กระแสที่ไม่หยุดยั้ง: เมื่อช่องโหว่ของบุคคลที่สามกลายเป็นการโจมตีแบบ Zero-Day

ภูมิทัศน์ความมั่นคงทางไซเบอร์คือสมรภูมิรบที่ไม่หยุดยั้ง และสิ่งที่เป็นประเด็นซ้ำๆ ในช่วงไม่กี่ปีที่ผ่านมาคือการโจมตีช่องโหว่ในไลบรารีของบุคคลที่สามและซอฟต์แวร์ที่ใช้กันอย่างแพร่หลายอย่างรวดเร็ว สิ่งเหล่านี้ไม่ใช่เพียงความเสี่ยงทางทฤษฎีเท่านั้น แต่เป็นข้อบกพร่องที่สำคัญที่ถูกใช้เป็นอาวุธอย่างจริงจังในวงกว้าง บ่อยครั้งก่อนที่องค์กรจะมีโอกาสแก้ไข

รูปแบบนี้ต้องการความสนใจจาก CISO และวิศวกรความปลอดภัยในทันที ความเร็วที่ช่องโหว่เหล่านี้เปลี่ยนจากการเปิดเผยไปสู่การโจมตีอย่างจริงจังเน้นย้ำถึงช่องว่างเชิงระบบในการป้องกันเชิงรุกและความสามารถในการตอบสนองต่อเหตุการณ์

เกิดอะไรขึ้น

ในช่วงหลายเดือนที่ผ่านมา มีเหตุการณ์ที่มีชื่อเสียงหลายครั้งที่ช่องโหว่ร้ายแรงในส่วนประกอบซอฟต์แวร์ที่ใช้กันอย่างแพร่หลายถูกโจมตีอย่างรวดเร็ว สิ่งเหล่านี้ไม่ใช่เหตุการณ์ที่แยกตัว แต่เป็นรูปแบบที่ชัดเจนของแฮกเกอร์ที่ใช้ประโยชน์จากจุดอ่อนที่ทราบเพื่อสร้างผลกระทบที่สำคัญ

กรณีหนึ่งเกี่ยวข้องกับช่องโหว่ Zero-day ที่ร้ายแรงในผลิตภัณฑ์การจัดการความปลอดภัยที่ใช้กันอย่างแพร่หลาย ข้อบกพร่องในการข้ามการตรวจสอบสิทธิ์นี้ทำให้แฮกเกอร์สามารถรับโทเค็นการเข้าสู่ระบบแอปพลิเคชัน ซึ่งต่อมาได้ให้สิทธิ์ผู้ดูแลระบบเต็มรูปแบบผ่านคอนโซลการจัดการ ผู้จำหน่ายยืนยันการโจมตีอย่างจริงจัง ซึ่งส่งผลกระทบต่อองค์กรที่มีสภาพแวดล้อมการจัดการที่เปิดเผยต่ออินเทอร์เน็ตโดยไม่มีข้อจำกัด IP ความรุนแรงของข้อบกพร่องนี้ทำให้หน่วยงานความมั่นคงทางไซเบอร์ที่มีชื่อเสียงเพิ่มเข้าไปในแคตตาล็อก Known Exploited Vulnerabilities (KEV) โดยกำหนดให้หน่วยงานของรัฐบาลกลางต้องแก้ไขอย่างรวดเร็ว

อีกเหตุการณ์สำคัญหนึ่งเกี่ยวข้องกับชุดช่องโหว่ที่ส่งผลกระทบต่อระบบจัดการเนื้อหายอดนิยม ข้อบกพร่องเหล่านี้ ซึ่งเป็น SQL injection ที่มีความรุนแรงสูงและการเรียกใช้โค้ดตามอำเภอใจที่สำคัญตามลำดับ สามารถเชื่อมโยงกันได้ การเชื่อมโยงนี้ทำให้สามารถเรียกใช้โค้ดจากระยะไกลโดยไม่ได้รับอนุญาต (RCE) บนเว็บไซต์ที่ได้รับผลกระทบ แม้กระทั่งในการติดตั้งมาตรฐานที่ไม่มีปลั๊กอิน การโจมตีเริ่มต้นขึ้นไม่นานหลังจากที่ช่องโหว่ปรากฏขึ้น ทำให้ผู้จำหน่ายต้องเปิดใช้งานการอัปเดตแบบบังคับ และผู้ให้บริการ CDN รายใหญ่ต้องปรับใช้กฎการป้องกัน

ในทำนองเดียวกัน ช่องโหว่ก่อนการตรวจสอบสิทธิ์ที่สำคัญในแพลตฟอร์ม AI ขององค์กรก็ถูกโจมตีในวงกว้างเช่นกัน ข้อบกพร่องในการฉีดโค้ดนี้ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถหลบหนีจากแซนด์บ็อกซ์สคริปต์ของแพลตฟอร์มและเรียกใช้โค้ดจากระยะไกล ซึ่งนำไปสู่การประนีประนอมอินสแตนซ์และพร็อกซีเซิร์ฟเวอร์ที่เชื่อมต่อได้อย่างสมบูรณ์ แม้ว่าจะถือว่ามีความซับซ้อนสูงในการโจมตี แต่ลักษณะก่อนการตรวจสอบสิทธิ์ทำให้เป็นเป้าหมายหลัก

แม้แต่เซิร์ฟเวอร์การทำงานร่วมกันที่ใช้กันอย่างแพร่หลายก็ไม่สามารถหลีกเลี่ยงได้ โดยมีช่องโหว่ Zero-day ที่รุนแรงถูกโจมตีอย่างจริงจัง เหตุการณ์เหล่านี้รวมกันแสดงให้เห็นภาพที่ชัดเจน: ซอฟต์แวร์ที่ใช้กันอย่างแพร่หลายและส่วนประกอบโครงสร้างพื้นฐานที่สำคัญอยู่ภายใต้การตรวจสอบอย่างต่อเนื่องโดยผู้คุกคาม และข้อบกพร่องที่ค้นพบใหม่ใดๆ สามารถกลายเป็นภัยคุกคามที่มีชีวิตได้อย่างรวดเร็ว

ทำไมรูปแบบนี้จึงเกิดขึ้นซ้ำๆ

ลักษณะวงจรของการโจมตีเหล่านี้เกิดจากปัจจัยพื้นฐานหลายประการ การใช้ไลบรารีของบุคคลที่สามและส่วนประกอบโอเพนซอร์สที่แพร่หลายหมายความว่าช่องโหว่เดียวสามารถแพร่กระจายไปยังแอปพลิเคชันและระบบนับไม่ถ้วน ห่วงโซ่อุปทานดิจิทัลมีขนาดใหญ่และซับซ้อน ทำให้การจัดการช่องโหว่ที่ครอบคลุมเป็นงานที่ใหญ่โต

นอกจากนี้ ความเร็วของการเปิดเผยมักจะเร็วกว่าความเร็วของการแก้ไข นักวิจัยระบุและเปิดเผยช่องโหว่ บางครั้งพร้อมกับ Proof-of-Concept (PoC) ซึ่งจะกลายเป็นพิมพ์เขียวทันทีสำหรับผู้โจมตี ระยะเวลาระหว่างการเปิดเผยต่อสาธารณะและการโจมตีในวงกว้างกำลังหดตัวลง บ่อยครั้งวัดเป็นชั่วโมงหรือวัน มากกว่าสัปดาห์

ความซับซ้อนโดยธรรมชาติของห่วงโซ่อุปทานดิจิทัล ควบคู่ไปกับการใช้อาวุธอย่างรวดเร็วของช่องโหว่ที่เปิดเผยใหม่ สร้างความท้าทายที่ต่อเนื่องและสำคัญสำหรับความปลอดภัยขององค์กร

แผนการเล่นของแฮกเกอร์ทีละขั้นตอน

ผู้โจมตีที่ใช้ช่องโหว่เหล่านี้มักจะปฏิบัติตามแผนการเล่นที่คาดเดาได้ แต่มีประสิทธิภาพสูง:

1. การระบุช่องโหว่: ผู้คุกคามจะตรวจสอบคำแนะนำด้านความปลอดภัย โปรแกรม Bug Bounty และบล็อกการวิจัยสำหรับช่องโหว่ที่เปิดเผยใหม่ โดยเฉพาะอย่างยิ่งช่องโหว่ที่มีคะแนน CVSS สูงหรือความสามารถ RCE ก่อนการตรวจสอบสิทธิ์
2. การพัฒนา/การได้มาซึ่ง PoC: เมื่อระบุช่องโหว่แล้ว ผู้โจมตีจะพัฒนา PoC ของตนเองหรือใช้ PoC ที่มีให้สาธารณะ ในกรณีของช่องโหว่ของระบบจัดการเนื้อหา PoC ได้รับการเผยแพร่อย่างรวดเร็วหลังจากการเปิดเผย
3. การสอดแนมและการสแกนเป้าหมาย: เครื่องมืออัตโนมัติจะถูกใช้เพื่อสแกนอินเทอร์เน็ตเพื่อหาอินสแตนซ์ที่อ่อนแอของซอฟต์แวร์เป้าหมาย ซึ่งอาจเกี่ยวข้องกับการค้นหาเวอร์ชันผลิตภัณฑ์เฉพาะ พอร์ตที่เปิดเผย หรือแบนเนอร์ที่ไม่ซ้ำกัน
4. การเข้าถึงเบื้องต้น: การโจมตีช่องโหว่ที่ระบุเพื่อเข้าถึงเบื้องต้น สำหรับผลิตภัณฑ์การจัดการความปลอดภัย นี่หมายถึงการรับโทเค็นการเข้าสู่ระบบแอปพลิเคชัน สำหรับระบบจัดการเนื้อหาและแพลตฟอร์ม AI ขององค์กร นี่เกี่ยวข้องกับการบรรลุ RCE ที่ไม่ได้รับการตรวจสอบสิทธิ์
5. การยกระดับสิทธิ์และการคงอยู่: เมื่อเข้าถึงเบื้องต้นได้แล้ว ผู้โจมตีมักจะพยายามยกระดับสิทธิ์ (เช่น ไปยังสิทธิ์ผู้ดูแลระบบตามที่เห็นในช่องโหว่ของผลิตภัณฑ์การจัดการความปลอดภัย) และสร้างกลไกการเข้าถึงที่คงอยู่เพื่อรักษาการควบคุมแม้ว่าเวกเตอร์การโจมตีเริ่มต้นจะได้รับการแก้ไขแล้ว
6. การเคลื่อนที่ด้านข้างและการบรรลุวัตถุประสงค์: ด้วยการเข้าถึงที่คงอยู่ ผู้โจมตีจะเคลื่อนที่ด้านข้างภายในเครือข่ายเพื่อบรรลุวัตถุประสงค์สูงสุด ไม่ว่าจะเป็นการขโมยข้อมูล การปรับใช้แรนซัมแวร์ หรือการประนีประนอมเครือข่ายเพิ่มเติม

สิ่งที่ผู้ป้องกันพลาดไป

ในหลายกรณี ผู้ป้องกันมักจะพลาดโอกาสสำคัญในการแทรกแซงอย่างทันท่วงที การละเลยหลักคือการขาดการสำรวจทรัพย์สินที่ครอบคลุมและต่อเนื่อง โดยเฉพาะอย่างยิ่งสำหรับระบบที่เปิดเผยต่ออินเทอร์เน็ต หากองค์กรไม่ทราบอย่างแม่นยำว่าซอฟต์แวร์เวอร์ชันใดกำลังทำงานอยู่ที่ไหน การแก้ไขจะกลายเป็นการแก้ไขแบบปฏิกิริยาแทนที่จะเป็นการป้องกันเชิงรุก

ช่องว่างสำคัญอีกประการหนึ่งคือความล่าช้าในการใช้แพตช์และการอัปเดต แม้ว่าผู้จำหน่ายจะออกการแก้ไขแล้ว แต่ภาระการดำเนินงาน ข้อกำหนดการทดสอบ และความกลัวที่จะทำให้ระบบการผลิตหยุดชะงักมักนำไปสู่ความล่าช้าอย่างมาก การอัปเดตแบบบังคับของระบบจัดการเนื้อหาเน้นย้ำถึงความรุนแรงของปัญหานี้และความจำเป็นในการปรับใช้ที่รวดเร็ว

นอกจากนี้ ท่าทีด้านความปลอดภัยแบบปฏิกิริยา ซึ่งอาศัยเพียงการป้องกันขอบเขตและการตรวจจับตามลายเซ็น มักจะล้มเหลวในการโจมตีแบบ Zero-day หรือ N-day เมื่อช่องโหว่ 'ถูกโจมตีในวงกว้าง' การป้องกันแบบดั้งเดิมอาจกำลังตามไม่ทัน

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

เพื่อลดความเสี่ยงจากการตกเป็นเหยื่อของรูปแบบเหตุการณ์ที่แพร่หลายเหล่านี้ CISO และวิศวกรความปลอดภัยควรใช้กลยุทธ์การป้องกันเชิงรุกแบบหลายชั้น:

• รักษาบัญชีทรัพย์สินที่ถูกต้อง: ค้นหาและจัดทำรายการทรัพย์สินที่เปิดเผยต่ออินเทอร์เน็ตทั้งหมดและส่วนประกอบซอฟต์แวร์ รวมถึงเวอร์ชันของไลบรารีของบุคคลที่สามอย่างต่อเนื่อง
• จัดลำดับความสำคัญของการจัดการแพตช์: ใช้โปรแกรมการจัดการแพตช์ที่แข็งแกร่งพร้อม SLA ที่ชัดเจนสำหรับช่องโหว่ที่สำคัญ โดยใช้การแพตช์อัตโนมัติหากเป็นไปได้ ตรวจสอบว่าเปิดใช้งานการอัปเดตแบบบังคับสำหรับระบบที่มีอยู่
• แยกอินเทอร์เฟซการจัดการ: จำกัดการเปิดเผยอินเทอร์เน็ตโดยตรงสำหรับอินเทอร์เฟซการจัดการที่สำคัญ (เช่น คอนโซลการจัดการความปลอดภัย) ผ่านข้อจำกัด IP, VPN หรือกล่องกระโดดเฉพาะ
• ใช้การแบ่งส่วนเครือข่าย: แบ่งส่วนเครือข่ายเพื่อจำกัดการเคลื่อนที่ด้านข้าง แม้ว่าผู้โจมตีจะเข้าถึงเบื้องต้นผ่านช่องโหว่ที่เปิดเผยแล้วก็ตาม
• ปรับใช้ Web Application Firewalls (WAFs): ใช้ WAFs พร้อมชุดกฎที่อัปเดต เช่นที่ผู้ให้บริการ CDN รายใหญ่เปิดตัวสำหรับช่องโหว่ของระบบจัดการเนื้อหา เพื่อตรวจจับและบล็อกความพยายามในการโจมตีที่ขอบ
• ดำเนินการสแกนช่องโหว่และการทดสอบการเจาะระบบอย่างสม่ำเสมอ: ระบุช่องโหว่เชิงรุกก่อนที่ผู้โจมตีจะทำ มุ่งเน้นไปที่ทั้ง CVE ที่ทราบและข้อบกพร่องด้านตรรกะ
• ตรวจสอบหา IoCs: ตรวจสอบหา Indicators of Compromise (IoCs) ที่ผู้จำหน่ายและฟีดภัยคุกคามให้มาอย่างกระตือรือร้นเพื่อตรวจจับความพยายามในการโจมตีที่กำลังดำเนินอยู่

การทดสอบเชิงรุกสมัยใหม่จะตรวจจับสิ่งนี้ได้อย่างไร

การสแกนช่องโหว่และการทดสอบการเจาะระบบแบบดั้งเดิมมักมีข้อจำกัด โดยเฉพาะอย่างยิ่งเมื่อต้องรับมือกับช่องโหว่ที่ซับซ้อนและเชื่อมโยงกัน หรือช่องโหว่ที่ไม่มีลายเซ็นที่พร้อมใช้งาน นี่คือจุดที่การทดสอบเชิงรุกสมัยใหม่ โดยเฉพาะอย่างยิ่งแนวทางอัตโนมัติ มีคุณค่าอย่างยิ่ง

แพลตฟอร์มของเรา ด้วยความสามารถในการทดสอบเชิงรุกอัตโนมัติ ได้รับการออกแบบมาเพื่อระบุและตรวจสอบช่องโหว่ที่สามารถโจมตีได้เหล่านี้เชิงรุก ด้วยการสร้าง Proof-of-Concepts (PoCs) ที่สามารถดำเนินการได้และจำลองเทคนิคของผู้โจมตีในโลกแห่งความเป็นจริง แพลตฟอร์มดังกล่าวสามารถระบุการข้ามการตรวจสอบสิทธิ์ในผลิตภัณฑ์การจัดการความปลอดภัย, RCE ที่เชื่อมโยงกันในระบบจัดการเนื้อหา หรือการฉีดโค้ดก่อนการตรวจสอบสิทธิ์ในแพลตฟอร์ม AI ขององค์กร ก่อน การโจมตีอย่างจริงจัง มันก้าวข้ามการประเมินความเสี่ยงทางทฤษฎีเพื่อแสดงให้เห็นถึงความสามารถในการโจมตีจริง โดยให้หลักฐานที่เป็นรูปธรรมและคำแนะนำในการแก้ไข

แนวทางอัตโนมัติที่ต่อเนื่องนี้ช่วยให้องค์กรเปลี่ยนจากการแก้ไขแบบปฏิกิริยาไปสู่ท่าที 'สันนิษฐานว่าถูกละเมิด' เชิงรุก เสริมสร้างการป้องกันจากการคุกคาม N-day และ Zero-day ที่ซับซ้อน ให้ข้อมูลเชิงประจักษ์ที่จำเป็นในการจัดลำดับความสำคัญของการแก้ไขอย่างมีประสิทธิภาพ

สิ่งที่ต้องจับตาดูต่อไป

แนวโน้มของการโจมตีซอฟต์แวร์ของบุคคลที่สามและซอฟต์แวร์พื้นฐานอย่างรวดเร็วไม่มีทีท่าว่าจะลดลง CISO และวิศวกรความปลอดภัยต้องระมัดระวังอย่างต่อเนื่อง

คาดว่าจะเห็นผู้คุกคามยังคงมุ่งเน้นไปที่ RCE ก่อนการตรวจสอบสิทธิ์ การข้ามการตรวจสอบสิทธิ์ และการโจมตีแบบเชื่อมโยงที่ใช้ประโยชน์จากข้อบกพร่องเล็กๆ น้อยๆ หลายอย่างเพื่อสร้างผลกระทบสูงสุด การเชื่อมโยงกันที่เพิ่มขึ้นของระบบและการพึ่งพาห่วงโซ่อุปทานซอฟต์แวร์ที่ซับซ้อนหมายความว่าพื้นผิวการโจมตีจะยังคงเติบโตต่อไป การลงทุนในเครื่องมือรักษาความปลอดภัยเชิงรุกอย่างต่อเนื่องและการส่งเสริมวัฒนธรรมของการตอบสนองอย่างรวดเร็วต่อภัยคุกคามที่เกิดขึ้นใหม่จะเป็นสิ่งสำคัญยิ่งในการรักษาท่าทีความปลอดภัยที่ยืดหยุ่น