La CISA vuole che i dispositivi governativi esposti vengano riparati in 14 giorni

La CISA vuole che i dispositivi governativi esposti vengano riparati in 14 giorni

Timestamp: 29 giugno 2023 5:20
CISA vuole che i dispositivi governativi esposti vengano riparati in 14 giorni PlatoBlockchain Data Intelligence. Ricerca verticale. Ai.

I ricercatori hanno scoperto centinaia di dispositivi in ​​esecuzione su reti governative che espongono interfacce di gestione remota sul Web aperto. Grazie alla Cybersecurity and Infrastructure Security Agency (CISA), la situazione cambierà rapidamente, forse troppo rapidamente, secondo alcuni esperti.

Il 13 giugno, CISA rilasciato Direttiva Operativa Vincolante (BOD) 23-02, con l'obiettivo di eliminare le interfacce di gestione esposte a Internet in esecuzione sui dispositivi perimetrali nelle reti delle agenzie del Federal Civilian Executive Branch (FCEB). L'annuncio è arrivato subito dopo L'avviso di CISA su Volt Typhoon, l'Advanced Persistent Threat (APT) sostenuta dallo stato cinese che ha sfruttato i dispositivi Fortinet FortiGuard campagne di spionaggio contro enti governativi statunitensi.

Per valutare quanto sarebbe significativo BOD 23-02, i ricercatori di Censys hanno scansionato Internet per i dispositivi che espongono le interfacce di gestione in ramo esecutivo civile federale (FCEB) agenzie. Le scansioni hanno rivelato quasi 250 dispositivi idonei, nonché una serie di altre vulnerabilità di rete al di fuori dell'ambito di BOD 23-02. 

"Sebbene questo livello di esposizione probabilmente non garantisca un panico immediato, è comunque preoccupante, perché potrebbe essere solo la punta dell'iceberg", afferma Himaja Motheram, ricercatore di sicurezza per Censys. "Suggerisce che potrebbero esserci problemi di sicurezza più profondi e critici, se questo tipo di igiene di base non viene rispettato".

Come sono esposte le organizzazioni FCEB

I dispositivi che si qualificano in BOD 23-02 includono router, switch, firewall, concentratori VPN, proxy, bilanciatori di carico, interfacce di gestione server fuori banda e qualsiasi altro "per i quali le interfacce di gestione utilizzano protocolli di rete per la gestione remota" su Internet pubblico", ha spiegato CISA - protocolli come HTTP, FTP SMB e altri.

I ricercatori di Censys hanno scoperto centinaia di tali dispositivi, inclusi vari dispositivi Cisco che espongono Interfacce di Adaptive Security Device Manager, interfacce router Cradlepoint e popolari prodotti firewall di Fortinet ed SonicWall. Hanno anche trovato più di 15 istanze di protocolli di accesso remoto esposti in esecuzione su host correlati a FCEB.

La ricerca è stata così abbondante che hanno persino scoperto molte vulnerabilità della rete federale oltre l'ambito del BOD 23-02, tra cui strumenti di trasferimento file esposti come GoAnywhere MFT ed mOVEit, ha esposto i gateway di sicurezza e-mail Barracudae varie istanze di software defunto.

Le organizzazioni spesso non conoscono il proprio livello di esposizione o non comprendono le implicazioni dell'esposizione. Motheram sottolinea che l'attrezzatura non protetta era abbastanza semplice da trovare. "E ciò che è stato banale per noi trovare è, onestamente, probabilmente ancora più banale per gli attori delle minacce dilettanti là fuori".

Come vengono esposti i dispositivi edge

Com'è possibile che così tanti dispositivi siano esposti su reti governative altrimenti altamente controllate?

Joe Head, CTO di Intrusion, indica una serie di motivi, tra cui "comodità dell'amministratore, mancanza di consapevolezza della sicurezza operativa, mancanza di rispetto per gli avversari, uso di password predefinite o note e mancanza di visibilità".

James Cochran, direttore della sicurezza degli endpoint presso Tanium, aggiunge che "la carenza di personale può far sì che i team IT oberati di lavoro prendano scorciatoie per semplificare la gestione della rete".

Considera anche le trappole esclusive del governo che possono peggiorare ulteriormente il problema. "Con poca supervisione e preoccupazione per le potenziali minacce, i dispositivi possono essere aggiunti alla rete con il pretesto di essere 'mission-critical', il che li assolve da ogni controllo", si lamenta Cochran. Le agenzie possono anche fondersi o espandersi, con lacune nella loro rete e nell'integrazione della sicurezza. "Nel corso del tempo, le reti complessive iniziano ad assomigliare a qualcosa di un film di Mad Max, in cui cose casuali vengono messe insieme e non sei sicuro del perché."

BOD 23-02 cambierà le cose?

Nella sua direttiva, la CISA ha indicato che inizierà la scansione dei dispositivi qualificanti e informerà le agenzie colpevoli. Dopo la notifica, le agenzie incriminate avranno solo 14 giorni per disconnettere questi dispositivi dal Web o "distribuire funzionalità, come parte di un'architettura zero-trust, che impongono il controllo dell'accesso all'interfaccia attraverso un punto di applicazione della politica separato dall'interfaccia stessa .”

Quel periodo di due settimane costringerà le agenzie competenti ad agire rapidamente per proteggere i loro sistemi. Ma potrebbe essere difficile, ammette Motheram. “In teoria, rimuovere i dispositivi esposti da Internet dovrebbe essere semplice, ma non sempre è così. Ci può essere un po' di burocrazia da affrontare quando si cambiano le politiche di accesso che aggiungono attriti", spiega.

Altri ritengono che l'onere sia indebito. "Questa non è una sequenza temporale responsabile", afferma Cochran. “Poiché il problema è così diffuso, mi aspetto che ci siano impatti significativi sulle agenzie identificate. È come cercare di districare un mucchio di fili segandoli».

Altri applaudono l'approccio concreto del CISA. "È difficile trovare una tempistica per smettere di fare ciò che non avrebbe mai dovuto essere fatto", afferma Head, sostenendo che 14 giorni potrebbero essere troppo lunghi per aspettare. “Cinque minuti sarebbero più consigliabili mentre i manager assegnano le modifiche correttive alla rete. È stata una pratica standard per anni non esporre le interfacce di gestione all'Internet pubblico, quindi renderlo obbligatorio è prudente e ragionevole.

Timestamp:

Di più da Lettura oscura