摘要

  • Ivanti 的知识库文章承认，它的 Integrity Checker Tool 只是设备当前状态的一张快照；如果攻击者已经把设备恢复到干净状态，它未必能发现痕迹。同一篇文章还建议先做出厂重置，再打补丁。
  • 联合公告 AA24-060B 更进一步：攻击者能够骗过内部和外部的两种检查工具，而 CISA 的实验室研究认定，即便执行了出厂重置，攻击者仍可能取得 root 级持久化。

第一处让步出现在厂商自己的操作指引里，而且是一次主动升级。「We have seen evidence of threat actors attempting to manipulate Ivanti's internal integrity checker (ICT). Out of an abundance of caution, we are recommending that all customers run the external ICT.」说白了就是：装在设备里的那个检查器自己成了攻击目标，因此相对更可信的仪器，换成了第二个、需要在设备外部运行的那个（Ivanti 知识库文章）。

第二处让步更锋利，因为它讲的是仪器做不到什么，而不是对手可能对它做什么。「The ICT is a snapshot of the current state of the appliance and cannot necessarily detect threat actor activity if they have returned the appliance to a clean state.」对当下的快照，无法为一段被人整理过的过去作证。把扫描结果读成关于这台机器历史的陈述、而不是关于扫描那一刻的陈述，就是读错了工具，厂商把这句话说得很直白。

第三处本该终结一场采购争论。「Ivanti recommends as a best practice that all customers with a hardware appliance factory reset their appliance before applying the patch to prevent the threat actor from gaining upgrade persistence in your environment.」如果厂商真的相信「打个补丁、加一次检查」就够了，它不会要求客户先把硬件抹掉。建议先重置再打补丁，恰恰是当你怀疑机器在检查看不见的那一层已经被改动时才会开出的处方。

联合公告从桌子的另一边说了同一件事，而且说得更重。「Of particular concern, the authoring organizations and industry partners have determined that cyber threat actors are able to deceive Ivanti's internal and external Integrity Checker Tool (ICT), resulting in a failure to detect compromise.」注意覆盖范围：内部与外部都在其中。厂商在自己文章里提出的那次升级，正好落在签署方谈「欺骗」的那句话里（联合网络安全公告 AA24-060B）。

接着是扣上闭环的那一句。「In addition, CISA has conducted independent research in a lab environment validating that the Ivanti ICT is not sufficient to detect compromise and that a cyber threat actor may be able to gain root-level persistence despite issuing factory resets.」同一份公告同时装着这个矛盾的两半：一半是建立在出厂重置之上的厂商最佳实践，另一半是机构实验室的研究结果，root 级持久化可以熬过重置。

这不是批评者与公司之间的争执，而是两个都希望同一套补救奏效的一方之间的分歧。厂商的利益在于让客户继续用它的网关、在不要求重建每台设备的前提下把补丁打上；签署方的利益在于终止一场它看得见的入侵。它们在同一处承认上会合：运行在设备内部的工具给出否定结果，并不证明这台设备是干净的。随后它们又在这个重置是否足够持久上分开。

分开的那一点才是可用的部分。出厂重置是在宣称机器的状态已经被替换掉。实验室研究却在重置之后找到持久化，这直接挑战那项宣称，而且完全不需要假设厂商不诚实：只要重置没有触及攻击者所在的那一层就够了。把「先重置再打补丁」当作事情终点的客户，继承的是一个共同署名的机构已经公开拒绝共享的假设。

带日期的文件划出了这个假设所处的环境。紧急指令 24-01《Mitigate Ivanti Connect Secure and Ivanti Policy Secure Vulnerabilities》由美国总务管理局（General Services Administration）维护的 FedRAMP 指令公告存档记载为 2024 年 1 月 19 日星期五发布；该存档页面显示的标题日期为 2024 年 1 月 18 日，而正文写的是 1 月 19 日，本文采用正文的表述并注明这一差异（FedRAMP 存档，ED 24-01）。Supplemental Direction v1 随后于 2024 年 1 月 31 日星期三发布，同一存档说明该补充指令取代了指令中的第 4 项必需行动（FedRAMP 存档，Supplemental Direction v1）。

第 4 项必需行动在指令发布十二天后就被替换了。指令与补充指令由 CISA 在各自地址发布（ED 24-01、Supplemental Direction v1），但本文所查阅的来源中，两份文件的执行条文都无法读取：这两处 CISA 页面在此次检索中返回了访问错误。因此本文不对这些文件究竟要求了什么作出断言，也不对补充指令除存档所称「第 4 项被取代」之外替换了何种行动作出断言。本文断言的是替换确实发生了，并且上面引用的两份第一方文件，比任何一份指令摘要都更好地解释了为什么一道验证步骤会背离它自己的目的。

对董事会或采购团队而言，操作层面的后果很窄，而且它挺过了那段读不到的条文。不要要求供应商的扫描一定正确，厂商已经告诉你它看不见什么。要求「干净状态」这一结论不能只靠那件正在被质疑的仪器，要求补救说明里写清什么是被重建或重装的、而不是什么被扫描过。被重建的设备有一个可以被人描述的状态；被扫描的设备只有一个结果，而那个结果是向一个已被入侵的环境索要来的。

本文没有确立的东西同样具体。这里没有报告有多少设备被入侵、有多少次扫描给出了假阴性，也没有报告任何具名机构在 2024 年 1 月 31 日之后做了什么。联合公告以编号引用，因为本次保留的读取中没有逐字出现的发布日期；厂商文章不标注日期，因为它带着会变化的版本标识，本文也不对其发布日期或修订日期作出断言。这些是本文这份记录的缺口，不是「相关事实别处也不存在」的证据。

剩下的东西是：供应商就自己的工具写的一句话，两个政府及其伙伴就同一件工具写的一段话，以及一个被一方称为最佳实践、被另一方说成可以被熬过去的补救步骤。把这三者放在一起读，它们解决了签约那一刻唯一重要的问题：证据归谁。答案不能是设备自己。