CERT Polska w komunikacie z 15 września potwierdza aktywne wykorzystanie podatności w AsyncOS dla Cisco Secure Email Gateway. Według zespołu spreparowany e-mail może umożliwić wykonanie poleceń z prawami root bez uwierzytelnienia. Reakcja na kampanię pocztową powinna więc obejmować także sprawdzenie bezpieczeństwa samej bramy.

Czy odpowiedź „mamy bramę filtrującą pocztę” wystarcza, żeby zamknąć rozmowę o zagrożeniu przenoszonym przez wiadomości? Przy zagrożeniu opisanym przez CERT Polska zapytajmy jeszcze o stan tego urządzenia. Proponujemy zacząć od prostego ćwiczenia: poprosić zespół o pokazanie wersji AsyncOS, potwierdzenia zakończenia aktualizacji oraz wyniku analizy logów. Każdą odpowiedź potraktujmy osobno. Jeśli któregoś elementu brakuje, zapiszmy, czego jeszcze nie ustalono i kto ma wrócić z informacją. To propozycja kontroli we własnej organizacji, bez przypisywania komukolwiek zaniedbań. Sam komunikat nie daje podstaw do stwierdzenia ataku na konkretną firmową bramę. Daje natomiast powód, aby uwzględnić ją w sprawdzeniu reakcji na kampanię pocztową.

Spreparowany e-mail może uruchomić polecenia na bramie

Według CERT Polska opisany scenariusz dotyczy oprogramowania AsyncOS w Cisco Secure Email Gateway. Punktem wejścia jest spreparowana wiadomość, a możliwym skutkiem wykonanie poleceń z prawami root. Uwierzytelnienie atakującego nie jest wymagane. W ocenie tego zagrożenia uwzględnijmy zatem urządzenie przetwarzające pocztę.

Z potwierdzenia aktywnych ataków nie wyprowadzajmy wniosku o stanie własnej instalacji AsyncOS. Tej odpowiedzi jeszcze nie mamy. Proponujemy rozdzielić pytanie o używaną wersję oprogramowania od pytania o wynik badania bramy. Przy pierwszym poprośmy o odczyt i porównanie z komunikatem, przy drugim o udokumentowane ustalenia zespołu. Możliwość wykonania poleceń wystarcza, by uzasadnić sprawdzenie bezpieczeństwa systemu filtrującego.

W reakcji na kampanię pocztową wpiszmy stan AsyncOS do pytań o bezpieczeństwo poczty.

Procedurę dla AsyncOS sprawdźmy przez wynik wykonanych prac

Odpowiedź „mamy bramę” wymaga dopowiedzenia: według CERT Polska spreparowana wiadomość może zaatakować samą bramę. Przy przeglądzie własnej procedury sprawdźmy więc, czy obejmuje ona bezpieczeństwo AsyncOS. Zestawienie wymaganych działań z dokumentacją własnego zespołu pozwoli ocenić, czy za procedurą stoją potwierdzenia wykonanych prac.

Punktem wyjścia jest wersja AsyncOS odczytana z używanej bramy wraz z datą sprawdzenia. Jeżeli zespół zaplanował aktualizację, odnotujmy termin i odpowiedzialnego. Jeżeli zespół zgłasza jej zakończenie, poprośmy o potwierdzenie wykonania i wersję po zmianie. W raporcie zachowajmy te rozróżnienia: plan, prace w toku i zakończone zadanie powinny mieć osobne oznaczenia. Dzięki temu osoba oceniająca stan prac będzie mogła sprawdzić, co dokładnie zespół potwierdził.

Przy logach AsyncOS potrzebny jest zakres analizy i jej wynik. Trwający przegląd pozostawia pytanie o termin uzyskania ustaleń. Jeśli odpowiedzi nie ma, oznaczmy brak informacji zamiast domyślnie zamykać zadanie. Nie oceniajmy jakości analizy na podstawie samej deklaracji, że ktoś zajmuje się logami AsyncOS; poprośmy o zapis tego, co sprawdzono i czego jeszcze nie wyjaśniono.

Raport dla zarządu powinien pokazywać stan sprawdzenia bramy

Raport osoby odpowiedzialnej za bezpieczeństwo powinien przedstawiać stan AsyncOS wraz z potwierdzeniem aktualizacji i wynikiem analizy logów. Przy każdym elemencie wskażmy osobę, która odpowiada za ustalenie. Gdy odpowiedź wymaga dalszych prac, dopiszmy termin ich omówienia. Tak przygotowany raport pozwoli zarządowi zadać pytania o konkretne braki bez samodzielnego odtwarzania przebiegu prac administracyjnych.

Na potrzeby decyzji o dalszych działaniach przy Cisco Secure Email Gateway poprośmy zespół o wskazanie przeszkód: czego potrzebuje do zakończenia aktualizacji lub przedstawienia analizy. Koszt i czas tych prac wymagają odrębnego ustalenia. Jeśli decyzja wymaga oszacowania nakładu pracy, zlećmy je dla własnej instalacji i oznaczmy jako lokalną ocenę. Oddzielmy ją w raporcie od informacji o zagrożeniu pochodzącej z komunikatu.

Zakończenie aktualizacji AsyncOS i wynik analizy logów powinny mieć osobne potwierdzenia w raporcie o bramie.

Ostrzeżenie CERT Polska przełóżmy na sprawdzenie własnej instalacji

Dla polskiego odbiorcy punktem odniesienia jest komunikat CERT Polska z 15 września. Potwierdzone aktywne wykorzystanie podatności w AsyncOS uzasadnia sprawdzenie własnej instalacji. Również w wewnętrznej informacji do kierownictwa opis zagrożenia powinien pozostać zgodny z tym, co potwierdzono.

W organizacji korzystającej z Cisco Secure Email Gateway komunikat powinien trafić do osoby odpowiedzialnej za bramę z prośbą o odpowiedź dotyczącą własnego środowiska. Odpowiedź powinna wskazywać ustalone wersje AsyncOS, stan aktualizacji i wynik analizy logów albo konkretne braki w tych ustaleniach. Jeśli obsługę prowadzi inny zespół, skierujmy pytania do niego. Przekazanie ostrzeżenia potraktujmy jako początek zadania; jego zamknięcie powiążmy z otrzymaniem i oceną wymaganych potwierdzeń.

Co z tym zrobić w poniedziałek

  1. Zbierz informacje o wersjach AsyncOS. W ciągu 30 minut zestaw dostępne odczyty wersji z listą obsługiwanych bram. Przy brakach zapisz osobę odpowiedzialną za uzupełnienie. Przekaż zestawienie do porównania z komunikatem CERT Polska, bez zgadywania stanu urządzeń, do których nie masz dostępu.
  2. Sprawdź potwierdzenie zakończenia aktualizacji. Poświęć 30 minut na przegląd statusu prac przy bramie i dostępnych potwierdzeń wersji po zmianie. Zapisz, co zakończono, co trwa i czego jeszcze nie ustalono. Nie zakładaj wykonania aktualizacji w tym czasie.
  3. Odbierz wynik analizy logów bramy. W ciągu 30 minut przejrzyj dostępne ustalenia lub skieruj prośbę o ich przygotowanie. Zapisz zakres sprawdzenia, wynik i otwarte pytania. Jeśli analiza jeszcze trwa, ustal termin otrzymania wyniku.

Bezpieczeństwo AsyncOS uwzględnijmy w ocenie reakcji na kampanię pocztową. Od zespołu oczekujmy odpowiedzi o stanie bramy, popartej ustaleniami dotyczącymi wersji, aktualizacji i logów. Otwarte pytania zachowajmy w raporcie aż do ich wyjaśnienia.

Źródła

Redakcja cyberinsight.pl.