Làn Sóng Không Ngừng: Khi Các Lỗ Hổng Bên Thứ Ba Trở Thành Khai Thác Zero-Day

Bối cảnh an ninh mạng là một chiến trường không ngừng nghỉ, và một mô-típ lặp đi lặp lại trong những năm gần đây là việc khai thác nhanh chóng các lỗ hổng trong thư viện bên thứ ba và phần mềm được sử dụng rộng rãi. Đây không chỉ là những rủi ro lý thuyết; chúng là những lỗ hổng nghiêm trọng được vũ khí hóa tích cực trong thực tế, thường là trước khi các tổ chức có cơ hội vá lỗi.

Kiểu mẫu này đòi hỏi sự chú ý ngay lập tức từ các CISO và kỹ sư bảo mật. Tốc độ mà các lỗ hổng này chuyển từ tiết lộ sang khai thác tích cực cho thấy một khoảng cách hệ thống trong khả năng phòng thủ chủ động và ứng phó sự cố.

Điều gì đã xảy ra

Những tháng gần đây đã chứng kiến một loạt các sự cố nổi bật khi các lỗ hổng nghiêm trọng trong các thành phần phần mềm được sử dụng rộng rãi bị khai thác nhanh chóng. Đây không phải là những sự kiện riêng lẻ mà là một mô hình rõ ràng của việc kẻ tấn công lợi dụng những điểm yếu đã biết để gây ra tác động đáng kể.

Một trường hợp như vậy liên quan đến một lỗ hổng zero-day nghiêm trọng trong một sản phẩm quản lý bảo mật được sử dụng rộng rãi. Lỗ hổng bỏ qua xác thực này cho phép kẻ tấn công lấy được mã thông báo đăng nhập ứng dụng, sau đó cấp cho chúng toàn bộ đặc quyền quản trị thông qua một bảng điều khiển quản lý. Nhà cung cấp đã xác nhận việc khai thác tích cực, ảnh hưởng đến các tổ chức có môi trường quản lý tiếp xúc với internet mà không có hạn chế IP. Mức độ nghiêm trọng của lỗ hổng này đã khiến một cơ quan an ninh mạng nổi tiếng bổ sung nó vào danh mục Các Lỗ hổng Đã Bị Khai thác (KEV) của mình, yêu cầu các cơ quan liên bang phải khắc phục nó nhanh chóng.

Một sự cố quan trọng khác liên quan đến một bộ lỗ hổng ảnh hưởng đến một hệ thống quản lý nội dung phổ biến. Những lỗ hổng này, một lỗ hổng SQL injection nghiêm trọng cao và một lỗ hổng thực thi mã tùy ý nghiêm trọng tương ứng, có thể được xâu chuỗi lại với nhau. Việc xâu chuỗi này cho phép thực thi mã từ xa (RCE) không cần xác thực trên các trang web bị ảnh hưởng, ngay cả trên các cài đặt gốc không có plugin. Các cuộc tấn công bắt đầu ngay sau khi các lỗ hổng được công khai, thúc đẩy nhà cung cấp kích hoạt cập nhật bắt buộc và một nhà cung cấp CDN lớn triển khai các quy tắc bảo vệ.

Tương tự, một lỗ hổng nghiêm trọng trước xác thực trong một nền tảng AI doanh nghiệp cũng bị khai thác trong thực tế. Lỗ hổng chèn mã này cho phép kẻ tấn công không được xác thực thoát khỏi sandbox script của nền tảng và thực thi mã từ xa, dẫn đến khả năng thỏa hiệp hoàn toàn các phiên bản và máy chủ proxy được kết nối. Mặc dù được coi là có độ phức tạp cao để khai thác, bản chất trước xác thực của nó đã khiến nó trở thành mục tiêu chính.

Ngay cả một máy chủ cộng tác được sử dụng rộng rãi cũng không miễn nhiễm, với một lỗ hổng zero-day nghiêm trọng bị khai thác tích cực. Những sự cố này cùng nhau vẽ nên một bức tranh rõ ràng: phần mềm được sử dụng rộng rãi và các thành phần cơ sở hạ tầng quan trọng đang bị các tác nhân đe dọa giám sát liên tục, và bất kỳ lỗ hổng mới được phát hiện nào cũng có thể nhanh chóng trở thành mối đe dọa thực sự.

Tại sao kiểu mẫu này cứ lặp lại

Bản chất tuần hoàn của những khai thác này bắt nguồn từ một số yếu tố cơ bản. Việc sử dụng phổ biến các thư viện bên thứ ba và các thành phần mã nguồn mở có nghĩa là một lỗ hổng duy nhất có thể lan truyền qua vô số ứng dụng và hệ thống. Chuỗi cung ứng kỹ thuật số rộng lớn và phức tạp, khiến việc quản lý lỗ hổng toàn diện trở thành một nhiệm vụ khổng lồ.

Hơn nữa, tốc độ tiết lộ thường vượt quá tốc độ vá lỗi. Các nhà nghiên cứu xác định và tiết lộ lỗ hổng, đôi khi với các khai thác bằng chứng khái niệm (PoC), sau đó trở thành bản thiết kế ngay lập tức cho kẻ tấn công. Khoảng thời gian giữa tiết lộ công khai và khai thác rộng rãi đang thu hẹp, thường được tính bằng giờ hoặc ngày thay vì tuần.

Sự phức tạp vốn có của chuỗi cung ứng kỹ thuật số, cùng với việc vũ khí hóa nhanh chóng các lỗ hổng mới được tiết lộ, tạo ra một thách thức dai dẳng và nghiêm trọng đối với an ninh doanh nghiệp.

Kịch bản của kẻ tấn công từng bước

Những kẻ tấn công lợi dụng các lỗ hổng này thường tuân theo một kịch bản có thể dự đoán được, nhưng lại rất hiệu quả:

1. Xác định lỗ hổng: Các tác nhân đe dọa theo dõi các khuyến cáo bảo mật, chương trình tiền thưởng lỗi và blog nghiên cứu để tìm các lỗ hổng mới được tiết lộ, đặc biệt là những lỗ hổng có điểm CVSS cao hoặc khả năng RCE trước xác thực.
2. Phát triển/Thu thập PoC: Sau khi lỗ hổng được xác định, kẻ tấn công tự phát triển các khai thác PoC hoặc tận dụng các khai thác có sẵn công khai. Trong trường hợp các lỗ hổng hệ thống quản lý nội dung, các khai thác PoC đã lưu hành nhanh chóng sau khi tiết lộ.
3. Trinh sát và quét mục tiêu: Các công cụ tự động được sử dụng để quét internet tìm các phiên bản dễ bị tấn công của phần mềm mục tiêu. Điều này có thể liên quan đến việc tìm kiếm các phiên bản sản phẩm cụ thể, các cổng bị lộ hoặc các banner duy nhất.
4. Truy cập ban đầu: Khai thác lỗ hổng đã xác định để có được quyền truy cập ban đầu. Đối với sản phẩm quản lý bảo mật, điều này có nghĩa là lấy được mã thông báo đăng nhập ứng dụng. Đối với hệ thống quản lý nội dung và nền tảng AI doanh nghiệp, nó liên quan đến việc đạt được RCE không cần xác thực.
5. Leo thang đặc quyền và duy trì: Sau khi có được quyền truy cập ban đầu, kẻ tấn công thường tìm cách leo thang đặc quyền (ví dụ: lên quyền quản trị như đã thấy với lỗ hổng sản phẩm quản lý bảo mật) và thiết lập cơ chế truy cập liên tục để duy trì kiểm soát ngay cả khi vectơ khai thác ban đầu đã được vá.
6. Di chuyển ngang và hoàn thành mục tiêu: Với quyền truy cập liên tục, kẻ tấn công di chuyển ngang trong mạng để đạt được mục tiêu cuối cùng của chúng, cho dù đó là đánh cắp dữ liệu, triển khai ransomware hay thỏa hiệp mạng sâu hơn.

Những gì người phòng thủ đã bỏ lỡ

Trong nhiều trường hợp này, những người phòng thủ thường bỏ lỡ các cơ hội quan trọng để can thiệp kịp thời. Một sai sót chính là thiếu kiểm kê tài sản toàn diện và liên tục, đặc biệt đối với các hệ thống tiếp xúc với internet. Nếu một tổ chức không biết chính xác phiên bản phần mềm nào đang chạy ở đâu, việc vá lỗi trở thành một cuộc chạy đua phản ứng thay vì một phòng thủ chủ động.

Một khoảng cách đáng kể khác là sự chậm trễ trong việc áp dụng các bản vá và cập nhật. Mặc dù các nhà cung cấp phát hành các bản vá lỗi, chi phí vận hành, yêu cầu thử nghiệm và nỗi sợ làm hỏng các hệ thống sản xuất thường dẫn đến sự chậm trễ đáng kể. Các bản cập nhật bắt buộc của hệ thống quản lý nội dung làm nổi bật mức độ nghiêm trọng của vấn đề này và nhu cầu triển khai nhanh chóng.

Hơn nữa, một tư thế bảo mật phản ứng, chỉ dựa vào các biện pháp phòng thủ chu vi và phát hiện dựa trên chữ ký, thường thất bại trước các khai thác zero-day hoặc N-day. Một khi lỗ hổng bị 'khai thác trong thực tế', các biện pháp phòng thủ truyền thống có thể đang chạy theo sau.

Danh sách kiểm tra phòng thủ thực tế

Để giảm thiểu rủi ro trở thành nạn nhân của các kiểu mẫu sự cố phổ biến này, các CISO và kỹ sư bảo mật nên triển khai một chiến lược phòng thủ đa lớp, chủ động:

• Duy trì kiểm kê tài sản chính xác: Liên tục khám phá và lập danh mục tất cả các tài sản tiếp xúc với internet và các thành phần phần mềm của chúng, bao gồm các phiên bản thư viện bên thứ ba.
• Ưu tiên quản lý bản vá: Thực hiện chương trình quản lý bản vá mạnh mẽ với các SLA rõ ràng cho các lỗ hổng nghiêm trọng, tận dụng việc vá lỗi tự động khi khả thi. Xác minh các bản cập nhật bắt buộc được bật cho các hệ thống có sẵn.
• Cô lập giao diện quản lý: Hạn chế phơi bày trực tiếp internet cho các giao diện quản lý quan trọng (ví dụ: bảng điều khiển quản lý bảo mật) thông qua hạn chế IP, VPN hoặc các hộp nhảy chuyên dụng.
• Triển khai phân đoạn mạng: Phân đoạn mạng để hạn chế di chuyển ngang, ngay cả khi kẻ tấn công có được quyền truy cập ban đầu thông qua một lỗ hổng bị lộ.
• Triển khai Tường lửa ứng dụng web (WAF): Sử dụng WAF với các bộ quy tắc cập nhật, như những gì nhà cung cấp CDN lớn đã triển khai cho các lỗ hổng hệ thống quản lý nội dung, để phát hiện và chặn các nỗ lực khai thác ở biên.
• Thực hiện quét lỗ hổng và kiểm tra thâm nhập thường xuyên: Chủ động xác định các lỗ hổng trước khi kẻ tấn công làm. Tập trung vào cả CVE đã biết và các lỗi logic.
• Giám sát IoC: Chủ động giám sát các Chỉ số Thỏa hiệp (IoC) do các nhà cung cấp và nguồn cấp dữ liệu tình báo đe dọa cung cấp để phát hiện các nỗ lực khai thác tích cực.

Cách kiểm tra tấn công hiện đại có thể đã phát hiện ra điều này

Quét lỗ hổng và kiểm tra thâm nhập truyền thống thường có những hạn chế, đặc biệt khi xử lý các lỗ hổng phức tạp, xâu chuỗi hoặc những lỗ hổng không có chữ ký sẵn có. Đây là lúc kiểm tra tấn công hiện đại, đặc biệt là các phương pháp tiếp cận tự động, chứng tỏ giá trị vô cùng lớn.

Nền tảng của chúng tôi, với khả năng kiểm tra tấn công tự động, được thiết kế để chủ động xác định và xác thực các loại lỗ hổng có thể khai thác này. Bằng cách tạo ra các Bằng chứng Khái niệm (PoC) có thể thực thi và mô phỏng các kỹ thuật tấn công trong thế giới thực, một nền tảng như vậy có thể đã xác định được lỗ hổng bỏ qua xác thực trong sản phẩm quản lý bảo mật, RCE xâu chuỗi trong hệ thống quản lý nội dung hoặc chèn mã trước xác thực trong nền tảng AI doanh nghiệp trước khi khai thác tích cực. Nó vượt ra ngoài đánh giá rủi ro lý thuyết để chứng minh khả năng khai thác thực tế, cung cấp bằng chứng cụ thể và hướng dẫn khắc phục.

Cách tiếp cận tự động, liên tục này giúp các tổ chức chuyển từ mô hình vá lỗi và cầu nguyện phản ứng sang tư thế chủ động, 'giả định vi phạm', củng cố phòng thủ của họ chống lại ngay cả các mối đe dọa N-day và zero-day phức tạp. Nó cung cấp dữ liệu thực nghiệm cần thiết để ưu tiên các nỗ lực khắc phục một cách hiệu quả.

Điều cần theo dõi tiếp theo

Xu hướng khai thác nhanh chóng các lỗ hổng phần mềm bên thứ ba và nền tảng không có dấu hiệu suy giảm. Các CISO và kỹ sư bảo mật phải luôn cảnh giác.

Hãy mong đợi các tác nhân đe dọa tiếp tục tập trung vào RCE trước xác thực, bỏ qua xác thực và các khai thác xâu chuỗi tận dụng nhiều lỗ hổng dường như nhỏ để gây ra tác động tối đa. Sự kết nối ngày càng tăng của các hệ thống và sự phụ thuộc vào chuỗi cung ứng phần mềm phức tạp có nghĩa là bề mặt tấn công sẽ chỉ tiếp tục tăng lên. Đầu tư vào các công cụ bảo mật tấn công liên tục và nuôi dưỡng văn hóa ứng phó nhanh chóng với các mối đe dọa mới nổi sẽ là tối quan trọng để duy trì một tư thế bảo mật kiên cường.