13.000 uređaja s root pristupom

Trinaest tisuća firewallova. Svaki je koštao između pet i pedeset tisuća dolara, ovisno o modelu i licencama. Svaki je prolazio kroz enterprise procurement proces od najmanje šest mjeseci, s tri razine approvals, compliance checkom i security assessmentom. Svaki je instalirao tim certificiranih inženjera koji su potom otišli na ručak, uvjereni da su napravili svoj posao.

I svaki je sjedio na internetu s management sučeljem koje je vikalo "hack me" na devet jezika, dok su dvije ranjivosti — od kojih je svaka pojedinačno djelovala kao blagi kašalj, skupa kao upala pluća — čekale da ih netko lančano aktivira.

CVSS je rekao 9.3 i 6.9. Dva broja koja su u normalnom svijetu značila "ozbiljno ali ne apokalipsa" i "srednje, pogledaj kad stigneš". U stvarnom svijetu, to je bila kombinacija koja je napadaču dala neautentificirani remote admin access, a zatim root na cijelom uređaju, bez da je itko išta osim "allow" kliknuo.

Palo Alto Networks je napravio ono što svaka ozbiljna security kompanija radi: isporučio je proizvod s management sučeljem koje je, po defaultu, slušalo na svim interfaceovima. Jer, eto, korisnik bi se mogao htjeti spojiti. Sa svog laptopa. Na drugom kraju svijeta. Bez VPN-a. Bez MFA. Bez da itko pomisli: "Čekaj malo, zašto moj firewall koji štiti milijune dolara vrijednu infrastrukturu ima web server koji vrišti na internet?"

Pitanje nije zašto su napadači našli 13.000 izloženih uređaja. Pitanje je zašto ih nije bilo 130.000.

Ovo nije priča o zero-day ranjivostima. Ovo je priča o tome da je cijela industrija izgradila katedrale od security compliancea na temeljima od pijeska i samozadovoljstva. CVSS scoring sistem, taj veličanstveni alat za kvantifikaciju rizika, rekao je "9.3 je ozbiljno". I svi su kimnuli, dodali u quarterly patch cycle, i nastavili s danom. Jer kad ti CVSS kaže da je nešto 9.3, to je apstraktan broj. Nije 13.000 rootanih uređaja. Nije tisuće kompromitiranih mreža. Nije milijuni zapisa koje je netko mogao pročitati, kopirati, ili obrisati.

Jedna ranjivost je bila u management sučelju. Druga u autentifikacijskom mehanizmu. Zajedno su radile kao ključ i brava — samo što je brava bila već otključana, a ključ je visio na zidu pored vrata s natpisom "ulaz slobodan".

Najbolji dio? Ove ranjivosti nisu otkrili Palo Alto inženjeri. Otkrili su ih istraživači koji su, iz dosade ili znatiželje, pogledali što se događa kad pošalješ čudan request na standardni port. I našli su ono što je bilo očito svakome tko je ikada pisao web aplikaciju: provjera autentifikacije koja se može zaobići ako dovoljno čudno postaviš pitanje.

Tehnički, to je "authentication bypass vulnerability". U prijevodu: "Nismo provjerili tko si, ali evo ti admin panel."

I sad dolazi dio koji boli više od same ranjivosti. Palo Alto je objavio advisory. Preporučio patch. Rekao "molimo vas, ograničite pristup management sučelju". I 13.000 ljudi je ignoriralo. Nije da nisu znali. Jesu. Samo su mislili da se to njima neće dogoditi.

To je onaj taj mentalitet zbog kojeg ljudi ne mijenjaju lozinke dok im netko ne provali Instagram. Zbog kojeg firme ne patchaju servere dok im ransomware ne zaključa sve podatke. Zbog kojeg security nije prioritet dok ne postane jedini prioritet.

I prije nego što krenemo prstom pokazivati na Palo Alto — jer eto, oni su napravili proizvod s rupom — sjetimo se da je svaki drugi vendor napravio istu stvar. Cisco, Fortinet, Check Point, SonicWall. Svi su imali management sučelja koja su vikala na internet. Svi su imali CVSS bodove koji su govorili "ozbiljno, ali ne hitno". Svi su se nadali da će korisnici sami ograničiti pristup.

Jer u svijetu enterprise securityja, odgovornost je uvijek na korisniku. Ti si kriv što nisi pročitao advisory. Ti si kriv što nisi zakrpao. Ti si kriv što si ostavio vrata otvorena. Nikad vendor što je napravio vrata koja se ne mogu zaključati.

Trinaest tisuća uređaja. To nije broj. To je 13.000 mreža koje su trenutno kompromitirane, a da vlasnici toga nisu svjesni. To su banke, bolnice, škole, vladine agencije, hosting provideri, ISP-ovi. Ljudi koji su platili premium za "industry-leading security" i dobili premium ranjivost.

I dok vi čitate ovo, negdje netko sa 13.000 root shellova razmišlja što će s njima. Možda će instalirati backdoor. Možda će čekati. Možda su već instalirali i čekaju. Jer najgori dio nije sam napad — najgori je period nakon što je ranjivost zatvorena, a napadač je još uvijek unutra, tih, miran, spreman.

Security industrija je izgradila biznis na strahu i complianceu. Prodaje ti firewall za 50.000 dolara, pa ti proda subscription za threat intelligence, pa ti proda premium support, pa ti proda training, pa ti proda consulting. I na kraju ti kaže: "Usput, nemoj stavljati management sučelje na internet." I ti to ne napraviš, jer tko bi jebeno čitao manual?

Onda dođe netko tko jest čitao manual, nađe rupu, i ti si opet kriv.

Ako postoji jedna stvar koju bi svaki CISO, svaki IT manager, svaki netko tko ikada dodirne firewall trebao zapamtiti iz ove priče, to je ovo: CVSS broj ti ne govori koliko je ranjivost opasna. Govori ti koliko je lako iskoristiti. A lakše je nego što misliš. Uvijek.

I zato, sljedeći put kad vidiš management sučelje na internetu, nemoj reći "popravit ćemo u quarterly patchu". Reci "koji kurac ovo radi na internetu" i makni ga. Jer dok ti razmišljaš o CVSS bodovima, netko već pokušava rootati tvoj firewall.

Trinaest tisuća ljudi je već saznalo na teži način.

Izvor: venturebeat.com