Nedelja u kojoj su na udaru bili uređaji na ivici mreže, i šta iz toga treba da izvuče mala firma

U jednoj nedelji stigla su upozorenja za pet različitih proizvoda: kritičan propust u MikroTik RouterOS-u, peti ovogodišnji aktivno zloupotrebljeni propust u Cisco SD-WAN-u, dve ranjivosti u Citrix NetScaleru koje su napadane nedeljama pre zakrpe, petnaest zakrpa za WatchGuard Fireware i napadi na Zimbra servere pošte. Lako je to pročitati kao pet odvojenih vesti. Korisnije je pročitati ih kao jednu.

Zajednički imenilac

Svaki od ovih propusta nalazi se u delu sistema koji je po prirodi posla okrenut ka internetu: veb interfejs za upravljanje ruterom, API za upravljanje mrežom, VPN prolaz, server pošte. U većini slučajeva napadaču nije potrebna lozinka. Kod MikroTika je dovoljan jedan zahtev, kod Cisca posebno kodirana adresa, kod Zimbre jedna poruka.

To nisu egzotični napadi na nepoznate proizvode. To je oprema kakva stoji u ormarima mnogih firmi, i baš zato se napadačima isplati da u nju ulažu.

Vreme do napada se meri danima

Zakrpa za Zimbru izašla je 20. jula. Microsoft navodi da su alati koji traže ranjive servere krenuli da pretražuju internet 28. jula, dakle osam dana kasnije. Kod NetScalera je bilo još gore: prema Mandiantu, napadi su trajali bar od početka septembra, a zakrpa je stigla tek krajem meseca. Holandski centar za sajber bezbednost je, prema izveštajima, u međuvremenu savetovao organizacijama da uređaje jednostavno isključe.

Za firmu koja zakrpe instalira „kad bude vremena“, to znači da je prozor u kome je bezbedna praktično zatvoren. Mesečni ritam je dovoljan za radne stanice. Za uređaje na ivici mreže nije.

Zakrpa ne poništava upad

Analiza napada na NetScaler pokazuje šta se dešava posle uspešnog upada: napadač pravi sopstveni administratorski nalog, pakuje celu konfiguraciju uređaja i šalje je na svoj server, pa briše tragove. Ko posle toga samo instalira zakrpu, zatvorio je vrata, ali je ključ već iznet. Lozinke, sertifikati i VPN podešavanja iz te konfiguracije moraju se smatrati kompromitovanim.

Šta iz ovoga sledi

• Napraviti spisak svega što je vidljivo sa interneta: ruteri, zaštitni zidovi, VPN, pošta, alati za daljinski pristup. Ono čega nema na spisku, niko ne zakrpi.
• Interfejse za upravljanje skloniti sa interneta. Ruteru se pristupa iz interne mreže ili preko VPN-a, nikada direktno.
• Za uređaje na ivici mreže uvesti poseban, kraći rok za zakrpe: dani, ne nedelje.
• Posle svake kritične zakrpe proveriti i tragove upada: nepoznate naloge, izmene konfiguracije, neobične odlazne veze.
• Pratiti upozorenja proizvođača čiju opremu imate. Jedan sat nedeljno je jeftiniji od jednog incidenta.

Nijedna od ovih mera nije skupa niti zahteva novu opremu. Zahteva da neko u firmi, ili neko ko firmu održava, ima ovo kao redovan posao, a ne kao reakciju na vest.