يُظهر FortiBleed كيف تصبح بيانات اعتماد Edge وقودًا للفدية

CISA StopRansomware guidance graphic مصدر الصورة: إرشادات CISA StopRansomware.

FortiBleed هو اسم مفيد لفئة فوضوية لكنها مهمة من المخاطر: أجهزة المحيط، الاعتمادات المسروقة، كلمات المرور المعاد استخدامها، كشف شبكات VPN، والوساطة في الوصول لبرمجيات الفدية، جميعها تتجمع حول نفس مستوى التحكم.

ذكرت التقارير الحديثة مجموعة كبيرة من بيانات اعتماد Fortinet و FortiGate تحتوي على عشرات الآلاف من إدخالات الجدار الناري أو الشبكة الخاصة الافتراضية (VPN). وذكر الباحث الأمني فولوديمير دياشينكو أنه عثر على أرشيف يحتوي على 73,932 عنوان URL لجدار ناري Fortinet أو FortiGate، وأسماء مستخدمين، وعناوين بريد إلكتروني، وكلمات مرور نصية صريحة. وأفادت ITPro أن شركة Hudson Rock وصفت الحادث باعتباره حملة أوسع تتضمن الهجمات بالقوة الغاشمة، وجمع هاشات مصادقة SSL VPN، والدخول اللاحق إلى بيئات Active Directory. وقد نفت Fortinet فكرة أن البيانات جاءت من اختراق منتج جديد، قائلة إن المواد تبدو عبارة عن مشاركة جديدة لبيانات قديمة وبيانات اعتماد تم اختراقها بالقوة الغاشمة، وليس من نصيحة Fortinet جديدة.

ذلك التمييز مهم، لكنه لا يجعل الخطر صغيراً. إذا كانت بيانات الاعتماد تعمل، فلا يهتم المهاجم سواء كانت ناتجة عن ثغرة جديدة، أو حادثة قديمة، أو إعادة استخدام كلمة المرور، أو تجزئة مخترقة.

هذه القصة مهمة لأنها تظهر كيف يصبح اختراق جهاز الحافة سلسلة إمداد للتسللات المستقبلية. بيانات اعتماد جدار حماية مسروقة ليست التأثير النهائي. إنها مخزون.

لماذا تعتبر الأجهزة الطرفية جذابة

تعتبر الجدران النارية، والشبكات الافتراضية الخاصة، والبوابات، وأجهزة الوصول عن بُعد أهدافًا ذات قيمة عالية لأنها تقع على المحيط وغالبًا ما تمتلك علاقات ثقة مميزة. إذا حصل المهاجمون على بيانات الاعتماد أو مواد الجلسة من هذه الأنظمة، فقد يكون بإمكانهم دخول البيئة من خلال نفس الأبواب التي يستخدمها المسؤولون الشرعيون.

تخلق الأجهزة الطرفية أيضاً تحديات تشغيلية. قد يكون من الصعب تصحيحها بسرعة، ومن الصعب مراقبتها بعمق، ومن الخطير إخراجها من الخدمة. في العديد من المؤسسات، يتم التعامل معها كبنية تحتية بدلاً من كونها نقاط نهاية، مما يعني أنها قد لا تحظى بنفس تغطية الكشف.

هناك عامل مزعج آخر: غالبًا ما تعمل الأجهزة الطرفية على ربط مجالات الهوية. قد يقوم جهاز VPN بالتحقق من Active Directory أو LDAP أو SAML أو حسابات المسؤول المحلية أو RADIUS أو مزودي الهوية السحابية. إذا تمكّن المهاجم من اختراق الجهاز أو بيانات اعتماد المسؤول الخاصة به، فإن الحادث الناتج قد يؤثر على أكثر من جهاز واحد. يمكن أن يكشف عن التكوين، المسارات، السياسات، مستخدمي VPN، الشهادات، الشبكات الموثوقة، وأحيانًا بيانات الاعتماد أو القيم المجزأة التي تمكّن من الانتقال الجانبي.

سرقة بيانات الاعتماد تغير الجدول الزمني

عندما يتم جمع بيانات الاعتماد على نطاق واسع، لا ينتهي الخطر عند الإبلاغ عن الحملة لأول مرة. يمكن بيع تلك البيانات، أو تداولها، أو اختبارها لاحقًا، أو استخدامها من قبل مجموعات مختلفة. لا يحتاج شركاء برامج الفدية إلى استغلال الثغرة الأصلية إذا تمكنوا من شراء وصول يعمل.

هذا يعني أن العلاج يحتاج إلى أن يشمل إبطال الاعتماد والجلسة، وليس فقط التصحيح.

خطأ المدافع هو التعامل مع هذا كأنه تذكرة لإدارة الثغرات الأمنية. التصحيح ضروري، ولكن بيانات الاعتماد المسروقة تبقى بعد التصحيح. حسابات المسؤول المحلي تبقى بعد التصحيح. المستخدمون الخلفيون يبقون بعد التصحيح. قد تبقى تعرضات SAML و LDAP و RADIUS و API وحسابات الخدمة بعد التصحيح. إذا تم الوصول إلى الجهاز، يجب أن يكون الرد على شكل تحقيق في الحادث.

ما الذي يجب التحقق منه أولاً

ابدأ بالأدلة التي تثبت ما إذا كان الجهاز قد تم كشفه فقط أو تم استخدامه فعليًا:

تسجيلات الدخول الناجحة والفاشلة عبر VPN بحسب الحساب، عنوان IP المصدر، الدولة، والوقت.
تسجيلات الدخول الإدارية إلى جدار الحماية أو وحدة التحكم في VPN.
تصدير التهيئات، تغييرات السياسات، المستخدمين المحليين الجدد، ومفاتيح API الجديدة.
تغييرات في الشبكات الموثوقة، خوادم المصادقة، التوجيه، NAT، أو التسجيل.
أحداث LDAP وRADIUS وSAML وActive Directory التي تتوافق مع تسجيلات دخول الأجهزة.
جلسات الوصول عن بُعد الجديدة من مناطق جغرافية غير مألوفة، أو أرقام ASNs، أو بروكسيات سكنية، أو مزودي استضافة.
الثغرات في السجلات التي توحي بالتلاعب أو التسجيل المحلي فقط.

إذا لم يقم الجهاز بتصدير كمية كافية من بيانات القياس عن بُعد إلى نظام إدارة معلومات الأحداث الأمنية (SIEM)، فافترض أن التحقيق يحتوي على نقطة عمياء. يجب إرسال سجلات الحافة خارج النطاق لأنه قد يتمكن المهاجم الذي لديه وصول إلى الجهاز من مسح الآثار المحلية.

ما الذي يجب أن يفعله المدافعون

يجب على المنظمات التي تستخدم Fortinet ومنصات الحافة المماثلة اعتماد نهج استجابة أوسع.

تصحيح الأجهزة المتأثرة والتأكد من سلامة البرامج الثابتة.
تدوير بيانات اعتماد المسؤول ورموز واجهة برمجة التطبيقات (API).
إلغاء الجلسات النشطة حيثما أمكن.
مراجعة تسجيلات الدخول عبر VPN، تسجيلات دخول المسؤول، تغييرات التكوين، والحسابات الجديدة.
تقييد واجهات الإدارة إلى الشبكات الموثوقة.
تصدير السجلات إلى نظام SIEM منفصل حتى لا يتمكن المخترقون من مسح الأدلة المحلية.
مراقبة الوصول لاحقًا من مواقع غير معتادة حتى بعد الإصلاح الأصلي.
مراجعة حسابات الخدمة المرتبطة بالجهاز، بما في ذلك حسابات ربط LDAP ودمج SAML.
تعطيل بوابات VPN غير المستخدمة، وأساليب المصادقة القديمة، والحسابات المحلية.
المطالبة بالمصادقة متعددة العوامل المقاومة للتصيد الاحتيالي للمسؤولين والوصول عن بُعد عالي المخاطر.
إعادة بناء أو إعادة تثبيت الأجهزة عند احتمال حدوث اختراق وثقة الأدلة الجنائية منخفضة.

الدرس الاستراتيجي

تستفيد مجموعات برامج الفدية بشكل متزايد من سوق الوصول. أحد الفاعلين يسرق بيانات الاعتماد. آخر يتحقق منها. آخر يبيعها. يستخدم تابع لبرامج الفدية هذه البيانات. يعاني الضحية من ذلك باعتباره خرقًا واحدًا، لكن سير العمل الإجرامي قد يشمل عدة تناقلات.

لهذا السبب لم يعد من الممكن النظر إلى أمان المحيط على أنه مجرد تحكم يتم ضبطه وتركه. تحتاج أنظمة الحواف إلى إدارة الثغرات، ونظافة الهوية، والتسجيل، والاستجابة للحوادث بنفس القدر من الأهمية.

الخط النهائي

FortiBleed ليست فقط قصة فورتينت. إنها قصة حول المحيط والهوية. يجب على أي منظمة تستخدم الشبكات الافتراضية الخاصة (VPN) أو الجدران النارية أو بوابات الويب الآمنة أو أجهزة الوصول عن بُعد أو أنظمة الحافة المتصلة بالهوية أن تفترض أن تلك المنصات هي أهداف رئيسية لجمع بيانات الاعتماد وإعادة بيع الوصول.

إذا تسربت بيانات اعتماد الحافة، فالسؤال ليس «هل قمنا بالتحديث؟» بل السؤال هو «ما الذي يمكن أن تصل إليه تلك البيانات، وما الذي تغير أثناء صلاحيتها، وما الوصول الذي أنشأته لاحقًا؟»