Uç Nokta Güvenliği , Yönetişim ve Risk Yönetimi , Devlet
Siber Güvenlik Yetkilileri, En Çok Yararlanan Bu 12 Kusuru Düzelttiğinizden Emin Olun
Mathew J. Schwartz (euroinfosec) •
4 Ağustos 2023
Fortinet SSL VPN’lerdeki beş yıllık bir güvenlik açığı, tekrarlanan yama uyarılarına rağmen, kurumsal ağlarda en çok kullanılan güvenlik açıklarından biri olmaya devam ediyor.
Ayrıca bakınız: İsteğe Bağlı | Gelişmiş Uç Nokta Stratejileri Sayesinde Sıfır Güven Hedeflerinize Nasıl Ulaşabilirsiniz?
ABD’deki siber güvenlik yetkilileri ve Five Eyes istihbarat ittifakı ortakları, 2022’de “kötü niyetli aktörler tarafından en sık ve rutin olarak kullanılan” en yaygın 12 güvenlik açığını ve açığa çıkma durumunu ayrıntılarıyla açıklayan yeni bir ortak güvenlik danışmanlığında böyle söylüyor.
Avustralya, Kanada, Yeni Zelanda, Birleşik Krallık ve ABD’den gelen danışma belgesi ayrıca, saldırganların kuruluşları tehlikeye atmak için sıklıkla kullandıkları 30 güvenlik açığının yanı sıra güvenlik açıklarının Ortak Zayıflık Sayımı veya CWE’yi detaylandırıyor ve 600’den fazla türden bir ansiklopediye atıfta bulunuyor. yazılım zayıflıkları.
2022 için ayrıntıları verilen en önemli 12 güvenlik açığından dördü Microsoft yazılımı, ikisi VMware yazılımı, ikisi Atlassian yazılımı ve biri F5 Networks ve Zoho ManageEngine ile ilgili. Ayrıca, Apache tarafından sağlanan açık kaynaklı günlük kaydı yardımcı programı Log4j’deki bir güvenlik açığı olan Log4Shell’i de içerir.
Avustralya Siber Güvenlik Merkezi başkanı Abigail Bradshaw, “Her kuruluş bu listeyi sistemlerine yama yapmak ve güvenlik açığı yönetimi stratejilerine rehberlik etmek için kullanmalı” dedi.
Yetkililer, özellikle bu kusurları yamalamayarak, ağ savunucularının, düşmanca hükümetler, siber suçlular, kendini bilgisayar korsanı ilan eden veya fesat çıkarmaya niyetli başka herhangi biri tarafından desteklenen gelişmiş kalıcı tehdit grupları olsun, saldırganların hayatını kolaylaştırdığı konusunda uyarıyorlar.
ABD Ulusal Güvenlik Teşkilatı Siber Güvenlik Müdürlüğü teknik direktörü Neal Ziring, “Kuruluşlar yama uygulanmamış yazılım ve sistemler kullanmaya devam ederek siber aktörlerin hedef alması için kolayca keşfedilen açıklıklar bırakıyor” dedi. “Daha eski güvenlik açıkları, bu aktörlerin hassas verilere erişmesi için düşük maliyetli ve yüksek etkili araçlar sağlayabilir.”
Güvenlik Açığı Yönetimi Zorlukları
Uzmanlar, kuruluşların bir kuruluşta kullanılan tüm yazılımları doğru bir şekilde tanımlayabilen, bunu yazılımdaki bilinen güvenlik açıkları ve oluşturabilecekleri gerçek riskle çapraz endeksleyebilen ve yama önceliklendirmelerini buna göre ayarlayabilen güvenlik açığı yönetimi programları çalıştırması gerektiğini söylüyor. Bu tür programların, hâlihazırda kullanılmakta olan ancak henüz yama bulunmayan sıfırıncı gün güvenlik açıklarını da hesaba katması ve bunları başka yollarla hafifletmeye çalışması gerekir.
Yama kullanılabilirliği ile tamamen yamalı yazılım çalıştıran kuruluşlar arasındaki kopukluk, bu disiplinin ne kadar zorlu olmaya devam ettiğini vurgulamaktadır (bkz.: Güvenlik Açıklarında On Yıl ve Neden Devam Ediyorlar?).
CVE-2018-13379 olarak adlandırılan Fortinet SSL VPN kusurunu ele alalım. Araştırmacıların istismar edilmesinin kolay olduğunu söylediği yol geçişi kusuru Temmuz 2018’de keşfedildi ve Fortinet tarafından Mayıs 2019’da yamalandı. Saldırganlar bunu hedefleyip başarılı bir şekilde istismar etmeye devam etti ve NSA’nın 2019’da o zamanlar nadir görülen bir genel uyarı yayınlamasına yol açtı. yazılıma yama yapın. Aynı yıl uzmanlar, Çin ulus devlet bilgisayar korsanları tarafından istismar edildiği konusunda uyardı ve 2020’de fidye yazılımı kullanan saldırganlar mücadeleye katıldı. Bu güvenlik açığı, Five Eyes ortakları tarafından yayınlanan her yıllık en önemli tehditler listesinde de yer aldı.
Bu nedenle, Fortinet’in açığı düzeltmek için SSL VPN cihazlarına bir yama göndermesinden dört yıldan uzun bir süre sonra, güvenlik açığından yararlanmak, saldırganların birçok şirket ağına erişmesi için güvenilir bir taktik olmaya devam ediyor. Danışma belgesi, “Devam eden istismar, birçok kuruluşun yazılımları zamanında yamalayamadığını ve kötü niyetli siber aktörlere karşı savunmasız kaldığını gösteriyor” diyor.
Yetkililer ayrıca, yazılım geliştiricileri yalnızca kusurları hızlı bir şekilde belirlemeye ve güvenlik düzeltmeleri yapmaya değil, aynı zamanda yazılımlarında daha az hata oluşmasını sağlayacak şekilde daha güvenli tasarım geliştirme uygulamaları yapmaya teşvik etmek için ortak danışma belgesini kullanıyor.
ABD Siber Güvenlik ve Altyapı Güvenliği Teşkilatında siber güvenlikten sorumlu müdür yardımcısı Eric Goldstein, “her teknoloji sağlayıcısı, tasarım gereği bu güvenlik açıklarının yaygınlığını azaltarak müşterilerinin güvenlik sonuçları için sorumluluk almalıdır” dedi.
2022’de En Çok Kullanılan 12 Güvenlik Açıkları
Kaynak: Five Eyes ortak danışmanlığı