CISA vrea ca dispozitivele guvernamentale expuse să fie remediate în 14 zile

CISA vrea ca dispozitivele guvernamentale expuse să fie remediate în 14 zile

Marca temporală: 29 iunie 2023 5:20
CISA vrea ca dispozitivele guvernamentale expuse să fie remediate în 14 zile PlatoBlockchain Data Intelligence. Căutare verticală. Ai.

Cercetătorii au descoperit sute de dispozitive care rulează pe rețele guvernamentale care expun interfețe de management de la distanță pe web deschis. Datorită Agenției pentru Securitate Cibernetică și Securitate a Infrastructurii (CISA), acest lucru se va schimba rapid – poate prea repede, potrivit unor experți.

Pe 13 iunie, CISA a lansat Directiva Operațională Obligatorie (BOD) 23-02, cu scopul de a elimina interfețele de management expuse la internet care rulează pe dispozitive de vârf din rețelele agențiilor Federal Civil Civil Executive Branch (FCEB). Anunțul a venit la scurt timp după Avizul CISA despre Volt Typhoon, amenințarea persistentă avansată (APT) susținută de stat chinez care a folosit dispozitivele Fortinet FortiGuard în campanii de spionaj împotriva entităților guvernamentale americane.

Pentru a evalua cât de semnificativ ar fi BOD 23-02, cercetătorii de la Censys au scanat internetul pentru dispozitivele care expun interfețe de gestionare în ramura executivă civilă federală (FCEB). Scanările au scos la iveală aproape 250 de dispozitive eligibile, precum și o serie de alte vulnerabilități ale rețelei în afara domeniului de aplicare al BOD 23-02. 

„Deși acest nivel de expunere probabil nu justifică o panică imediată, este totuși îngrijorător, deoarece ar putea fi doar vârful aisbergului”, spune Himaja Motheram, cercetător de securitate pentru Censys. „Sugerează că pot exista probleme de securitate mai profunde și mai critice, dacă acest tip de igienă de bază nu este îndeplinită.”

Cât de expuse sunt organizațiile FCEB

Dispozitivele care se califică conform BOD 23-02 includ routere expuse la Internet, comutatoare, firewall-uri, concentratoare VPN, proxy, echilibrare de încărcare, interfețe de gestionare a serverelor în afara bandă și orice alte „pentru care interfețele de management folosesc protocoale de rețea pentru managementul de la distanță. pe Internet public”, a explicat CISA – protocoale precum HTTP, FTP SMB și altele.

Cercetătorii Censys au descoperit sute de astfel de dispozitive, inclusiv diferite dispozitive Cisco expuse Interfețe Adaptive Security Device Manager, interfețe de router Cradlepoint și produse firewall populare de la Fortinet și SonicWALL. De asemenea, au găsit mai mult de 15 instanțe de protocoale de acces la distanță expuse care rulează pe gazde legate de FCEB.

Căutarea a fost atât de generoasă încât au descoperit chiar multe vulnerabilități ale rețelei federale dincolo de domeniul de aplicare al BOD 23-02, inclusiv instrumente de transfer de fișiere expuse precum GoAnywhere MFT și Mișcă-l, au expus gateway-urile de securitate pentru e-mail Barracuda, și diverse cazuri de software defunct.

Organizațiile adesea nu își cunosc nivelul de expunere sau nu înțeleg implicațiile expunerii. Motheram subliniază că echipamentul neprotejat a fost destul de simplu de găsit. „Și ceea ce a fost trivial pentru noi să găsim este, sincer, probabil și mai banal pentru actorii amatori de amenințări.”

Cum sunt expuse dispozitivele Edge

Cum se face că atât de multe dispozitive sunt expuse în rețele guvernamentale, altfel controlate foarte mult?

Joe Head, CTO of Intrusion, subliniază o serie de motive, inclusiv „conveniența administratorului, lipsa de conștientizare a securității operaționale, lipsa de respect față de adversari, utilizarea parolelor implicite sau cunoscute și lipsa de vizibilitate”.

James Cochran, director pentru securitatea punctelor terminale la Tanium, adaugă că „lipsa de personal poate determina echipele IT suprasolicitate să ia scurtături, astfel încât să poată ușura gestionarea rețelei”.

Luați în considerare, de asemenea, capcanele unice ale guvernului care pot agrava problema și mai mult. „Cu puțină supraveghere și îngrijorare cu privire la potențialele amenințări, dispozitivele pot fi adăugate în rețea sub pretextul că sunt „de misiune critică”, ceea ce le scutește de orice control”, deplânge Cochran. Agențiile se pot, de asemenea, fuziona sau extinde, cu lacune în rețea și integrarea securității. „De-a lungul timpului, rețelele generale încep să semene cu ceva dintr-un film Mad Max, în care lucruri aleatorii sunt legate împreună și nu știi sigur de ce.”

BOD 23-02 va întoarce lucrurile?

În directiva sa, CISA a indicat că va începe să scaneze dispozitivele eligibile și să informeze agențiile vinovate. După notificare, agențiile care au infracțiune vor avea la dispoziție doar 14 zile fie pentru a deconecta aceste dispozitive de la Web, fie pentru a „implementa capabilități, ca parte a unei arhitecturi de încredere zero, care impun controlul accesului la interfață printr-un punct de aplicare a politicii separat de interfața însăși. .”

Acea perioadă de două săptămâni va forța agențiile relevante să acționeze rapid pentru a-și securiza sistemele. Dar asta ar putea fi dificil, recunoaște Motheram. „În teorie, eliminarea dispozitivelor care sunt expuse de pe Internet ar trebui să fie simplă, dar aceasta nu este întotdeauna realitatea. Poate exista o anumită birocrație cu care trebuie să faceți față atunci când schimbați politicile de acces care adaugă fricțiuni”, explică ea.

Alții cred că povara este necuvenită. „Acesta nu este o cronologie responsabilă”, spune Cochran. „Deoarece problema este atât de răspândită, mă aștept să existe un impact semnificativ asupra agențiilor identificate. Este același lucru cu a încerca să descâlciți o grămadă de fire tăind prin ele.”

Alții aplaudă abordarea simplă a CISA. „Este greu să găsești un calendar pentru a nu mai face ceea ce n-ar fi trebuit niciodată făcut”, spune Head, argumentând că 14 zile ar putea fi prea lung pentru a aștepta. „Cinci minute ar fi mai recomandabile, deoarece managerii au sarcina de a modifica rețeaua de corecție. A fost o practică standard să nu se expună interfețele de management la internetul public de ani de zile, astfel încât să fie obligatoriu este prudent și rezonabil.”

Timestamp-ul:

Mai mult de la Lectură întunecată