@burakdmrtsBeyondTrust Remote Support Ürününde Kritik Sıfırıncı Gün: Ağustos'tan Beri İstismar Edildiği Bildirildi
Güvenlik haberlerine göre BeyondTrust, Remote Support ürününde kritik bir sıfırıncı gün zafiyeti için müşterilerini yama uygulamaya çağırdı. Zafiyetin ağustos ayından bu yana istismar edildiği bildiriliyor.
Uzaktan destek yazılımları, saldırganlar için özellikle değerli hedefler. Sebebi basit: bu araçlar tanım gereği başka sistemlere erişim sağlıyor ve genelde yüksek yetkilerle çalışıyor. Bir uzaktan destek sunucusunu ele geçiren saldırgan, o sunucunun eriştiği bütün makinelere erişim kazanabiliyor. Son yıllarda tedarik zinciri saldırılarının yoğunlaştığı alanlardan biri tam olarak burası.
Haberdeki kritik ayrıntı, istismarın aylardır sürüyor olması. Bu, savunma tarafında şu soruyu doğuruyor: eğer bu zafiyet ağustostan beri kullanılıyorsa, sizin ortamınızda bir iz var mı? Yamayı uygulamak bugünü koruyor, geçmişi temizlemiyor. Bu tip durumlarda yapılması gereken şey, yama sonrası bir inceleme: kayıtları geriye dönük tarayıp anormal oturumları, beklenmedik erişimleri ve yeni oluşturulmuş hesapları aramak.
Kurumlar için çıkarımlar. Birincisi, uzaktan erişim araçlarını en az yetki ilkesiyle yapılandırın ve erişilebilecek makine kümesini daraltın. İkincisi, bu araçların yönetim arayüzünü internete açmayın. Üçüncüsü, oturum kayıtlarını tutun ve düzenli gözden geçirin. Dördüncüsü, tedarikçilerinizin güvenlik bültenlerine abone olun; bu bildirimler çoğu zaman kimsenin takip etmediği bir mail kutusuna düşüyor.
Küçük işletmeler için de bir not: dışarıdan bilgi işlem desteği alıyorsanız, destek firmasının hangi araçla ve hangi yetkiyle sisteminize bağlandığını sorun. Bu soruyu kimse sormuyor ve risk doğrudan sizin üstünüzde kalıyor.
Uzaktan destek aracı kullanan var mı, erişim yetkilerini nasıl sınırlıyorsunuz?
Uzaktan destek yazılımları, saldırganlar için özellikle değerli hedefler. Sebebi basit: bu araçlar tanım gereği başka sistemlere erişim sağlıyor ve genelde yüksek yetkilerle çalışıyor. Bir uzaktan destek sunucusunu ele geçiren saldırgan, o sunucunun eriştiği bütün makinelere erişim kazanabiliyor. Son yıllarda tedarik zinciri saldırılarının yoğunlaştığı alanlardan biri tam olarak burası.
Haberdeki kritik ayrıntı, istismarın aylardır sürüyor olması. Bu, savunma tarafında şu soruyu doğuruyor: eğer bu zafiyet ağustostan beri kullanılıyorsa, sizin ortamınızda bir iz var mı? Yamayı uygulamak bugünü koruyor, geçmişi temizlemiyor. Bu tip durumlarda yapılması gereken şey, yama sonrası bir inceleme: kayıtları geriye dönük tarayıp anormal oturumları, beklenmedik erişimleri ve yeni oluşturulmuş hesapları aramak.
Kurumlar için çıkarımlar. Birincisi, uzaktan erişim araçlarını en az yetki ilkesiyle yapılandırın ve erişilebilecek makine kümesini daraltın. İkincisi, bu araçların yönetim arayüzünü internete açmayın. Üçüncüsü, oturum kayıtlarını tutun ve düzenli gözden geçirin. Dördüncüsü, tedarikçilerinizin güvenlik bültenlerine abone olun; bu bildirimler çoğu zaman kimsenin takip etmediği bir mail kutusuna düşüyor.
Küçük işletmeler için de bir not: dışarıdan bilgi işlem desteği alıyorsanız, destek firmasının hangi araçla ve hangi yetkiyle sisteminize bağlandığını sorun. Bu soruyu kimse sormuyor ve risk doğrudan sizin üstünüzde kalıyor.
Uzaktan destek aracı kullanan var mı, erişim yetkilerini nasıl sınırlıyorsunuz?
12 3 yorum
