能で復元可能な構成をサポートすべきである。疑わしい侵害後にはどのシークレットをローテーションしなければならないかを文書化すべきである。顧客がデバイスをワイプする前にログと整合性アーティファクトを利用可能にすべきである。パッチが持続可能性に対処しない可能性がある場合に警告すべきである。これらはエッジケースではない。有能な攻撃者によって標的にされた露出した境界製品の可能性のある結果である。

顧客は演習を通じて再構築の準備をテストできる。非本番ゲートウェイまたはラボモデルを用意する。Ivanti スタイルの重要なアドバイザリをシミュレートする。チームはデバイスを見つけられるか？緩和策を適用できるか？整合性チェックを実行できるか？ログを保存できるか？信頼できるメディアから再構築できるか？疑わしいアーティファクトをコピーせずにアクセスを復元できるか？リーダーシップに説明できるか？この演習は、組織がセキュリティゲートウェイを持っているのか、それとももろい謎の箱を持っているのかを明らかにする。

ここで調達も変わるべきである。バイヤーはベンダーに、インシデントグレードの再構築をどのようにサポートするかを尋ねるべきである。MSP に証拠がどのように提供されるかを尋ねるべきである。製品が有用な監査ログを生成するか、バージョン状態が外部で確認可能か、緊急アドバイザリが機械可読か、侵害されたデバイスの交換が運用上可能かを尋ねるべきである。これらの質問は製品機能よりも刺激的に聞こえない。Ivanti スタイルのインシデントでは、それらが製品となる。

優先順位付けはグローバルだけでなくローカルにならなければならなかった

Ivanti のケースではグローバルな優先順位付けのシグナルが必要だったが、それだけでは十分ではなかった。CISA の既知の悪用脆弱性カタログは、悪用の証拠を修復の緊急性に変換するため有用である。これは機関や企業がすべての脆弱性を同じように扱うことを避けるのに役立つ。しかし、KEV シグナルは依然としてローカルの事実と一致しなければならない。公開され、パッチが当てられず、ログが不十分なアプライアンス上のリストされた脆弱性は、隔離され、緩和され、完全に再構築されたデバイス上の同じ CVE と同じ運用上の問題ではない。逆に、組織はデバイスがパッチを当てるのに不便だからといってリスクを軽減することはできない。

ローカルな優先順位付けは露出から始めるべきである。どの Ivanti ゲートウェイがインターネットから到達可能か？どれが特権管理ユーザーをサポートするか？どれが機密環境にベンダーや請負業者を接続するか？どれが公共サービス運用を提供するか？どれがすでに疑わしい整合性チェック結果を出しているか？ここで説明責任が運用可能になる。これらの質問に答えられないセキュリティチームはアドバイザリを引用することはできても、対応を統治することはできない。

次の要素は証拠の品質である。強力なログ、明確な所有権、迅速な緩和策、およびクリーンな再構築を備えたゲートウェイは、保持されたログがなくパッチが遅れたゲートウェイとは異なる残留リスクを持つ。両方とも最終的に「修復済み」と報告されるかもしれない。取締役会、規制当局、保険会社、または影響を受けた顧客を満足させるのに十分な証拠でその主張を裏付けられるのは一方だけである。Ivanti に関する公開討論は時として問題をパッチステータスに還元したが、より強力な内部討論は露出と証拠の弱さによってアプライアンスをランク付けすべきだった。

第 3 の要素は依存関係である。小さな非重要ラボをサポートするゲートウェイは、病院管理者、連邦スタッフ、または生産エンジニアをサポートするものよりも切断が容易かもしれない。しかし、依存関係は自動的に緊急性を下げるべきではない。それはガバナンスレベルを引き上げるべきである。デバイスが簡単に切断できないほど重要であるなら、それは徹底的に検査し、事前に承認された緊急計画を持つほど重要である。重要度は遅延の言い訳ではなく、決定を可視化する理由である。

優先順位付けはまた敵対者の行動を考慮しなければならなかった。Mandiant と Volexity は抽象的な脆弱性クラスを説明したのではなく、活発な悪用パターンを説明した。悪用が活発である場合、防御側は攻撃者がベンダーアドバイザリを読み、緩和ウィンドウを追跡し、対応が遅いまたは不確かな組織を探していると想定すべきである。それは決定時間を圧縮する。アプライアンスのスプレッドシートを調整するのに数日を費やす組織は、良好なインベントリが取り除くはずだった利点を攻撃者に与える。

このため、公開指令と調査記録は将来の予算編成を変えるべきである。エッジインベントリ、外部攻撃面監視、ログ保持、再構築自動化は、ゲートウェイ製品が悪用される日までサポート機能のように見えるかもしれない。その日、それらは証拠に基づく迅速な決定と、会社が何を所有しているかに関する長い議論の違いになる。それらの制御のコストは、緊急時の最初の質問「ゲートウェイはどこにあるか？」に答えられないコストと比較されるべきである。

通知義務はすべての事実が確実になる前に始まった

もう 1 つの難しい質問は、顧客、ユーザー、パートナー、または公共の利害関係者にゲートウェイリスクが存在することをいつ伝えるべきかである。影響を受けたすべての Ivanti アプライアンスが公開通知義務をトリガーしたわけではない。すべての組織が確認された侵害を持っていたわけではない。しかし、セキュアアクセスゲートウェイは機密システムに十分近いため、一部の通知経路はすべてのフォレンジック結論が確定する前に開始されるべきである。関連する当事者には、経営陣、システム所有者、アイデンティティチーム、インシデント対応リテーナー、サイバー保険会社、規制当局、アクセスがゲートウェイを経由する顧客、およびアクセスパスを使用するベンダーが含まれる可能性がある。

最初の通知は内部かつ運用上である。ゲートウェイが侵害されている可能性がある場合、アイデンティティ管理者は知る必要がある。なぜなら、資格情報、セッション、およびアクセスポリシーをレビューする必要があるかもしれないからである。ネットワークチームは知る必要がある。なぜなら、セグメンテーションと外部トラフィックを検査する必要があるかもしれないからである。法務チームは知る必要がある。なぜなら、データアクセスは証拠がレビューされるまで除外できないからである。コミュニケーションチームは、確実性を誇張しない表現を準備する必要がある。ビジネスオーナーは、切断がサービスに影響する場合に知る必要がある。

2 番目の通知はサプライヤー向けである。MSP がゲートウェイを管理している場合、顧客は書面による行動計画を必要とする。ベンダーがゲートウェイを使用している場合、ベンダーはアクセスを一時停止するか、自社のアカウントを確認する必要があるかもしれない。ゲートウェイがクラウドまたはアイデンティティプロバイダーに接続している場合、それらのシステムからのログが侵害評価の一部になる可能性がある。アプライアンスチームが作業を終えるのを待つと、隣接システムの関連証拠が期限切れになる可能性がある。

3 番目の通知は外部である可能性がある。公的機関、医療提供者、または規制対象企業は、個人データがアクセスされたかどうかをすぐに知らないかもしれない。しかし、脆弱性がいつ発見されたか、どのシステムが接続されていたか、どのログがレビューされているか、どの証拠がまだ欠けているかを文書化することで、通知経路を保存できる。後の分析でデータアクセスが示された場合、組織はよりクリーンなタイムラインを持つ。後の分析で指標が見つからなかった場合、組織はレビューの範囲を説明できる。

この規律は 2 つの悪い結果を防ぐ。1 つ目は時期尚早な安心感である。会社は、十分に調査していないという意味でしか侵害がないと言うべきではない。2 つ目は漠然とした警告である。会社は、デバイスが脆弱だったという理由だけでデータ盗難を暗示すべきではない。説明責任のある立場はこれらの誤りの間に位置する: 既知の事実、取られた措置、レビュー中の証拠、および残る不確実性。

Ivanti の記録は、組織がそれらの区別をリアルタイムで行うことを余儀なくされたため、有用な公開例である。一部は露出していなかったと言える。一部は緩和策と整合性チェックを実行したと言える。一部は切断しなければならなかった。一部は再構築しなければならなかったかもしれない。一部はおそらくどちらの方向にも十分な証拠を確立できなかった。その変動は平坦化されるべきではない。それはまさに真剣なリスクレジスターが保存すべきものである。

適切な指標は信頼できる境界までの時間である

Ivanti スタイルのイベント後の最も有用なパフォーマンス尺度は、最初の会議までの時間やパッチダウンロードまでの時間ではない。それは信頼できる境界までの時間である。この指標は、信頼できる悪用または緊急脆弱性情報が利用可能になったときに開始される。組織が、ゲートウェイが影響を受けていない、安全に緩和されている、信頼できる状態から再構築されている、またはサービスから削除されているという主張を裏付けられるようになったときに終了する。指標には活動だけでなく証拠も含まれる。

信頼できる境界までの時間にはいくつかのサブクロックがある。インベントリまでの時間: 組織はすべての Ivanti ゲートウェイをどのくらい速く特定したか？露出決定までの時間: どれがインターネットに面しているかまたは高リスクかをどのくらい速く把握したか？緩和までの時間: ベンダーの緩和策、切断、またはアクセス制限はどのくらい速く適用されたか？整合性評価までの時間: チェックとログはどのくらい速くレビューされたか？再構築決定までの時間: パッチで十分かどうかをどのくらい速く決定したか？利害関係者へのコミュニケーションまでの時間: 意思決定者と依存する当事者はどのくらい速く正確な情報を得たか？

各サブクロックには異なる所有者がいる。資産管理はインベントリを所有するかもしれない。ネットワークセキュリティは露出を所有するかもしれない。インフラは緩和を所有するかもしれない。インシデント対応は整合性評価を所有するかもしれない。事業継続はサービス影響を所有するかもしれない。法務とコミュニケーションは利害関係者への更新を所有するかもしれない。教訓は、ゲートウェイインシデントを単一のアプライアンス管理者に任せることはできないということである。デバイスはあまりにも多くの制御面にまたがっている。

この指標はまたベンダーサポートを測定可能にする。ベンダーは、明確な影響を受けるバージョンデータ、安定した修正、信頼できる整合性ツール、実行可能な指標、再構築ガイダンス、および平易な言葉のリスク説明を公開することで、信頼できる境界までの時間を短縮できる。断片的なガイダンスを公開し、明確さなしに指示を変更したり、クリーンチェックで十分かどうかを顧客に推測させたりすることで、この時間を延長できる。顧客はそのサポートの質を時間として体験する。

MSP にとって、信頼できる境界までの時間はサービスレベルの期待になるべきである。契約は、MSP が影響を受ける顧客デバイスを特定し、緩和策を適用し、チェックを実行し、書面による証拠を提供し、疑わしい侵害をエスカレーションする速さを規定すべきである。MSP がその基準を満たせない場合、顧客は緊急時に備えて事前に知っておくべきである。圧力下で証拠を生成できないサービスモデルは、真に境界を管理しているとは言えない。

この指標は要求が厳しいが、公平である。完璧なセキュリティや即時の確実性を要求しない。公開脆弱性から信頼の回復までの可視的な経路を要求する。Ivanti の 2024 年の記録は、リスク対象がセキュアアクセスゲートウェイである場合、信頼の回復が実際の成果物であることを示している。

監査パッケージは小さいが偽造が難しいものにすべきである

Ivanti ゲートウェイ緊急時後の最良の証拠パッケージは、千ページのフォレンジックレポートである必要はない。小さく、構造化され、偽造が難しいものであるべきである。有用なパッケージには、各アプライアンス、所有者、公的露出、影響を受けるバージョン、緩和時間、パッチ時間、整合性チェック結果、再構築ステータス、資格情報ローテーションの決定、レビューされたログソース、チェックされたダウンストリームシステム、および残りの未知数がリストされる。また、各アクションを実行した人物またはプロバイダーの名前が記載される。その文書は意図的に退屈である。その価値は、混乱した緊急時を後でレビューできる記録に変換することである。

パッケージは否定的な発見を注意深く保存すべきである。「レビューされたパスにウェブシェルは見つからなかった」は「侵害なし」よりも優れている。「1 月 10 日以降に保持されたログに不審な認証イベントは見つからなかった」は「証拠なし」よりも優れている。より正確な記述は、リーダーシップに実際に何がチェックされ、知識の境界がどこにあるかを伝える。正確さは読者をパニックと過信の両方から保護する。

また、放棄された経路も保存すべきである。アプライアンスがオフラインであった、MSP に資格情報がなかった、ログがロールオーバーされた、ツールが失敗したためにチェックできなかった場合、その事実はパッケージに属する。多くのインシデント後の記録は失敗したチェックを消去し、成功したアクションのみを示す。それは組織をよりきれいに見せ、より安全でなくする。失敗したチェックはしばしば本当の教訓の始まりである: 所有権の欠如、弱いログ、不十分なサプライヤーアクセス、または再構築方法を知る者がいないデバイス。

最後に、パッケージは技術的アクションをビジネス決定に接続すべきである。リモートアクセスが切断された場合、どのサービスが影響を受け、どのように代替手段が提供されたか？緩和策のもとでアプライアンスがオンラインに維持された場合、残留リスクを承認したのは誰か？再構築が延期された場合、なぜか？外部通知が行われなかった場合、どの事実がその決定を支持し、どの事実がまだレビュー中か？ゲートウェイは技術的オブジェクトであると同時にビジネス依存関係である。監査記録は両方の半分を示すべきである。

この種のパッケージは将来の Ivanti スタイルのインシデントを排除しない。それらをより曖昧でなくする。組織は、ベンダーガイダンスが不明確だった、インベントリが欠落していた、MSP 対応が遅れた、リーダーシップがダウンタイムを避けた、対応者にフォレンジックデータがなかったために遅かったのかを学べる。各診断は異なる修復を指し示す。パッケージがなければ、それらの原因はすべて曖昧なアクション後のフレーズに崩壊する: 次回はより速くパッチを当てる。そのフレーズは真実であり、なおかつ薄すぎる。証拠は緊急性を組織学習に変え、学習は次の境界障害を短くする。次回のレビューは、グリーンダッシュボードを受け入れる前に、まずその証拠を求めるべきである。

整合性チェックは顧客の習慣になるべきである

Ivanti の記録はまた、整合性チェックが 1 回限りの緊急タスクとして扱われるべきではない理由を示している。セキュアアクセスアプライアンスは、外部ユーザーと内部リソースの間の特権的な境界に位置する。顧客はベンダーの整合性ツールを実行し、結果を保存し、異常をエスカレーションし、緩和または再構築後にチェックを繰り返す方法を知っておくべきである。トラフィックを通過させるが整合性を証明できないゲートウェイは、依然として信頼の問題である。その習慣は、次のアドバイザリの前にリハーサルされるべきであり、その最中に発見されるべきではない。

残留未知数と説明責任のある質問

公開記録はすべての顧客固有の質問に答えることはできない。どのプライベートネットワークが侵害されたか、どのアプライアンスが再構築されたか、どの MSP が遅れたか、どのログが欠落していたか、ゲートウェイ悪用後にどのダウンストリームシステムが触れられたかを示していない。しかし、製品カテゴリが緊急指令、脅威調査、ベンダー更新、整合性ツール、および繰り返しの公開アドバイザリに値する十分なリスクを運んだことを示している。

したがって、説明責任のある質問は実用的である。Ivanti は顧客に、特定、緩和、パッチ、検査、および信頼回復に必要な情報とツールを提供したか？顧客はその情報に基づいて行動するためのインベントリ、権限、および規律を持っていたか？MSP は自らが管理するゲートウェイの顧客に証拠を提供したか？リーダーシップは残留不確実性を見ていたか、それとも安心させるパッチ率だけを見ていたか？公的機関はゲートウェイの整合性をサービス継続性の一部として扱ったか？

答えが「はい」の場合、セキュアアクセスゲートウェイは信頼された境界としての役割を回復できる。答えが「いいえ」の場合、ゲートウェイはネットワークが最も確実性を必要とするまさにその場所で疑問符のままである。Ivanti の 2024 年の記録はその教訓のために記憶されるべきである。製品ラベルはセキュアアクセスと言った。インシデントは、一度露出したアクセスが、ゲートウェイの反対側に依存する人々にとって十分に強力な証拠で再び信頼できるものにできるかどうかを尋ねた。