Ivanti VPN 漏洞：您需要了解的信息
中国国家支持的黑客瞄准了最近公布的 Ivanti VPN 产品、Ivanti Connect Secure（前身为 Pulse Secure）和 Ivanti Policy Secure 网关中的漏洞。这些漏洞被报告为 CVE-2023-46805、CVE-2024-21887、CVE-2024-21888 和 CVE-2024-21893。
如果同时使用，这些漏洞可能会导致未经授权的身份验证绕过和远程命令执行。Ivanti 已针对其产品中最常用的版本发布了这些漏洞的修补程序，但该公司尚未发布其产品所有易受攻击版本的修补程序。这导致权限升级和服务器端请求伪造的风险增加，使那些尚未能够应用补丁的用户面临更大的风险。
Ivanti 安全措施和建议
Unit 42® 建议，一旦发现这些漏洞，应立即打上补丁，并在打补丁前主动重置系统，以确保环境的完整性。针对新发现的漏洞，我们赞同 CISA 提出的断开受攻击解决方案的网络连接的建议，并强调认真应用现有或即将推出的补丁程序的重要性。
在 Threat Vector 播客的最新环节中，Unit 42 网络安全专家、副总裁兼全球运营主管 Sam Rubin 和负责任情报管理的高级经理 Ingrid Parker 深入探讨了在 Ivanti 的 Connect Secure 和 Policy Security 产品中发现的关键漏洞。他们探讨了漏洞的潜在影响、减轻影响的紧迫性以及防御策略。
Unit 42 事故应对案例
CVE-2023-46805 和 CVE-2024-21887 Ivanti 漏洞的利用活动分为三波。
第一波至少从 2023 年 12 月的第二周持续到 2024 年 1 月 10 日，Volexity 就此发表了第一篇博文。此次活动中的攻击具有针对性，并采用了多种自定义网络外壳和横向移动。Unit 42 应对了可能与这一波运动相对应的威胁活动。
与 Volexity 的博文中讨论的活动类似，我们观察到威胁参与者进行了以下活动：
- 外泄前使用 7-Zip 将 NTDS.dit 等文件存档
- 使用 Windows 任务管理器 (Taskmgr.exe) 创建 LSASS 进程的内存转储
- 通过远程桌面协议（RDP）横向移动
- 删除日志
第二波浪潮始于 Volexity 于 2024 年 1 月 10 日发表第一篇博文之后。这一浪潮的特点是从有针对性的攻击转变为更多威胁参与者的大规模利用。
Unit 42 对很可能与这一波运动相对应的威胁活动案件做出了回应。这些案件中的威胁活动是一致的。
威胁参与者转储了包含网络内各种用户和账户的模式、设置、名称和凭据的配置数据，但没有像第一波事件那样进行任何横向移动。
Unit 42 认为，这一活动背后的威胁参与者可能已将重点转移到更广泛的利用上，以便在各组织开始打补丁和应用缓解指导之前将影响最大化。
第三波浪潮早在 2024 年 1 月 16 日就已开始，当时概念验证（PoC）漏洞已公开可用。这些漏洞的发布导致一系列具有不同动机和复杂程度的行为者进行大规模利用，包括广泛部署加密货币挖矿机和各种远程监控和管理（RMM）软件的犯罪实体。
Unit 42 已对威胁活动做出响应，这些活动很可能与这一波段相对应，来自使用公开 PoC 漏洞的威胁参与者。我们目前正在支持客户调查这些事件。
全面的伊万纳提辩护策略
这些漏洞的发现凸显了警惕安全措施和快速反应能力的必要性。这凸显了广泛使用的虚拟专用网络（VPN）技术中存在的关键安全漏洞，而这些漏洞正被老练的威胁参与者所利用。这些漏洞允许未经授权的访问和控制，给组织网络带来重大风险。
以下策略对于保持强大的安全态势，应对不断变化的网络威胁，确保敏感信息和关键基础设施得到保护至关重要：
- 清点您的资产：为所有网络设备、系统和软件编制目录。
- 选择正确的工具：利用最适合 IT 环境复杂性和大规模的漏洞扫描工具。
- 扫描漏洞：定期运行扫描，找出系统中的安全漏洞。
- 分析结果：仔细查看扫描结果，根据其严重性和潜在影响确定漏洞的优先级。
- 补救和修补：打上必要的补丁或变通方法，以减少已发现的漏洞。
- 重复并回顾：监控并重新评估您的安全态势，以适应新的威胁。
请务必查看我们先进的 Ivanti 新兴威胁报告：
采用全面的网络安全策略
采取重要措施保护网络免受潜在的网络威胁至关重要。一些保护网络安全的方法包括隐藏应用程序和 VPN，使其不被公共互联网看到，从而避免受到攻击。您还应该彻底检查所有入站和出站流量，以消除恶意软件和零时差漏洞等威胁。
在整个网络中应用最小权限原则是另一个重要步骤。这可确保用户只能访问其角色所需的资源。您还应通过使用强大的多因素身份验证来有效验证用户身份，从而加强访问控制。
还建议将用户直接连接到应用程序，而不是更广泛的网络。这样可以最大限度地减少安全事故可能造成的损失。利用持续监控对于识别和减轻内部或外部受损参与者造成的威胁也至关重要。
为保护敏感数据，在传输和静止时都应进行严格监控和加密。采用欺骗技术和积极主动的威胁追踪，有助于在威胁造成危害之前识别并消除威胁。
在组织内部培养安全意识文化也可以抵御网络钓鱼等常见媒介。通过评估和模拟定期评估安全措施，有助于发现和解决漏洞。
Palo Alto Networks 零信任方法
为应对这些威胁，Palo Alto Networks 强调零信任架构的重要性，在不将应用程序暴露于直接网络威胁的情况下，为应用程序提供安全、分段的访问。我们的解决方案，包括高级威胁预防和分段策略，旨在 最大限度地减少攻击面，防止未经授权的访问，并 实时检测和 应对威胁。
