Oito dias. Seis incêndios.
A 14 de outubro, a Palo Alto Networks divulgou uma falha no PAN-OS que permite a um atacante autenticado obter acesso root à firewall através da interface de gestão. A vulnerabilidade já tinha sido explorada como zero-day. A 17 de outubro, um investigador demonstrou que oito autoridades de certificação intermédias geridas pela eMudhra tinham chaves privadas que qualquer pessoa conseguia recuperar em menos de um segundo. Uma dessas chaves era o número 4. A 19 de outubro, a Unit 42 reportou que grupos de ransomware, entre os quais o Qilin, estavam a utilizar uma falha no GlobalProtect para contornar o MFA sem qualquer obstáculo.
A 21 de outubro, a PHP disponibilizou correções de emergência para o PHP2Shell, uma execução de código não autenticada em todas as instalações PHP que servem pedidos web, depois de os detalhes terem vazado um dia antes do previsto. No mesmo dia, a Node.js disponibilizou dez CVEs, incluindo uma falha de execução remota de código no seu descodificador Brotli. A 22 de outubro, a Palo Alto confirmou que o PHP2Shell está presente em todas as versões do PAN-OS e do Panorama, sem patch disponível nem data prevista para um. As versões corrigidas estão estimadas para o período de 26 a 30 de outubro, dependendo da linha de versão.
Se gere uma função de segurança, não resolveu essa semana a aplicar patches. Tomou decisões ao longo dela, ou alguém as tomou por si.
As pontuações não decidiram nada
Analise os números.
O exploit root no PAN-OS, utilizado contra firewalls reais: 8.6. O bypass do GlobalProtect, nas mãos de operadores de ransomware: 7.8. O colapso da eMudhra, uma CA de confiança cujas chaves de assinatura qualquer pessoa conseguia recalcular, descrito por um engenheiro de criptografia da Mozilla como um incidente com o maior impacto possível: o próprio incidente não tem qualquer pontuação, e o único CVE derivado avaliado pela CISA obteve 5.4. PHP2Shell: 9.2 na PHP, e classificado pela Palo Alto como um problema de disponibilidade nas suas próprias firewalls.
No dia anterior a tudo isto, a Microsoft disponibilizou mais de 1.400 CVEs num único Patch Tuesday. Sessenta e nove foram classificados como Critical. O que já estava a ser explorado foi classificado como Important.
Uma pontuação CVSS descreve o quão grave uma vulnerabilidade pode ser no papel. Não tem em conta se alguém a está a explorar esta manhã, se está exposta à internet no seu ambiente, ou o que existe por detrás dela. Esta semana, esses três fatores foram tudo o que importava.
A sua política de patch teria agendado o vetor de ransomware para o mês seguinte
Abra a sua política de gestão de vulnerabilidades. Apostaria que diz algo do género: Critical em 7 dias, High em 30, Medium em 90.
Aplique esta semana a essa política. O PHP2Shell cai no grupo dos 7 dias, até aqui bem. A falha root explorada no PAN-OS é High: 30 dias. O bypass do GlobalProtect que os grupos de ransomware estão a utilizar ativamente: High, 30 dias. eMudhra: Medium, 90 dias, assumindo que alguém sequer abriu um ticket.
A sua própria política teria classificado as duas vulnerabilidades que os atacantes estavam efetivamente a explorar como trabalho de segunda divisão, e dado a uma autoridade de certificação comprometida um trimestre para resolver a situação.
Como auditor, era isso que eu registaria. Ser lento é uma não conformidade. Um processo documentado que o torna lento quando seguido à letra é pior, e isso é uma não conformidade A.8.8 face a uma política a fazer exatamente aquilo para que foi escrita.
As competências de decisão atribuem-se em tempo de paz
Eis a questão que separou as organizações esta semana. Quem poderia retirar uma interface de gestão de firewall da internet às 23h00, sem aguardar pelo CAB de quinta-feira?
O PAN-OS deu-lhe duas razões em oito dias para deixar de expor essa interface. A orientação da Palo Alto para a primeira falha é restringir o acesso de gestão a endereços internos de confiança, e refere que a segunda é mais perigosa quando a interface aceita ligações a partir da internet. É uma alteração de configuração que um engenheiro competente realiza em minutos. Na maioria das organizações, ninguém tem autorização para a fazer sozinho.
A Amazon registou uma tentativa de exploração do PHP2Shell a 17 de outubro, quatro dias antes da divulgação pública. A CISA deu três dias às agências federais norte-americanas para a falha do PAN-OS. O seu CAB reúne semanalmente. A matemática não funciona, e nenhum talento técnico fecha uma lacuna de governação.
O caminho de emergência tem de existir antes da emergência. Pessoas identificadas nominalmente. As ações exatas que podem tomar sem pedir autorização. Como registam. A quem informam depois. Escreva-o numa terça-feira tranquila, ensaie-o uma vez, e estará disponível no sábado.
A eMudhra foi o verdadeiro teste
O PAN-OS e o PHP têm patches, ou terão. A eMudhra não tem nada para instalar.
Os browsers reagiram rapidamente. O Chrome e o Firefox bloquearam as oito CAs intermédias a 17 de outubro, e a Microsoft e a Apple seguiram-se dias depois. A eMudhra revogou-as, e a 22 de outubro anunciou que abandonava definitivamente o negócio de certificados TLS.
Os seus browsers estão bem. Os seus containers, VMs, appliances, keystores Java e todos os ambientes Python com a sua própria cópia do certifi são uma conversa diferente. A Node.js teve de incluir a revogação de confiança na sua própria versão de segurança. O Go disponibilizou novas versões para o efeito.
A questão que a sua organização tinha efetivamente de responder era esta: onde confiamos em autoridades de certificação, e quem pode alterar isso em todo o lado de uma só vez? A maioria não consegue responder à primeira metade. É um problema de inventário, e o inventário deixa de ser uma tarefa de TI no momento em que um regulador o solicita. Ao abrigo da NIS2, o órgão de gestão aprova as medidas de gestão de risco e responde por elas.
A ordem de decisão
Antes da pontuação, faça quatro perguntas.
- Está a ser explorada? KEV, o aviso do fornecedor, a sua threat intel. Se sim, sobe para o topo da fila independentemente da pontuação.
- Está exposta? Exposta à internet supera o que está interno. As interfaces de gestão superam quase tudo.
- O que é que toca? Identidade, confiança, os sistemas que guardam os seus dados, as máquinas das quais todos os outros dependem.
- Qual é a pontuação? Use-a para ordenar o que resta.
Bruxelas chegou à mesma conclusão. Desde 11 de setembro, os fabricantes abrangidos pelo Cyber Resilience Act são obrigados a reportar vulnerabilidades ativamente exploradas. A exploração é o gatilho, e a pontuação não aparece em lado nenhum.
Dica: Reescreva o seu SLA em torno dessas perguntas. Explorada e exposta: horas. Explorada ou exposta: dias. Nenhuma das duas: o seu ciclo normal, com a pontuação a desempatar. Depois entregue ao seu auditor uma política que consegue efetivamente cumprir.
O que o seu comité executivo precisa de ouvir esta semana
Três frases.
Se estamos ou não expostos a algum destes problemas. O que fizemos, e quando. O que decidimos deixar para já, e quem aprovou essa decisão.
Uma contagem de CVEs não lhes dá nada sobre o qual possam agir. A terceira frase é a que importa. Ao abrigo do Artigo 20 da NIS2, o órgão de gestão aprova as medidas de gestão do risco de cibersegurança, supervisiona a sua implementação e pode ser responsabilizado por falhas. Se nunca ouvirem o que foi adiado, não podem assumir a responsabilidade, e silenciosamente tomou uma decisão que lhes pertencia.
O backlog é uma decisão. Assine-a.
Não vai corrigir tudo. Não o fez durante anos. O volume apenas torna impossível continuar a fingir.
O que está em espera foi aceite, independentemente de alguém o ter registado ou não. Por isso, registe. Um responsável identificado, o motivo, o controlo compensatório se existir, e uma data para o rever. Uma vulnerabilidade adiada com uma assinatura é uma decisão de risco. Sem ela, é uma omissão que terá de explicar mais tarde.
Nota Final
Semanas como esta vão continuar a surgir. A descoberta está a acelerar mais depressa do que qualquer pessoa consegue aplicar patches, e todos os sistemas de pontuação continuarão a entregar-lhe listas onde tudo parece urgente.
As organizações que saíram bem desta semana tinham uma coisa em comum. Sabiam quem tinha autorização para decidir, em que ordem, e como comunicar às pessoas acima delas o que tinha ficado por fazer. Os seus scanners eram iguais aos de todos os outros.
Este é um trabalho de liderança. Mais ninguém na organização o vai fazer por si.
São estas as competências que estão por detrás de três dos nossos cursos. Certified CISO by PECB para as competências de decisão e a conversa com o seu comité executivo. NIS 2 Directive Lead Implementer para o Artigo 20 e aquilo pelo qual o seu órgão de gestão responde agora. ISO 27001 Lead Implementer para uma política de vulnerabilidades que consegue efetivamente cumprir, e uma aceitação de risco que resiste a uma auditoria.
Escolha o que corresponde à lacuna que esta semana revelou.