آژانسهای امنیتی FBI، NSA و مقامات در Five Eyes گزارشی منتشر کردن در خصوص 15 آسیب پذیری برتری که در سال 2023 توسط بازیگران تهدید مورد استفاده قرار گرفتن. بیشتر این اکسپلویتها، در ابتدا بصورت زیرودی مورد استفاده قرار گرفتن.
در این گزارش از سازمانها و شرکتهای سراسر دنیا، خواسته شده تا این آسیب پذیری ها رو در سیستمهاشون اصلاح کنن تا هدف بازیگران تهدید قرار نگیرن.
طبق این گزارش، بازیگران تهدید در سال 2023، نسبت به سال 2022، از زیرودی های بیشتری استفاده کردن. همچنین چندین مورد از آسیب پذیری های سالهای قبل هم مورد استفاده قرار گرفته که نشون میده سازمانها و شرکتها در اصلاح این آسیب پذیریها، توجه زیادی نداشتن.
جدول زیر 15 آسیب پذیری برتری که در سال 2023 بصورت معمول، توسط بازیگران تهدید مورد استفاده قرار گرفته رو نشون میده:
علاوه بر لیست بالا، آژانس های امنیتی یک لیست دیگه ای رو هم منتشر کردن. این لیست، که تعداشون 32 مورد هستش، آسیب پذیری هایی رو نشون میده که باز بیشتر مورد توجه بازیگران تهدید قرار گرفتن. البته لیست بالا موارد رایج هستش و لیست پایینی، لیست دوم آسیب پذیری های رایج هستش.
اقدامات کاهشی :
توسعه دهندگان و سازندگان:
- آسیب پذیری هایی که بصورت مکرر اکسپلویت میشن رو شناسایی کنید.
- برای این کار آنالیزی روی CVE و KEV انجام بدید تا بدونید، کدوم کلاس از آسیب پذیری ها، بیشتر شناسایی میشن.
- اقدامات کاهشی موثر که منجر به حذف اون کلاس از آسیب پذیری ها میشه رو اعمال کنید.
- اطمینان حاصل کنید که رهبران کسب و کار مسئول امنیت هستن:
- رهبران کسب و کار باید اطمینان حاصل کنن که تیمشون اقدامات پیشگیرانه‌ای رو برای حذف کل دسته های آسیب‌پذیری‌ها انجام دادن، به جای اینکه فقط وصله‌های یکبار مصرف رو هنگام کشف آسیب‌پذیریهای جدید ایجاد کنن.
- از SP 800-218 SSDF پیروی کنید و شیوه های امن طراحی رو در هر مرحله از چرخه عمر توسعه نرم‌افزار (SDLC) اجرا کنید. بطور خاص، هدف، انجام توصیه‌های SSDF زیر است:
- هر جا که امکانپذیر هستش از زبانهای ایمنی حافظه استفاده کنید. [SSDF PW 6.1]
- هنگام انتخاب مولفه های نرم افزاری مانند کتابخونه ها، مطمئن بشید که از امنیت قوی برخوردار باشن. [SSDF PW 4.1]
- شیوه های امن تیم توسعه نرم‌افزار رو راه‌اندازی کنید. [SSDF PW.5.1, PW.7.1, PW.7.2]
- یک برنامه افشای آسیب پذیری برای تایید و رفع آسیب پذیری هایی که توسط افراد داخل یا خارج سازمان ارائه میشه، ایجاد کنید. [SSDF RV.1.3]
- از ابزارهای تست امنیت برنامه‌های کاربردی استاتیک و داینامیک (SAST/DAST) برای آنالیز سورس کد و رفتار برنامه، برای شناسایی شیوه های مستعد خطا استفاده کنید. [SSDF PW.7.2, PW.8.2]
- محصولات آماده تولید رو برای داشتن امن ترین تنظیمات پیش فرض، پیکربندی کنید و راهنمایی در مورد خطرات تغییر هر تنظیم رو ارائه بدید. [SSDF PW.9.1, PW9.2]
- اطمینان حاصل کنید که CVE های منتشر شده شامل فیلد CWE مناسب برای شناسایی علت آسیب پذیری باشن تا امکان آنالیز امنیت نرم افزار و نقص های طراحی در کل صنعت فراهم بشه.
سازمانهای کاربر نهایی:
مدیریت پیکربندی و آسیب پذیری:
- بروزرسانی نرم افزار، سیستم عامل، برنامه و فریمورها روی دارایی های شبکه فناوری اطلاعات [CPG 1.E]:
- اولویت رو روی KEVها، بعدش CVEهای بحرانی و شدت بالا که امکان اجرای کد از راه دور و منع سرویس در سیستمهای رو به اینترنت رو فراهم میکنن، قرار بدید.
- اگه اصلاحیه برای یک KEV، سریعا قابل دسترس نبود، از اقدامات کاهشی که سازنده معرفی کرده استفاده کنید.
- نرم افزارهایی که به پایان عمرشون رسیدن و دیگه پشتیبانی نمیشن رو جایگزین کنید.
- بصورت دوره ای و خودکار، شناسایی دارایی ها رو انجام بدید و اونا رو لیست کنید.
- یک فرایند مدیریت وصله قوی و متمرکز، برای ایجاد یک برنامه اولویت دار اصلاحیه ها ایجاد کنید. [CPG 1.A]
- اگه سازمانی قادر به اسکن سریع و اصلاح سیستمهای رو به اینترنت نیست، این سیستمهارو به ارائه دهندگان سرویسهای ابری (CSP) یا سایر ارائه دهندگان سرویسهای مدیریت شده (MSP) انتقال بدن.
- MSPهای معتبر میتونن برنامه‌های کاربردی (مانند ایمیل وب، ذخیره‌سازی فایل، اشتراک‌گذاری فایل، چت و سایر ابزارهای همکاری کارکنان) رو برای مشتریان خودشون بصورت خودکار اصلاح کنن.
- MSPها و CSPها میتونن سطح حمله‌ی مشتریشون رو گسترده کنن و ممکن ریسکهای پیش‌بینی‌نشده‌ای ایجاد کنن، بنابراین سازمانها باید بطور پیش‌فعالانه با ارائه‌دهندگان خدمات مدیریت‌شده و ارائه‌دهندگان خدمات ابری خودشون، برای کاهش مشترک ریسکها همکاری کنن.
- مستندسازی پیکربندیهای بنیادی امن برای تمام اجزای فناوری اطلاعات/فناوری عملیاتی، از جمله زیرساخت ابری.
- هرگونه انحراف از پیکربندی بنیادی امن اولیه رو مونیتور، بررسی و مستند کنید. [CPG 2.O]
- پشتیبان‌گیری منظم از سیستمهای امن رو انجام بدید و برای تعمیر و/یا بازیابی، کپی های مطمئن، از تمام پیکربندیهای دستگاه، ایجاد کنید.
- این کپی‌ها رو به‌صورت آفلاین در مکانهای فیزیکی امن ذخیره کنید و بطور منظم اونارو تست کنید.[CPG 2.R]
- یک برنامه‌ی پاسخ به حوادث امنیت سایبری بروز رو ایجاد کنید که حداقل سالانه تست بشه و در یک بازه‌ی زمانی مبتنی بر ریسک بروزرسانی بشه تا اثربخشی اون تضمین بشه. [CPG 2.S]
مدیریت هویت و دسترسی:
- اجرای احراز هویت چندعاملی (MFA) مقاوم در برابر فیشینگ برای همه کاربران بدون استثنا [CPG 2.H]
- بصورت دوره‌ای اکانتهای بدون امتیاز رو بررسی، تأیید یا حذف کنید (حداقل سالانه) [CPG 2.D, 2.E]
- کنترل دسترسی رو تحت اصل حداقل امتیاز پیکربندی کنید. [CPG 2.O]
- مطمئن بشید که اکانتهای سرویس نرم‌افزاری فقط مجوزهای لازم، برای انجام عملکردهای مورد نظر (با استفاده از امتیازات غیرمدیریتی در صورت امکان) ارائه میدن. برای اطلاعات بیشتر میتونید از این راهنما استفاده کنید.
کنترلهای محافطتی و معماری:
- پیکربندی و ایمن سازی صحیح دستگاههای شبکه رو به اینترنت، غیرفعال کردن پورتها و پروتکلهای شبکه‌ی بلااستفاده یا غیرضروری، رمزگذاری ترافیک شبکه، و غیرفعال کردن سرویسها و دستگاههای شبکه‌ی بلااستفاده [CPG 2.V, 2.W, 2.X].
- هاردنینگ سرویسهای شبکه‌ی سازمانی که معمولاً اکسپلویت میشن، از جمله: پروتکل LLMNR، پروتکل RDP، سیستم فایل اینترنتی مشترک (CIFS)، Active Directory، و OpenLDAP.
- مدیریت اکانتهای Windows Key Distribution Center (KDC) (مانند KRBTGT) برای به حداقل رسوندن حملات Golden Ticket و Kerberoasting.
- کنترل دقیق استفاده از برنامه‌های اسکریپتنویسی داخلی مانند خط فرمان، PowerShell، WinRM، WMI و DCOM.
- پیاده‌سازی Zero Trust Network Architecture (ZTNA) برای محدود کردن یا مسدود کردن حرکت جانبی با کنترل دسترسی به برنامه‌ها، دستگاه‌ها و پایگاه‌های داده. استفاده از شبکه‌های محلی مجازی خصوصی (private virtual local area networks) [CPG 2.F, 2.X]. برای کسب اطلاعات بیشتر این راهنما رو مطالعه کنید.
- مونیتورینگ مداوم سطح حمله و بررسی فعالیتهای غیرعادی که ممکن نشون دهنده حرکت جانبی بازیگر سایبری یا بدافزار باشه [CPG 2.T].
- استفاده از ابزارهای امنیتی مانند EDR و SIEM.
- در نظر گرفتن استفاده از یک راه‌حل information technology asset management (ITAM) برای اطمینان از اینکه EDR، SIEM، اسکنرهای آسیبپذیری و سایر ابزارهای مشابه تعداد یکسانی از دارایی ها رو گزارش میدن [CPG 2.T, 2.V].
- استفاده از WAF برای مونیتورینگ و فیلتر کردن ترافیک وب.
- این ابزارها از طریق راه‌حل‌های سخت‌افزاری، نرم‌افزاری و مبتنی بر ابر در دسترس هستن و ممکن تلاشهای اکسپلویت رو تشخیص و کاهش بدن، جایی که یک بازیگر تهدید یک درخواست وب مخرب رو به یک دستگاه اصلاح نشده ارسال میکنه [CPG 2.B, 2.F].
- پیاده‌سازی یک سیاست مدیریتی و/یا فرآیند خودکار پیکربندی شده برای مونیتورینگ سخت‌افزار، نرم‌افزار یا برنامه‌های ناخواسته در برابر یک لیست مجاز با نسخه‌های مشخص و تأییدشده [CPG 2.Q].
امنیت زنجیره تامین:
- کاهش برنامه‌های کاربردی شخص ثالث و ساختهای منحصر به فرد سیستم/برنامه .
- فقط در صورت نیاز برای پشتیبانی از عملکردهای حیاتی کسب‌وکار، استثنا قائل بشید[CPG 2.Q].
- مطمئن بشید که قراردادها از فروشندگان و/یا ارائه‌دهندگان خدمات شخص ثالث میخوان که:
- از ارائه دهندگان نرم‌افزار خودتون بخوایید در مورد برنامه طراحی ایمن شون صحبت کنن، لینکهایی به اطلاعاتی در مورد نحوه تلاش اونا برای حذف کلاس های آسیبپذیری و تنظیم پیکربندیهای پیش‌فرض امن ارائه بدن.