یک عامل بدخواه، اسناد FortiGate SSL-VPN را افشا کرده است

فورتی نت مطلع شده است که یک عامل بدخواه اخیرا اطلاعات دسترسی SSL-VPN به 87000 ابزار FortiGate SSL-VPN را افشا کرده است.

این اسناد از سیستم هایی به دست آمده بودند که در زمان اسکن عامل، نسبت به FG-IR-18-384/CVE-2018-13379 بدون بروزرسانی باقی مانده بودند.

در حالی که این اسناد ممکن است از آن زمان به بعد بروزرسانی شده باشند، اما در صورتی گذرواژه ها تغییر نکرده باشند، آسیب پذیری باقی می ماند.

این حادثه در ارتباط با یک آسیب پذیری قدیمی است که در می 2019 رفع شد.

در آن زمان، فورتی نت اقدام به صدور مشاوره PSIRT نمود و با مشتریان خود، ارتباط مستقیم برقرار کرد. فورتی نت متعاقبا چندین پست بلاگ شرکتی صادر نمود و جزئیات این مسئله را بیان کرد و قویا مشتریان را تشویق نمود که ابزارهای تحت تاثیر خود را ارتقا دهند.

علاوه بر مشاوره، بولتن و ارتباط مستقیم، این بلاگ ها در اوت 2019، ژوئیه 2020، آوریل 2021 و مجددا در ژوئن 2021 منتشر شدند.

فورتی نت در حال تاکید مجدد است که اگر در هر زمانی سازمان شما در حال اجرای هر یک از نسخه های تحت تاثیر لیست شده در زیر بوده است، حتی اگر ابزارهای خود ارتقا داده اید، باید تنظیم مجدد گذرواژه را نیز مطابق با بولتن پشتیبانی مشتری و سایر اطلاعات مشاوره ای انجام دهید.

در غیر این صورت، چنانچه اسناد کاربری شما قبلا مورد مداخله قرار گرفته باشد، ممکن است همچنان بعد از ارتقا نیز آسیب پذیر باشد.

باز هم در صورتی که در هر زمانی سازمان شما در حال اجرای نسخه ای متاثر بوده است، فورتی نت توصیه می کند که به سرعت گام های زیر را انجام دهید تا اطمینان حاصل کنید اسناد شما مورد سوءاستفاده قرار نگیرند.

1. همه VPNها (SSL-VPN یا IPSEC) را غیرفعال کنید تا این که گام های اصلاحی زیر صورت گیرند.

2. به سرعت ابزارهای تحت تاثیر را به آخرین نسخه منتشر شده موجود ارتقا دهید.

3. همه اسناد را مورد مداخله قرار گرفته در نظر گیرید و یک تنظیم گذرواژه در سطح کل سازمان انجام دهید.

4. احراز هویت چندعاملی انجام دهید تا سوءاستفاده از هرگونه اسناد مورد مداخله، در زمان جاری و آینده به حداقل برسد.

5. به کابران اطلاع دهید تا دلیل تنظیم مجدد گذرواژه و نظارت بر سرویس هایی مثل HIBP برای حوزه خود را توضیح دهید. این احتمال وجود دارد که چنانچه گذرواژه ها برای سایر حساب ها مورد استفاده مجدد قرار گرفته باشند، ممکن است در حملات جعل اسناد، قابل استفاده باشند.

 

ارتقای مورد توصیه:

نرم افزار خود را به FortiOS 5.4.13، FortiOS 5.4.14، FortiOS 6.0.13 یا FortiOS 6.2.9 و بالاتر ارتقا دهید. می توانید در وبسایت شرکت ستاک فناوری ویرا در قسمت دانلودها نسخه مورد نظر خود را پیدا کنید.

این ها جدیدترین نسخه های ارائه شده از همه نسخه های تحت تاثیر هستند. همچنین این ها، دربردارنده بهبودهای اضافی مورد توصیه هستند.

 

بهداشت امنیتی، گام اول است. ما آماده کمک هستیم

چشم انداز امنیتی پیوسته در حال تکامل است و حفظ همه سیستم ها – به ویژه ابزارهای امنیتی – برای دارا بودن دست برتر در برابر مجرمان سایبری ضروری است.

مانند بیشتر فروشندگان، فورتی نت حمایت و بروزرسانی پیوسته سخت افزارها را در اختیار مشتریان قرار می دهد تا مسائلی مانند آن چه در این جا مستند شده، رفع گردند.

ولی به نظر روشن می رسد که برخی سازمان ها از این خدمات استفاده نمی کنند یا به صورت پیوسته سیستم های حساس خود را بروزرسانی نمی نمایند.

دلایل مختلفی می تواند برای امنتناع از بروزرسانی وجود داشته باشد. ناتوانی در آفلاین کردن سیستم های حساس برای بروزرسانی به خاطر ایمنی یا سایر دغدغه ها، الزامات دشوار تست بروزرسانی جدید، و حتی تیم های امنیتی کم تجربه و کم تعداد همگی می توانند دارای نقش باشند.

متخصصان پشتیبانی فنی محلی و آنلاین ما برای ارائه راهنمایی در دسترس هستند. اما برای کسانی که سیستم های تحت تاثیر را اداره می کنند و نمی توانند گام اصلاحی را به سرعت اجرایی کنند، فورتی نت توصیه می کند به سرعت همه عملکردهای SSL-VPN تا زمان اجرای بروزرسانی ها غیرفعال گردند.

همچنین می توانید از این لینک برای کسب جزئیات بیشتر در مورد سیاست PSIRT جاری فورتینت و چگونگی بیان یک آسیب پذیری احتمالی به تیم PSIRT استفاده کنید.

 

دسته بندی حملات

تا بحال دسته بندی های متفاوتی برای حملات ارائه شده (مثلا insider و outsider یا پسیو و اکتیو و ...) اما ماهیت همه آنها یکی است. 

برای مثال بعضی ها Denial of Service را Interruption می گویند.

 

دسته بندی حملات از نظر اکتیو یا پسیو بودن:

 

حملات پسیو: بیشتر از جنس شنود هستند.

- Release of message contents

- Traffic analysis

 

حملات اکتیو: حمله کننده به صورت فعال وارد اجرای پروتکل می شود یا یک خرابکاری به بار می آورد.

- Masquerade

- Replay

- Modification of message contents

- Denial of service

 

سناریوهای حمله

- Interception: شنود یکی از حملات غیرتهاجمی است که به سختی آشکارسازی می شود. در روش های نوین روی مقابله با آن کار شده است.

جلوگیری از این حمله تقریبا غیرممکن است مگر اینکه از فناوری های نوین استفاده کنیم.

- Traffic Analysis: در این حمله، بیشتر از اطلاعات جانبی بدست آمده از مسیر ترافیک و ویژگی های آن استفاده می شود. مثلا ترافیک کجا می رود یا جنس آن چیست؟

- Interruption: ایجاد وقفه در مخابره برای مثال Denial of Service

- Fabrication: جعل پیام برای مثال Replay Attack

 

 

مدل های پیشنهادی تامین امنیت (شبکه و دسترسی)

 

- امنیت تبادل داده

مدل کلی تامین امنیت ارتباطات. البته این مدل به تنهایی قادر به پوشش دهی همه مسائل امنیت نیست. برای مثال مشکلات privacy ناشی از traffic analysis با این مدل حل نمی شود.

این مدل لزوم بک روش تولید پیام رمز شده از روی کلید و پیام اصلی را ارائه می دهد. همچنین به وجود یک شخص ثالث قابل اعتماد برای ایجاد یک ارتباط امن اشاره دارد.

- مدل تامین امنیت دسترسی به یک سیستم کامپیوتری

این مدل به بحث Autorisation و  Access Control اشاره دارد

 

 

فورتی نت برنده ی جایزه ی Professional Certification Program سال

 

برای سومین سال پیاپی، کمپانی فورتی نت با افتخار برنده ی جایزه Professional Certification Program  سال شد. در پنجمین جشنواره سالانه ی Cyber Security Awards که توسط گروه CyberSecurity Breakthrough برگزار می گردد، بیش از 4000 نامزد از بیش از 20 کشور مختلف و از سراسر جهان شرکت کرده بودند.

جیمز جانسون، مدیر عامل مجموعه ی CyberSecurity Breakthrough در رابطه با برنده شدن Fortinet در این بخش گفت: «پر کردن شکاف مهارت های امنیت سایبری برای هر سازمانی با هر اندازه ای بسیار مهم است. سازمان ها باید از امنیت مناسب و متخصصان ماهر و مسلط برای محافظت از خود برخوردار باشند. کمپانی Fortinet از طریق موسسه آموزشی NSE خود همچنان موقعیت خود را بعنوان رهبر اصلی و برای کاهش فاصله و پر کردن خلاء موجود در رابطه با ایجاد مهارت های امنیت سایبری در سراسر جهان حفظ می کند. ما مفتخریم که می توانیم Fortinet را برای سومین سال متوالی به عنوان انتخاب ما برای برنده ی بخش «صدور گواهینامه حرفه ای سال» انتخاب کنیم.»

 

مفاهیم امنیت شبکه

در این دوره به اصول رمزنگاری و استفاده از آنها را در امن کردن شبکه می پردازیم. برای شروع به تعریف یکسری از مفاهیم امنیتی پرداخته شده است.

 

ما 3 تا سرویس پایه امنیتی داریم:

 

1- محرمانگی 

یعنی مخفی و سری نگه داشتن اطلاعات از دید کسانی که نباید آن را بدانند. ابزار اینکار در دنیای واقعی معمولا رمزنگاری است.

2- دست نخوردگی، صحت

یعنی اطمینان از عدم تغییر مطالب

حتی در داده های رمزنگاری شده میتوان چیزی به آن اضافه یا از آن کم کرد یا بخشی از آن را تغییر داد.

3- در دسترس بودن

در دنیای دیجیتال معمولا در دسترس بودن را با درصد زمان سرویس دهی نمایش می دهند.

و 3 تا سرویس غیرپایه داریم:

4- اصالت - احراز هویت

یعنی اطمینان یافتن از اینکه شخص همانی است که ادعا می کند.

5- اجازه دسترسی

مستقیما با مفهوم Access Control در ارتباط است.

6- عدم انکار

یعنی نتوانید چیزی که انجام داده اید یا گفته اید را انکار کنید.

 

سه تای اول اصلی هستند که به اختصار (CIA) نامید می شوند و بقیه مشتقات آنها هستند.

 

در ادامه به معرفی چند نمونه استاندارد امنیتی و کاربرد آنها می پردازیم:

 

استاندارد FIPS99: روی سه سرویس امنیتی اول (CIA) تمرکز دارد و برای آنها 3 تا سطح تاثیرپذیری از یک نفوذ امنیتی را تعریف می کند.

- Low Impact: یعنی سازمان هنوز می تواند به کار خودش ادامه دهد ولی کارایی آن کاهش می یابد.

- Medium Impact : نفوذ صدمه جدی به کارایی سازمان و دارایی ها و یا افراد آن وارد می کند. سازمان میتواند به وظایف اصلی خود عمل کند ولی کارایی آن به صورت جدی کاهش پیدا می کند.

- High Impact: خسارت چشمگیر است و نفوذ صدمات غیرقابل جبرانی به کارایی سازمان، دارایی ها و یا افراد آن وارد می کند و سازمان دیگر نمیتواند وظایف اصلی خود را انجام دهد.

این مفاهیم در آنالیز کردن ریسک کاربرد دارد (ریسک تابعی از احتمال تهدید و میزان اثرگذاری آن در صورت وقوع است).

 

استاندارد ISO X.800: یک معماری امنیتی برای مدل OSI ارائه می دهد و میگوید برای تامین امنیت در هر لایه چکار باید کرد. یک روش سیستماتیک برای تعریف و تامین الزامات امنیتی ارائه می دهد و یک دید کلان از مسائل امنیتی شبکه به ما می دهد.

 

استاندارد X.800: یکسری تعاریف امنیتی ارائه می کند. مهمترین تعاریف در این استاندارد عبارتند از:

• آسیب پذیری: راهی که از آن طریق ممکن است به شما حمله شود. مثل ویندوز کرک شده، نرم افزار آپدیت نشده و ...
• تهدید: احتمال بالقوه حمله شدن 
• حمله: وقتی احتمال بالقوه حمله به صورت بالفعل درمی آید

سرویسهای امنیتی تعریف شده در X.800 عبارتند از:

1. Authentication
2. Access Control
3. Data Confidentiality
4. Data Integrity
5. Non-Repudiation

مکانیزم های حملات و اثرات آنها در X.800:

- مکانیزم های خاص لایه پروتکلی

- مکانیزم های فراگیر امنیتی

 

استانداردهای دیگری هم وجود دارند که در اینجا به آنها نمی پردازیم.