🙅🏿 🗻 ㊗️ भेद्यता प्रबंधन - अधिक: प्रबंधन या कमजोरियाँ? 👩🏽 🐧 🥘

इस लेख में, हम आपके साथ हमारे ग्राहकों के साथ हुए मामलों को साझा करना चाहते हैं और इस सवाल का जवाब देना / दिखाना / जवाब देना चाहते हैं कि भेद्यता प्रबंधन लगभग हमेशा कमजोरियों के बारे में नहीं है, और साधारण बात यह है कि “हम आपके लिए 1,000,000 कमजोरियों को फ़िल्टर करेंगे। वास्तव में महत्वपूर्ण न्यूनतम "पर्याप्त नहीं है।

केस # 1 "ओह, हम खुद जानते हैं कि हमारे साथ सब कुछ खराब है!"

ऑब्जेक्ट: दूरस्थ नियंत्रण मॉड्यूल (IPMI) महत्वपूर्ण सर्वर पर स्थापित - 500 से अधिक पीसी।
भेद्यता: महत्वपूर्ण स्तर (CVSS स्कोर) - 7.8

CVE-2013864786 - IPMI प्रोटोकॉल में भेद्यता जिसने एक हमलावर को उपयोगकर्ता के पासवर्ड हैश तक पहुंच प्राप्त करने की अनुमति दी, जिससे अनधिकृत पहुंच और हमलावरों द्वारा संभावित खाता अपहरण हो सकता है।

मामले का विवरण: ग्राहक स्वयं भेद्यता के बारे में जानता था, हालांकि, नीचे वर्णित कई कारणों के लिए, यह "जोखिम लेने" से आगे नहीं गया।

इस मामले की जटिलता यह है कि पैच इस मॉड्यूल का उपयोग करने वाले सभी मदरबोर्ड के लिए नहीं हैं, और इतनी बड़ी संख्या में सर्वर पर फर्मवेयर अपडेट करना बेहद संसाधन-गहन है।

वैकल्पिक शमन विधियाँ थीं - नेटवर्क उपकरणों पर पहुँच सूचियाँ (ACLs) (यह बहुत मुश्किल है क्योंकि प्रवेश बहुत वितरित हैं और जहाँ से आती है, वहाँ IPMI का उपयोग करें) और IPMI को अक्षम करना, यहाँ, मुझे लगता है कि, टिप्पणियाँ अतिशयोक्तिपूर्ण हैं (बस मामले में: 500 वितरित सर्वर नियमित रूप से "पैर" का प्रबंधन करते हैं "सुरक्षा के लिए, कोई भी व्यक्ति)

यहां आमतौर पर कहानी के साथ समाप्त नहीं होता है, लेकिन हमारी तरफ से भेद्यता का अतिरिक्त विश्लेषण किया गया था और यह स्पष्ट हो गया कि पासवर्ड हैश खाता सर्वर द्वारा केवल तभी लौटाया जाता है जब मौजूदा सर्वर पर अनुरोध डी लॉगिन, इसलिए यह तय किया गया था:

1. पहचानने वाले खातों को मुश्किल से हटाए गए पर बदलें
बेशक, यह रामबाण नहीं है। और अगर, जल्दी में नहीं है, तो "चमक" के रूप में नहीं, लॉगिन के माध्यम से छाँटें, तो जल्दी या बाद में इसे लेने के लिए संभव होगा। लेकिन सबसे अधिक संभावना है कि अतिरिक्त उपायों को लागू करने के लिए बहुत समय लगेगा।

2. पासवर्ड बदलें ताकि हैश को क्रूरता से लंबे समय तक रहना पड़े।
क्लाज 1 के समान स्थिति - 16-वर्ण वाले पासवर्ड के SHA1 हैश को हमेशा के लिए हटाने के लिए।

नतीजतन, एक खतरनाक भेद्यता जो ज्ञात थी, और जिसे स्क्रिप्ट किडी द्वारा आसानी से शोषण किया जा सकता था, को न्यूनतम संसाधनों के साथ बंद कर दिया गया था।

केस # 2 "हम आपके बिना OpenVAS डाउनलोड कर सकते हैं!"

ऑब्जेक्ट: कंपनी के भीतर सभी राउटर और स्विच - 350 से अधिक डिवाइस।
भेद्यता : महत्वपूर्ण स्तर (CVSS स्कोर) - 10.0

CVE-2018-0171 - सिस्को स्मार्ट इंस्टॉलेशन की कार्यक्षमता में भेद्यता, जिसके संचालन से उपकरण के कॉन्फ़िगरेशन में बदलाव होता है, जिसमें पासवर्ड बदलना और कानूनी व्यवस्थापक द्वारा इसका नुकसान, यानी डिवाइस पर नियंत्रण का नुकसान शामिल है। इस प्रकार, एक हमलावर डिवाइस तक पूर्ण पहुंच प्राप्त करेगा।

केस विवरण:वाणिज्यिक लोगों सहित कई स्कैनर के उपयोग के बावजूद, उनमें से किसी ने भी यह भेद्यता नहीं दिखाई। शायद उस समय के हस्ताक्षर इस भेद्यता के लिए आदर्श से दूर थे, या नेटवर्क टोपोलॉजी प्रभावित, एक तरह से या किसी अन्य - एक मिसाल। हम, एक निश्चित समय के लिए यह सेवा प्रदान करने वाली कंपनी के रूप में, वास्तव में खतरनाक कमजोरियों के साथ हमारा अपना आधार है, जिसे हम अतिरिक्त रूप से जांचते हैं।

ग्राहक ने स्मार्ट इंस्टॉल कार्यक्षमता का उपयोग नहीं किया था, इसलिए स्वयं फर्मवेयर को अपडेट करने की जटिलता के कारण समाधान स्वयं (यहां तक कि उपकरणों के बाहर के हिस्से पर विचार), ग्राहक को आईपी पते की एक सूची प्रदान करने के लिए नीचे आया, जहां स्क्रिप्ट द्वारा कमजोर सेवा बंद कर दी गई थी।

नतीजतन, नेटवर्क उपकरणों के विशाल बहुमत पर महत्वपूर्ण भेद्यता, जो किसी का ध्यान नहीं जा सकती थी, और हमले की स्थिति में पूरी कंपनी को पूरी तरह से बंद कर दिया जाएगा।

केस # 3 "अगर आप चाहते थे, तो हम पहले ही टूट चुके होते!"

ऑब्जेक्ट: डोमेन नियंत्रक, मेल सर्वर और कंपनी के लिए महत्वपूर्ण अन्य उपकरणों / सर्वरों / होस्टों की संख्या
कमजोर होना: महत्वपूर्ण स्तर (CVSS स्कोर) - 9.3

CVE-2017-0144 - सर्वर पर मध्यस्थ कोड के दूरस्थ निष्पादन की अनुमति देने वाले SMB प्रोटोकॉल में भेद्यता कमजोरियाँ, जिनमें एक भी शामिल है, जिसे WannaCry ransomware द्वारा वितरित किया गया था)।

केस विवरण: अनुसूचित स्कैनिंग के दौरान सेवाओं के प्रावधान की शुरुआत में, एक महत्वपूर्ण भेद्यता की खोज की गई थी, ओएस अपडेट स्थापित करने के लिए एकमात्र संभव सिफारिश है। ग्राहक इस निर्णय पर सहमत हुए, लेकिन नियंत्रण स्कैन के परिणामों के आधार पर, भेद्यता बनी रही। स्थिति में वृद्धि और ग्राहक के साथ एक व्यक्तिगत बैठक के बाद, यह पता चला कि इसका कारण मानवीय कारक था - कार्य किसी विशेषज्ञ द्वारा नहीं किया गया था।

परिणाम: कई दिनों तक, कार्य को अनदेखा करने के परिणामस्वरूप, नेटवर्क पर सफलतापूर्वक फैलने वाले मैलवेयर उपयोगकर्ता के कार्य केंद्र में पहुंच गए, इस भेद्यता का फायदा उठाया गया, जिसके कारण डोमेन नियंत्रक की विफलता हुई।

नतीजतन, कंपनी को भारी नुकसान हुआ (बुनियादी ढांचे के काम में कई महीने लग गए)।

     ,      ,    –      ,    .   –           ,   ,  ,       ,      ,     .

दिमित्री गोलोव्नाया GolovnyaD
एसओसी विश्लेषक, आचेबिया

भेद्यता प्रबंधन - अधिक: प्रबंधन या कमजोरियाँ?

केस # 1 "ओह, हम खुद जानते हैं कि हमारे साथ सब कुछ खराब है!"

केस # 2 "हम आपके बिना OpenVAS डाउनलोड कर सकते हैं!"

केस # 3 "अगर आप चाहते थे, तो हम पहले ही टूट चुके होते!"

More articles: