要約

  • Ivanti は自社のナレッジベース記事で、Integrity Checker Tool は機器の現時点の状態を写したスナップショットにすぎず、攻撃者が機器をクリーンな状態に戻していれば活動を検知できない場合があると認め、ハードウェア機器ではパッチ適用前に工場出荷状態へのリセットを推奨している。
  • 合同勧告 AA24-060B はさらに踏み込み、攻撃者は内部・外部の双方の Integrity Checker Tool を欺けるとし、CISA の実験室での調査は、工場出荷状態へのリセットを行っても root 権限レベルの永続化が可能であると結論づけた。

最初の譲歩は、ベンダー自身の運用文書の中にある。しかも一歩ではなく二歩、後退している。Ivanti Connect Secure と Ivanti Policy Secure の CVE-2023-46805 と CVE-2024-21887 について、Ivanti はナレッジベース記事にこう書いた。「We have seen evidence of threat actors attempting to manipulate Ivanti's internal integrity checker (ICT). Out of an abundance of caution, we are recommending that all customers run the external ICT.」つまり、機器の内側で動く検査器そのものが攻撃対象になったと認め、相対的にましな計器として、外側で動かす二つ目の道具を推奨している（Ivanti のナレッジベース記事）。

二つ目の譲歩はもっと鋭い。道具が「何をするか」ではなく「何ができないか」を語っているからだ。「The ICT is a snapshot of the current state of the appliance and cannot necessarily detect threat actor activity if they have returned the appliance to a clean state.」現在の状態を写したスナップショットは、整えられた過去について証言できない。スキャン結果を「この機械の履歴についての陳述」として読むのは、計器の読み方を間違えている。ベンダーはその間違いを、自ら先回りして名指しした。

三つ目は、調達の議論を終わらせるはずの一文だ。「Ivanti recommends as a best practice that all customers with a hardware appliance factory reset their appliance before applying the patch to prevent the threat actor from gaining upgrade persistence in your environment.」パッチとスキャンで足りると信じているなら、顧客にハードウェアを消せとは言わない。先にリセットせよという処方は、検査では見えない層にすでに手が入っている可能性を前提にした処方である。

合同勧告は同じことを、より重い言葉で書く。「Of particular concern, the authoring organizations and industry partners have determined that cyber threat actors are able to deceive Ivanti's internal and external Integrity Checker Tool (ICT), resulting in a failure to detect compromise.」範囲に注意してほしい。内部も外部も含まれる。ベンダーが自社文書で提案した「外側へ」という後退は、署名機関が「欺ける」と書いた一文の中にきれいに収まってしまう（合同サイバーセキュリティ勧告 AA24-060B）。

そして閉じの一文。「In addition, CISA has conducted independent research in a lab environment validating that the Ivanti ICT is not sufficient to detect compromise and that a cyber threat actor may be able to gain root-level persistence despite issuing factory resets.」ベンダーが今もベストプラクティスと呼ぶ処置を施した後でも、root 権限レベルの永続化が可能でありうる。ここで二人の当事者が食い違っているのではない。ベンダーの推奨は「リセットしてからパッチを当てよ」、勧告の調査結果は「リセットしても残りうる」。前者は後者を否定しない。否定しないどころか、リセットを勧める理由そのものが、検査結果を証拠として扱えないという認識である。

時間軸も、その計器と同じくらい慎重に扱う必要がある。General Services Administration（GSA）の FedRAMP アーカイブの記載によれば、Department of Homeland Security（DHS）の Cybersecurity and Infrastructure Security Agency（CISA）は 2024年1月19日（金）に Emergency Directive 24-01 を発し、続く同年1月31日（水）に Supplemental Direction v1 を発した。アーカイブページは、この補足指令が同指令の required action 4 を置き換えたとも述べている（GSA FedRAMP アーカイブの ED 24-01 ページ、Supplemental Direction v1 のアーカイブページ）。ただし指令本文そのものは読めていない。日付と置き換えの事実はアーカイブの記載に依拠しており、同アーカイブの ED 24-01 のページは見出しに1月18日を示しながら本文では19日（金）と書いているため、本稿は本文を採る。指令の名宛先ページ（CISA の ED 24-01 ページ、CISA の Supplemental Direction v1 ページ）は本稿の調査では本文を取得できなかった。何を命じたかは主張しない。日付と、required action 4 が置き換えられたという一事だけを置く。合同勧告は逐語の公開日を確認できなかったため、日付ではなく識別子 AA24-060B で引く。ベンダーの記事も版識別子が変わるため、公開日・改訂日は主張しない。

仕組みは注意力の問題ではなく、計器の問題だ。検査ツールは機器の上で走り、機器のファイルシステムについて報告する。攻撃者がそのファイルシステムを書き換え、時刻を整え、ランタイム領域を再マウントできるなら、検査の「異常なし」は、検査されている環境そのものが作り出した出力になる。だから実務的な統制も、そこに置くしかない。クリーンであるという主張を、問題視された計器だけに依存させないこと。修復の記録には、何をスキャンしたかではなく、何を作り直したか、何を再イメージしたかを書かせること。取締役会がサプライヤーに突きつけられる問いは、実は一つしかない。疑われている計器に依存しない、クリーン状態の証拠はどれか。

本稿は台数も、偽陰性の率も、その後の各機関の措置も示さない。示せるのは、二つの一次文書が、自ら差し出した計器の限界を自らの言葉で書いたという事実と、その日付だけである。スキャン結果は、その部屋の内側に据え付けられたカメラが撮った写真に近い。写真が整っていても、写っていないものの有無は、写真では決められない。