SonicWall выпускает экстренное обновление после того, как неудачное исправление подвергло инфраструктуру SSL-VPN угрозе взлома
TL;DR
SonicWall спешно выпускает патч для критической уязвимости SSL-VPN после неудачного исправления
Компания SonicWall снова оказалась в центре внимания. Производитель систем безопасности выпустил срочное уведомление касательно своих межсетевых экранов Gen 7, подтвердив, что злоумышленники активно атакуют инфраструктуру SSL-VPN.
Давайте проясним: это не какой-то новый «нулевой день». Это неприятные последствия CVE-2024-40766 — уязвимости, которая существует уже некоторое время, но до сих пор используется для получения доступа к сетям и, как следствие, для распространения программ-вымогателей.
В чем корень проблемы? Это «наследие» миграции. Когда организации меняли устаревшее оборудование Gen 6 на новые устройства Gen 7, многие администраторы просто перенесли старые пароли локальных пользователей. Они не сбросили их. Они не провели аудит. Они просто перенесли их. Теперь эти слабые учетные данные с легкостью подбираются методом перебора. Канадский центр кибербезопасности (Canadian Centre for Cyber Security) уже сообщил, что злоумышленники используют украденные учетные данные для обхода многофакторной аутентификации (MFA), проникая в корпоративные сети и распространяя вариант программы-вымогателя Akira.
Масштаб: небольшое количество инцидентов, огромные проблемы
SonicWall заявляет, что зафиксировано менее 40 подтвержденных инцидентов. Пусть эта цифра не вводит вас в заблуждение. Хотя масштаб кажется небольшим, ущерб катастрофичен. Речь идет о полномасштабном развертывании программ-вымогателей.
Техническая сторона проста, но жестока. Злоумышленники ищут локальные учетные записи, перенесенные из устаревших систем. Если эти пароли не соответствовали современным стандартам сложности или ранее фигурировали в утечках данных, они фактически являются открытой дверью. Как только злоумышленник оказывается внутри, он не просто «просматривает» сеть — он обходит MFA для закрепления в системе.
Как закрыть «дверь»
Если вы используете оборудование Gen 7, пора прекратить чтение и начать обновление. Выпуск SonicOS 7.3 от SonicWall — это основная линия обороны, специально разработанная для того, чтобы остановить подобные атаки методом перебора.
Ваш список первоочередных действий:
- Обновите прошивку: Немедленно переходите на SonicOS 7.3. Не ждите выходных.
- Удалите старые пароли: Принудительно сбросьте пароли для всех локальных учетных записей пользователей. Если учетная запись была перенесена с устройства Gen 6, считайте ее скомпрометированной.
- Строгое внедрение MFA: Если вы еще не защитили свои точки доступа SSL-VPN обязательной многофакторной аутентификацией, вы фактически оставляете окна открытыми.
- Фильтрация трафика: Используйте фильтрацию ботнетов и Geo-IP фильтрацию, чтобы блокировать трафик из регионов или источников, которые не должны иметь доступа к вашему VPN.
Усиление цепочки аутентификации
Безопасность настолько сильна, насколько сильно ее самое слабое звено, и сейчас этим звеном является ваша цепочка аутентификации. SonicWall опубликовала руководство по настройке 2FA для SSL-VPN с использованием TOTP, что является обязательным уровнем защиты от подбора учетных данных. Кроме того, новые требования к блокировке попыток входа и сложности паролей в SonicOS 7.3 призваны остановить автоматизированные инструменты подбора.
| Категория защиты | Необходимые действия |
|---|---|
| Прошивка | Обновиться до SonicOS 7.3 |
| Учетные данные | Сбросить все пароли локальных пользователей |
| Аутентификация | Внедрить MFA для SSL-VPN |
| Сетевая безопасность | Включить Geo-IP и фильтрацию ботнетов |
«Ловушка миграции»
Эта ситуация подчеркивает серьезный пробел в стандартных циклах обновления оборудования. Когда IT-команды переходят с одного поколения оборудования на другое, приоритетом почти всегда является «поддержание работоспособности». Время безотказной работы — превыше всего. Но в этой спешке безопасность часто отходит на второй план. Администраторы оставляют старые настройки активными, полагая, что раз оборудование новое, то уровень безопасности автоматически повышен.
Именно на это и рассчитывают злоумышленники. Они знают, какие организации недавно обновились, и знают, что эти организации, скорее всего, перенесли те же слабые, устаревшие учетные данные, которые никогда не должны были пережить переход.
В будущем любая миграция оборудования должна сопровождаться тщательным аудитом локальных учетных записей. Если вы не сбрасываете пароли и не перепроверяете MFA как часть вашего контрольного списка запуска, вы просто переносите свои уязвимости в новую дорогую «коробку».
Будьте бдительны. Проверяйте логи на наличие странных всплесков аутентификации, обновляйте системы и перестаньте доверять «старым» учетным данным, которые годами хранились в вашей базе данных. Угрозам нет дела до вашего времени безотказной работы — их интересуют только ваши слабые места.
