Кратко

  • Ivanti в собственной статье базы знаний признаёт, что Integrity Checker Tool — лишь снимок текущего состояния устройства и может не выявить активность злоумышленника, если устройство вернули в чистое состояние; для аппаратных платформ компания рекомендует сброс к заводским настройкам до установки патча.
  • Совместное предупреждение AA24-060B идёт дальше: атакующие способны обмануть и внутренний, и внешний Integrity Checker Tool, а лабораторное исследование CISA показало, что закрепление на уровне root остаётся возможным даже после сброса к заводским настройкам.

Первая уступка записана в рабочем документе самого поставщика, и это не один шаг назад, а два. По уязвимостям CVE-2023-46805 и CVE-2024-21887 в шлюзах Ivanti Connect Secure и Ivanti Policy Secure компания написала: «We have seen evidence of threat actors attempting to manipulate Ivanti's internal integrity checker (ICT). Out of an abundance of caution, we are recommending that all customers run the external ICT.» То есть проверяющий инструмент, работающий внутри устройства, сам стал целью, и относительно более надёжным признан второй, запускаемый снаружи (статья базы знаний Ivanti).

Вторая уступка резче, потому что речь не о том, что кто-то может сделать с инструментом, а о том, чего инструмент не может: «The ICT is a snapshot of the current state of the appliance and cannot necessarily detect threat actor activity if they have returned the appliance to a clean state.» Снимок настоящего не свидетельствует о приведённом в порядок прошлом. Читать результат сканирования как утверждение об истории машины, а не о моменте сканирования — значит читать инструмент неправильно, и поставщик назвал эту ошибку раньше, чем её кто-то обратил против него.

Третья фраза должна была закрыть спор о закупке: «Ivanti recommends as a best practice that all customers with a hardware appliance factory reset their appliance before applying the patch to prevent the threat actor from gaining upgrade persistence in your environment.» Тот, кто верит, что патча и сканирования достаточно, не требует от клиента стирать аппаратуру. Предписание «сначала сброс, потом патч» пишут именно тогда, когда подозревают, что тронут слой, до которого проверка не достаёт.

Совместное предупреждение говорит то же самое с другой стороны стола, и весомее: «Of particular concern, the authoring organizations and industry partners have determined that cyber threat actors are able to deceive Ivanti's internal and external Integrity Checker Tool (ICT), resulting in a failure to detect compromise.» Обратите внимание на охват: внутренний и внешний. Отступление к «внешнему», которое поставщик предложил в своей статье, целиком укладывается в фразу, где подписанты говорят об обмане (совместное предупреждение по кибербезопасности AA24-060B).

Следующая фраза замыкает круг: «In addition, CISA has conducted independent research in a lab environment validating that the Ivanti ICT is not sufficient to detect compromise and that a cyber threat actor may be able to gain root-level persistence despite issuing factory resets.» Закрепление на уровне root остаётся возможным даже после процедуры, которую Ivanti по-прежнему называет передовой практикой. Здесь не спорят две стороны: рекомендация поставщика — сброс до патча, вывод предупреждения — сброса недостаточно. Первое не отрицает второго.

Хуже: причина рекомендовать сброс именно в том, что результат проверки не годится как доказательство.

Хронология требует такой же аккуратности, как и сам инструмент. Согласно архивной странице программы FedRAMP Управления общих служб (General Services Administration, GSA), Агентство по кибербезопасности и защите инфраструктуры (Cybersecurity and Infrastructure Security Agency, CISA) Министерства внутренней безопасности (Department of Homeland Security, DHS) выпустило Emergency Directive 24-01 в пятницу 19 января 2024 года, а Supplemental Direction v1 — в среду 31 января 2024 года; та же страница сообщает, что дополнительное указание заменило required action 4 директивы (страница ED 24-01 в архиве FedRAMP, страница Supplemental Direction v1). Сам текст директивы прочитать не удалось: даты и факт замены опираются на архив, а страница ED 24-01 в заголовке показывает 18 января, тогда как в тексте указано 19 января — здесь принят текст. Официальные страницы CISA (ED 24-01, Supplemental Direction v1) оказались недоступны. Поэтому о том, что предписывали эти документы, статья не утверждает; зафиксированы только даты и то, что required action 4 был заменён. Совместное предупреждение цитируется по идентификатору AA24-060B, поскольку дословную дату публикации подтвердить не удалось. Статья поставщика содержит меняющиеся идентификаторы версий; дата публикации или правки не утверждается.

Отказ здесь в измерительном приборе, а не во внимании. Инструмент работает на устройстве и отчитывается о его собственной файловой системе. Если кто-то может править эти файлы, выставлять отметки времени и заново монтировать раздел исполнения, «ничего не найдено» производит та самая среда, которую проверяют. Практический контроль поэтому может быть только один: заявление о чистом состоянии не должно опираться исключительно на оспоренный инструмент, а в отчёте об устранении должно быть сказано, что пересобрано или развёрнуто заново, а не то, что просканировано.

У совета директоров остаётся один вопрос к поставщику: какое доказательство чистого состояния не проходит через заподозренный инструмент?

Чисел о числе затронутых устройств, о доле ложноотрицательных сканов или о дальнейших шагах отдельных ведомств здесь нет. Есть факт: два первичных документа зафиксировали своими словами предел инструмента, который сами и предложили, — вместе с датами.

Результат сканирования похож на фотографию комнаты, сделанную камерой, привинченной внутри этой комнаты. Снимок может быть безупречным; того, чего на нём нет, он не решает.