Cộng đồng an ninh mạng đang xôn xao về cách xử lý của Fortinet đối với lỗ hổng zero-day nghiêm trọng ảnh hưởng đến FortiManager, với các cuộc thảo luận cho thấy những lo ngại sâu sắc về thực hành bảo mật và tính minh bạch của công ty. Các chuyên gia bảo mật đặc biệt lo ngại về sự kết hợp giữa mức độ phơi nhiễm rộng rãi và sự miễn cưỡng của nhà cung cấp trong việc cung cấp thông tin quan trọng về lỗ hổng.
Phạm vi của Vấn đề
Lỗ hổng ảnh hưởng đến FortiManager, một công cụ quản lý mạng quan trọng được nhiều tổ chức và Nhà cung cấp Dịch vụ Quản lý (MSP) sử dụng. Điều khiến tình huống này đặc biệt đáng báo động là:
- Hơn 60.000 thiết bị có khả năng bị tổn thương tiếp xúc với internet
- Ảnh hưởng đến nhiều phiên bản của FortiManager, bao gồm cả triển khai trên đám mây
- Cho phép kẻ tấn công thực thi mã từ xa và có khả năng xâm phạm toàn bộ mạng
- Đặc biệt nguy hiểm đối với các MSP quản lý nhiều mạng khách hàng
Góc nhìn và Mối quan ngại của Cộng đồng
Các chuyên gia bảo mật đã chỉ ra một số vấn đề quan trọng:
-
Vượt qua Xác thực : Lỗ hổng cho phép kẻ tấn công tái sử dụng chứng chỉ từ bất kỳ thiết bị FortiGate nào để đăng ký thiết bị trái phép, hiệu quả là vượt qua cơ chế xác thực.
-
Tác động Dây chuyền : Khi đã bị xâm phạm, kẻ tấn công có thể:
- Thực thi mã trên hệ thống FortiManager
- Truy cập tệp cấu hình và thông tin đăng nhập
- Sửa đổi cấu hình mạng
- Có khả năng xâm phạm mạng khách hàng phía dưới
-
Nhân tố Rủi ro MSP : Lỗ hổng đặc biệt đáng lo ngại đối với các MSP, vì một lần xâm phạm có thể ảnh hưởng đến nhiều tổ chức khách hàng.
Phản ứng của Ngành và Các Biện pháp Thực hành Tốt nhất
Các chuyên gia bảo mật đang đề xuất một số hành động ngay lập tức:
-
Cập nhật Phiên bản : Các tổ chức nên nâng cấp lên các phiên bản sau:
- 7.6.1 trở lên
- 7.4.5 trở lên
- 7.2.8 trở lên
- 7.0.13 trở lên
- 6.4.15 trở lên
-
Cô lập Mạng : Nhiều chuyên gia đề xuất cô lập hệ thống FortiManager khỏi truy cập internet trực tiếp khi có thể.
-
Tăng cường Giám sát : Triển khai giám sát bổ sung đối với các nỗ lực đăng ký và hoạt động bất thường của FortiManager.
Cuộc Tranh luận về Tính Minh bạch
Sự thất vọng của cộng đồng bảo mật vượt ra ngoài khía cạnh kỹ thuật của lỗ hổng. Cách tiếp cận của Fortinet trong việc công bố lỗ hổng đã làm dấy lên cuộc tranh luận về trách nhiệm của nhà cung cấp và tính minh bạch trong an ninh mạng. Điều này đặc biệt mỉa mai khi xét đến những tuyên bố công khai gần đây của công ty về cam kết minh bạch triệt để và phân tích chi tiết về các lỗ hổng của đối thủ cạnh tranh.
Việc thiếu cảnh báo chính thức hoặc chỉ định CVE đã khiến các đội ngũ bảo mật phải vật lộn tìm kiếm thông tin và phụ thuộc vào các kênh không chính thức để cập nhật bảo mật quan trọng, làm nổi bật những thách thức khi phụ thuộc vào các nhà cung cấp ưu tiên quản lý danh tiếng hơn là truyền thông bảo mật minh bạch.
Tình huống này vẫn đang tiếp tục phát triển, và các đội ngũ bảo mật được khuyến nghị theo dõi các cập nhật và triển khai các bản vá có sẵn càng sớm càng tốt.