Когда уязвимости PHP2Shell стали достоянием общественности, мои мысли вернулись к Log4Shell.
Пять лет назад Log4Shell показала, насколько сложным может быть реагирование на критическую уязвимость в программном обеспечении, используемом в бесчисленных приложениях и сервисах. PHP2Shell представляет собой аналогичную проблему. Технические детали отличаются, но необходимость быстро понять, где вы уязвимы, и принять меры очень знакома.
Я считаю, что нам следует ожидать больше подобных инцидентов. ИИ позволяет обнаруживать уязвимости в широко используемом программном обеспечении с беспрецедентной скоростью и в беспрецедентных масштабах. По мере того как эти возможности становятся все более доступными, мы, вероятно, увидим появление новых критических уязвимостей.
Вопрос в том, насколько хорошо мы готовы с ними справиться.
Первая задача: узнать, где вы уязвимы
Эта подготовка начинается с понимания того, какое программное обеспечение вы используете и где.
PHP обеспечивает работу значительной части интернета, включая множество приложений и сервисов. Уязвимости PHP2Shell затрагивают саму среду выполнения PHP, а не обязательно приложения, созданные на ее основе.
Недостаточно просто знать, какие бизнес-приложения вы используете. Вы должны понимать лежащую в их основе инфраструктуру и программные компоненты, от которых они зависят, где эти компоненты запущены и кто несет ответственность за их обслуживание.
Эта проблема также распространяется на SaaS-приложения и управляемые извне сервисы. Мы можем не контролировать их базовую инфраструктуру, но мы все равно должны понимать, затронуты ли они и какие действия предпринимают их провайдеры.
Check Point Research сообщила об активности, связанной с PHP2Shell, которая затронула 10% организаций по всему миру, а в Европе этот показатель вырос до 14%. Масштабы этой активности показывают, почему понимание степени подверженности рискам становится столь насущным, когда уязвимости обнаруживаются в широко используемых технологиях.
ИИ меняет временные рамки
Информация о PHP2Shell стала публичной раньше запланированного скоординированного раскрытия. Несмотря на то, что были доступны не все технические детали, сама публикация предоставила злоумышленникам отправную точку.
Как только уязвимость становится известна — даже при наличии ограниченной технической информации — ИИ может помочь проанализировать затронутый код, выявить основную уязвимость и разработать потенциальные эксплойты. То, что раньше требовало значительного ручного расследования, теперь можно выполнить гораздо быстрее.
Как только появляется эксплойт, автоматизированные платформы могут быстро сканировать системы, подключенные к интернету, выявлять уязвимые цели и пытаться использовать уязвимости в больших масштабах. Эти возможности существовали в течение многих лет, но более быстрая разработка эксплойтов в сочетании с автоматизированными атаками еще больше сокращает время, имеющееся у защитников на реакцию.
Во время инцидента с Log4Shell мы видели, как быстро недавно раскрытая уязвимость может превратиться в глобальную проблему безопасности. Сегодня этот процесс может происходить еще быстрее.
Для защитников это означает необходимость знать, где мы уязвимы, находить уязвимости раньше злоумышленников и развертывать новые средства защиты сразу после их появления, одновременно работая над постоянными исправлениями.
Реагирование на нескольких фронтах
В Check Point мы параллельно выполняли несколько задач с первых часов после раскрытия информации о PHP2Shell. Мы начали с маппинга мест запуск PHP в нашей среде и определения потенциально уязвимых систем. Вместо того чтобы ждать патчей, мы немедленно предприняли шаги по снижению рисков, включая ограничение доступа к определенным службам и проверку наличия над средств защиты на других.
Мы также связались с SaaS-провайдерами, на которых полагаемся, чтобы понять степень нашего риска и их планы по устранению уязвимостей. Параллельно мы начали работу с владельцами наших систем по развертыванию необходимых патчей — этот процесс все еще продолжается и займет время. Немедленные меры по миграции имеют решающее значение, но они лишь дают нам время. В конечном счете исходные уязвимости должны быть исправлены.
Являясь первым клиентом Check Point, мы используем собственные продукты безопасности для защиты нашей инфраструктуры. Мы убедились, что соответствующие продукты не уязвимы, и применили необходимые меры в первые часы инцидента.
В течение нескольких часов после уведомления продуктовые команды Check Point внедрили новую защиту IPS в соответствующих продуктах безопасности. Мы развернули эту защиту внутри компании и сделали ее доступной для клиентов. Check Point также опубликовала рекомендации по безопасности и технические руководства, чтобы помочь клиентам оценить свои риски и предпринять надлежащие действия.
Важный урок нашего опыта заключается в том, что эти действия не могут ждать друг друга. Понимание рисков, снижение немедленных угроз, развертывание средств защиты и подготовка постоянных исправлений должны происходить параллельно.
Четыре возможности, которые имеют решающее значение
Рассматривая PHP2Shell через призму опыта с Log4Shell, я считаю, что четыре возможности заслуживают особого внимания.
- Знайте свою инфраструктуру и тех, кто ею владеет
Точный учет активов важен, но он должен выходить за рамки простого списка приложений и серверов. Организациям необходимо понимать технологии, работающие в их инфраструктуре, их зависимости и то, кто отвечает за их обслуживание.
Непрерывное управление рисками угроз (Continuous Threat Exposure Management, CTEM) помогает организациям непрерывно выявлять, приоритизировать и проверять уязвимости, чтобы команды реагирования могли в первую очередь сосредоточиться на тех уязвимостях, до которых можно добраться и которые имеют реальные последствия.
- Находите слабые места раньше злоумышленников
Мы не можем полагаться только на обнаружение уязвимостей после того, как они становятся публичными.
Continuous Threat Exposure Management (CTEM) помогает организациям непрерывно выявлять, приоритизировать и проверять свои уязвимости.
Агентское сканирование идет дальше. ИИ-агенты могут исследовать среды, искать ранее неизвестные уязвимости и изучать потенциальные пути атак. Это дополняет традиционное сканирование уязвимостей и дает защитникам возможность обнаруживать и устранять слабые места до того, как ими воспользуются злоумышленники.
Эти возможности должны работать безопасно, с четкими границами того, что могут делать сканирующие агенты, особенно в производственных средах.
- Развертывайте средства защиты сразу после их появления
Патчинг по-прежнему необходим, но он требует времени. IPS, WAF, сегментация и другие средства контроля безопасности могут снизить риски, пока основные уязвимости устраняются.
Важная часть заключается в обеспечении правильной конфигурации этих технологий, их непрерывном обновлении и защите соответствующей инфраструктуры и сервисов. Новые средства защиты должны развертываться сразу после их появления, не дожидаясь завершения всего процесса установки патчей.
- Сделайте свою инфраструктуру готовой к патчам
Проведя годы в управлении корпоративным ИТ, я знаю, что исправление уязвимостей не всегда происходит просто. Устаревшие системы, сложные зависимости и накопленный технический долг могут превратить обновление безопасности в масштабный проект.
Команды безопасности могут выявлять уязвимости и расставлять приоритеты, но они зависят от инфраструктурных и прикладных команд в деле внедрения исправления.
Создание инфраструктуры с возможностью установки патчей требует постоянных инвестиций в модернизацию, автоматизацию, тестирование и четкое распределение ответственности. Организациям необходимо работать над этим постоянно, а не только тогда, когда обнаруживается критическая уязвимость.
Возможность быстро развертывать обновления безопасности важна точно так же, как и способность выявлять уязвимости.
Подготовка к следующему Log4Shell
Мы пока не знаем, окажет ли PHP2Shell хоть сколько-нибудь сопоставимое с Log4Shell влияние. Но операционная задача нам знакома, и ИИ меняет скорость ее развития.
Мой главный вывод заключается в том, что подготовка должна превращать знания в действия: понимание того, что задействовано в среде, кто за это отвечает, какие слабые места имеют наибольшее значение и как быстро могут быть развернуты временные и постоянные исправления. Мы не можем контролировать, когда будет обнаружена или раскрыта следующая критическая уязвимость. Но мы можем контролировать то, насколько мы готовы к реагированию.
И поскольку ИИ ускоряет как обнаружение уязвимостей, так и их эксплуатацию, эта подготовка будет все в большей степени определять то, насколько успешно мы сможем защищать наши организации.
