Cisco Talos w publikacji z 9 września potwierdza aktywne wykorzystanie dwóch podatności FMC oraz opisuje działania po przejęciu serwera, w tym kradzież poświadczeń. Dla firmy korzystającej z tego systemu zarządzania ochroną to powód, by pilnie sprawdzić hotfixy, ślady nieautoryzowanych działań i dostępne z serwera sekrety.

Czy po potwierdzeniu instalacji poprawki FMC można zamknąć temat na najbliższym spotkaniu z zarządem? Proponujemy przed taką decyzją poprosić jeszcze o wynik sprawdzenia działań na serwerze oraz przeglądu dostępnych z niego poświadczeń. Odpowiedź „aktualizacja zakończona” dotyczy tylko pierwszego z tych zadań. Przygotujmy więc dla FMC osobne miejsce na każde ustalenie, wraz z informacją, czego zespół jeszcze nie sprawdził. Jeżeli przegląd dopiero się zaczyna, właśnie taki status powinien trafić do osoby odpowiedzialnej za ryzyko. Potwierdzenie wykonania jednego zadania nie powinno w raporcie zastępować odpowiedzi na pozostałe pytania o bezpieczeństwo serwera zarządzania.

Dwie podatności FMC wymagają sprawdzenia dostępu

Według Cisco Talos opisane podatności obejmują obejście uwierzytelnienia oraz dostęp przez konto z niskimi uprawnieniami. W ocenie własnej instalacji FMC uwzględnijmy oba scenariusze. Nie ograniczajmy przeglądu do pytania, kto zna dane konta administratora. Poprośmy zespół również o uwzględnienie kont z niskimi uprawnieniami i o wskazanie, jak sprawdzi ślady dostępu bez prawidłowego uwierzytelnienia.

Przy FMC proponujemy rozdzielić ocenę warunków wejścia i ocenę późniejszych działań. Pierwsza powinna odpowiedzieć na pytanie o stan zabezpieczenia przed wskazanymi podatnościami. Druga ma ustalić, czy w dostępnych zapisach pojawiają się działania wymagające wyjaśnienia. W zleceniu przeglądu zapiszmy oba cele, zamiast pozostawiać zespołowi ogólne polecenie „sprawdzić bezpieczeństwo”.

Wynik kontroli FMC powinien wskazywać zakres sprawdzenia: które konta i jaki okres objęto analizą oraz gdzie brakuje danych. Proponujemy potraktować te braki jako zadania do rozstrzygnięcia. Nie wpisujmy potwierdzenia braku nieautoryzowanych działań tam, gdzie nie udało się ich jeszcze zweryfikować.

Przy FMC potwierdzenie poprawki powinno otwierać rozmowę o wyniku przeglądu dostępu, zanim zamkniemy sprawę.

Trzy klastry działań uzasadniają przegląd poświadczeń

Talos opisuje trzy klastry działań po kompromitacji FMC, w tym kradzież poświadczeń oraz aktywność ocenianą przez ten zespół jako powiązana z ransomware. Związek z ransomware przedstawiamy jako ocenę Talos. Sama liczba klastrów nie mówi, czy ktoś przejął konkretną firmową instalację.

W praktyce proponujemy zestawić procedurę obsługi podatności FMC z rzeczywistym zakresem zleconych prac. Jeśli zadanie kończy się na instalacji hotfixu, dopiszmy sprawdzenie śladów oraz sekretów dostępnych z serwera. To propozycja kontroli dla czytelnika; nie mamy podstaw do przypisywania opisanym organizacjom zaniedbań ani pomijania procedur.

Przy przeglądzie sekretów FMC poprośmy o ustalenie, do czego służą poszczególne poświadczenia i kto odpowiada za decyzję dotyczącą ich dalszego używania. Jeśli dostępne dane wskazują na nieautoryzowane działania, przekażmy ten wynik osobie prowadzącej analizę incydentu. Nie zakładajmy z góry ani przejęcia wszystkich sekretów, ani bezpieczeństwa każdego z nich. Dla pozycji, których nie udało się ocenić, zapiszmy konkretną niewiadomą oraz następny krok potrzebny do jej wyjaśnienia.

FMC potrzebuje właściciela decyzji o ryzyku

Rekomendujemy nadać reakcji dotyczącej FMC priorytet porównywalny z obsługą krytycznej usługi biznesowej. W praktyce oznacza to wskazanie osoby odpowiedzialnej, terminu przedstawienia ustaleń i warunków zamknięcia sprawy. W raporcie dla zarządu rozdzielmy status hotfixów, przeglądu aktywności oraz oceny poświadczeń. Każde z tych pól powinno mieć własny wynik albo jasno opisany brak.

Nie wyliczymy kosztu incydentu FMC ani potrzebnego czasu reakcji bez danych z konkretnej organizacji. Poprośmy więc właściciela systemu o wskazanie, które ustalenia wymagają pilnej decyzji i jakie prace trzeba do nich wykonać. Przy braku zasobów zarząd powinien dostać wybór z opisem odłożonych zadań, a następnie wskazać ich kolejność.

Za proponowane kryterium zamknięcia przeglądu FMC przyjmijmy udokumentowaną ocenę wszystkich trzech zadań. Jeżeli część pytań pozostaje bez odpowiedzi, osoba zatwierdzająca zakończenie prac powinna poznać je wprost. Unikajmy zbiorczego statusu „wykonano”, gdy zespół potrafi potwierdzić jedynie instalację poprawki.

Odpowiedzialność za FMC powinna obejmować decyzję o ryzyku związanym z dostępnymi poświadczeniami.

Polska firma powinna zacząć od własnej instalacji

W dostępnych ustaleniach nie ma danych o polskich ofiarach. Nie przypisujmy więc polskim organizacjom opisanych kompromitacji. Dla odbiorcy korzystającego z FMC proponujemy ocenę własnego stanu zabezpieczeń, bez czekania na informację o incydencie w kraju. Punktem wyjścia niech będzie potwierdzenie, kto utrzymuje serwer i kto może przedstawić wyniki kontroli.

Na spotkanie dotyczące FMC przygotujmy krótki zapis ustaleń zamiast samego komunikatu o rozpoczęciu prac. Przy każdym z trzech zadań wskażmy dowód wykonania, zakres pozostający do sprawdzenia i osobę, która wróci z odpowiedzią. Jeśli hotfixy obsługuje inny zespół niż przegląd poświadczeń, wyznaczmy jedną osobę do zebrania wyników. To zalecany sposób organizacji reakcji, nie opis praktyk polskich firm. Nie wyprowadzajmy też z tego przypadku wniosku o wzroście liczby ataków w ostatnich trzech miesiącach: dostępne ustalenia go nie potwierdzają.

Co z tym zrobić w poniedziałek

  1. Zapisz stan hotfixów FMC. Przeznacz 30 minut na zebranie dostępnych potwierdzeń instalacji i wskazanie braków do sprawdzenia. Przy każdym braku wyznacz osobę odpowiedzialną oraz termin odpowiedzi. Wynikiem ma być lista ustaleń i zadań; pełne wdrożenie poprawek wymaga osobnego planu.
  2. Wyznacz zakres przeglądu aktywności FMC. W 30 minut ustal, jakie zapisy są dostępne, jaki okres obejmują i kto przeanalizuje je pod kątem nieautoryzowanych działań. Zapisz luki w danych oraz termin przekazania pierwszych ustaleń. Ten etap służy przygotowaniu analizy, nie potwierdzeniu braku włamania.
  3. Rozpocznij spis sekretów dostępnych z FMC. Przez 30 minut zbierz z istniejącej dokumentacji informacje o poświadczeniach, ich zastosowaniu i właścicielach. Rejestruj zakres dostępu bez kopiowania wartości sekretów. Nieustalone pozycje przekaż do wyjaśnienia wraz z osobą odpowiedzialną za dalszą ocenę.

Serwer FMC powinien otrzymać priorytet reakcji odpowiadający jego roli w zarządzaniu ochroną. Decyzję o zakończeniu prac oprzyjmy na wynikach kontroli poprawek, aktywności i poświadczeń. Tak określona odpowiedzialność daje zarządowi konkretną podstawę do oceny tego, co sprawdzono i jakie ryzyko nadal wymaga decyzji.

Źródła

Redakcja cyberinsight.pl.