Almanya Federal Bilgi Güvenliği Dairesi (BSI), Golem'in haberine göre saldırganların SonicWall güvenlik duvarlarını hedef aldığı uyarısını yayımladı. Uç cihaz güvenliğini izleyenler için tanıdık bir başlık; aynı zamanda güvenlik duvarlarının neden kurumsal ağlardaki en değerli mevzilerden biri olmayı sürdürdüğünün hatırlatması.
Cazibe yapısaldır. Bir güvenlik duvarı ya da VPN yoğunlaştırıcısı tasarımı gereği internette durur, yüksek yetkilerle çalışır, yamalarda sık sık yıllar geride kalır — çünkü yeniden başlatmak herkesin erişimini keser — ve çoğu zaman kimsenin okumadığı bir konsola günlük yazar. Onu ele geçiren saldırgan zaten içeridedir: oltalama gerekmez, kandırılacak kullanıcı yoktur ve saklanacak meşru şifreli trafik vardır.
SonicWall'ın SSL-VPN ve güvenli mobil erişim cihazları yıllardır tekrar tekrar hedef alınıyor. Şirket geçmişte müşterileri derhal yama yapmaya ya da internete açık yönetim arayüzlerini ve kullanılmayan SSL-VPN hizmetlerini kapatmaya çağıran acil uyarılar yayımladı; bu çağrının sürekli yinelenmesi, mesajın her zaman doğru yöneticilere ulaşmadığını gösteriyor. Bu tür cihazlara yönelik kampanyalar benzer bir kalıp izler: açıkta kalan giriş portallarını kitlesel tarama, ürün yazılımı sürümlerinin parmak izini çıkarma, ardından bilinen bir açığın sömürülmesi ya da yeniden kullanılan, sızmış veya varsayılan parolalarla yapılan kimlik bilgisi saldırıları. Bir VPN mevzisinden içeri giren saldırganlar tipik olarak kimlik bilgilerini toplar, yanal hareket eder ve fidye yazılımı hazırlar.
Yöneticiler için pratik kontrol listesi yerleşik. Üretici yamalarını ve ürün yazılımı güncellemelerini bir sonraki bakım penceresine bırakmadan hemen uygulayın. Kesinlikle gerekli değilse internete açık SSL-VPN, SSH veya yönetim erişimini kapatın; kalanlara belirli IP adresleri ya da iç bir atlama sunucusu üzerinden izin verin. Çok faktörlü kimlik doğrulamayı zorunlu kılın ve yerel hesapları eski ya da paylaşılan kimlik bilgileri açısından denetleyin. Günlüklemeyi açın ve gerçekten inceleyin; üretici ile BSI'nin bu tür uyarılarla birlikte yayımladığı ihlal göstergelerini arayın; ağınızı bölümlere ayırın ki ele geçirilen bir cihaz etki alanı denetleyicisine giden bir yol olmasın; ve çevrimdışı yedekler tutun. İnternete açık her cihazın sürekli taranmakta olduğunu varsayın — çünkü taranıyor.
BSI'nin bu tür ürün uyarıları genellikle etkilenen modeller için somut önlem listeleriyle birlikte gelir ve SonicWall donanımı işleten yöneticiler bunları arka plan gürültüsü değil, yapılacaklar listesi olarak görmeli. Daha geniş ders ise üreticiler ve yıllar boyunca tekrarlanıyor: Saldırganları dışarıda tutmak için kenara koyduğumuz cihazlar, onların içeri girmek için en çok zorladığı cihazlardır.
