Ömrü Dolan Yönetim Konsolları, İfşa Ettiğiniz En Kötü Varlıklardır

Tartışma üretmeyen ama aksiyon da üretmeyen çok spesifik bir bulgu türü vardır: herkesin gitmesi konusunda hemfikir olduğu, kimsenin takvime koymadığı varlık. İki yıldır ömrünü tamamlamış. Satıcı yazılı olarak bu sürümde bulunacak zafiyetleri yamalamayacağını söyledi. Hâlâ erişilebilir, çünkü hâlâ çalışıyor; ve kapatma süreci, onu işletmeyen bir ekibe ait.

Temel değerlendirme: "Ömrünü doldurdu" bir zafiyet değil, en ucuz onarım seçeneğinizin eliminizden alınmasıdır. Yayıncı bir düzeltmeye yatırım yapmayı bıraktığında, maruziyetiniz yama yönetimi sorusu olmaktan çıkar ve tamamen erişilebilirlik ile telafi edici kontrol sorusuna dönüşür. En yüksek riskli versiyonu da ömrü dolmuş bir iş istasyonu ya da switch değil, yönetim düzlemidir: bir güvenlik cihazı filolarının kimlik bilgilerini, politikalarını ve konfigürasyonunu tutan konsol. Yönetim düzlemleri tam olarak yönettiği her şey tarafından güvenildiği için caziptir; ve bir envanterde genellikle en az envanterlenen, en dışa açık ve en uzun ömürlü şeylerdir.

Yönetim Düzlemi Neden Ödüldür

Bir filo yönetim sunucusu tek bir cihaz değildir. Bir toplama noktasıdır; toplama noktası saldırgan için kuvvet çarpanı, sizin için yükümlülüktür.

Yönetilen servis ve yedekleme konsollarını içeren olayların neden zincirlendiğini buradan okumak gerekir: ele geçirilen şey veriyi tutan cihaz değildir; her şeyle konuşmasına izin verilen cihazdır.

Kimsenin Fiyatlamadığı Asimetri

Belirli bir varlıktaki güvenlik duruşunuz iki bağımsız şeyin çarpımıdır: ne kadar erişilebilir olduğu ve hâlâ onu kimsenin düzeltip düzeltmediği. Programların çoğu yalnızca birincisini yönetir.

Ömrü dolan varlıklar sağ sütunda durur. Fark edin: hiçbir satır yamayla kapanamaz. Yani kaldıraçlar erişilebilirlik azaltma, yetki azaltma, tespit ve değiştirme olmak zorundadır. EOL'u mimari karar değil backlog maddesi olarak ele alan ekipler, fiilen "düzeltilmez bir hata bulunmaz" diye bahis oynar.

Ömrü Dolan Varlıklar Gerçekte Nerede Saklanır

Her ortam kendinde hiç olmadığını düşünür. Tekrarlayan yerler:

• Güvenlik cihazı yönetim konsolları — yukarıdaki sınıf, artı VPN concentrator yöneticileri, NAC/RADIUS politika sunucuları ve e-posta güvenlik ağ geçitlerinin kontrolörleri.
• Out-of-band yönetim — IPMI/BMC/iLO/iDRAC arayüzleri, konsol sunucuları, KVM-over-IP. Bunlar çoğunlukla "yönetim VLAN'ı"na konulmuştur; o VLAN sonradan bir route edinmiştir.
• Operasyonel teknoloji ve fiziksel güvenlik — SCADA HMI'ları, historian kutuları, PLC programlama istasyonları, video kaydediciler, geçiş kontrol panelleri, kart yazıcıları, anons sistemleri. Uzun tedarik çevrimleri ve güvenlik kısıtları bunları destek sonrası bir on yıl daha yaşatır.
• Yedekleme ve veri koruma appliance'ları — şifreli toplu veriyi ve geri yükleme kimlik bilgilerini tuttukları için cazip.
• Yazıcılar ve çok fonksiyonlu cihazlar — scan-to-email, bekleyen işler, varsayılan parolalı gömülü web sunucuları. Kullanıcı VLAN'ında oturduklarını fark edene kadar düşük önemdedirler.
• Lab ve "geçici" ekipman — 2019 pilotundan kalma demo kutusu, lab routing'i üzerinde olduğu için saklanan test firewall'u.
• Devralınan şirket varlıkları — kapanış anında miras alınır, CMDB'nize hiç girmez ve sıklıkla eski bir domain adı altında hâlâ dışa erişilebilir durumdadır. Dış saldırı yüzeyi incelemelerinin en yüksek getirili kategorisi budur.
• Geliştirme ve staging altyapısı — eski CI runner'ları, terk edilmiş Kubernetes node'ları, push erişimi açık kalmış registry'ler.
• Miras federation ve e-posta uçları — değiştirilmiş ama kaldırılmamış bir sistemin SSO metadata URL'si ya da MX yanı başındaki servis. İstekleri yanıtlamaya devam eder, kimlik bilgisi kabul etmeye de.

İmanla Değil, Kanıtla Bulmak

Sayamadığınızı kontrol edemezsiniz; saymak da pratikte dışarıdan içeriye çalışmak demektir.

1. Kendi kamuya açık adres aralıklarınızı sürekli tarayın. Yılda bir değil. Değer diff'te: ne belirdi, hangi banner değişti, emekliye ayrıldığı varsayılan ne hâlâ yanıt veriyor.
2. Port ile değil sertifika ve header ile parmak izi çıkarın. Vendor varsayılan common name'li süresi dolmuş self-signed sertifika, build string'i içeren bir Server: banner'ı ya da ayırt edici bir favicon hash'i — ömrü dolan appliance'ların dünyaya kendini tanıttığı yöntem budur, size de.
3. CMDB ile hostname ile değil IP ile eşleştirin. Devralma gelen hostname'ler hiçbir şeyle eşleşmez. IP-varlık mutabakatı sahipsiz varlığı ortaya çıkarır.
4. Erişilebilirliği tam ölçün. "İçsel" bir etikettir, ölçüm değil. Kim TCP oturumu açabiliyor, hangi segmentlerden, hangi kaynak kimliklerle, bir de satıcı destek yolu var mı — ölçüm budur.
5. Akışı cihazın kendisinden çekin. İnteraktif olarak kimsenin bağlanmadığı ama oturumların her yerden ona bağımlı olduğu bir yönetim konsolu kapatılmaya hazır değildir; bunu size flow verisi söyler, kesinti değil.
6. Finans ve tedarik sorusunu sorun. Miras alınan varlıkları destek sözleşmesi kaydı ile varlık kaydını diff etmekten daha hızlı ortaya çıkaran bir şey yoktur. İki listenin arasındaki boşluk sizin EOL listenizdir ve genelde utanç vericidir.
7. Kimlik doğrulama davranışını, yetkili bir etkinlikte, kendi envanterinize karşı test edin. Varsayılan parolalar, filoda parola tekrarı, eksik rate limiting, lockout yokluğu, zamanlama ya da hata mesajı farkıyla kullanıcı adı enumerate edilmesi ve yönetim arayüzündeki kimlik doğrulaması olmayan uçlar. Yamanamaz bir kutuda önemli olan bulgu şekilleri bunlardır, çünkü hâlâ düzeltebildikleriniz bunlardır.

Emekliye Ayırma Bu Yıl Mümkün Değilse

Gerçekten kapatamadığınız durumlar vardır: bir sözleşme yükümlülüğü, HMI'a ihtiyaç duyan bir OT süreci, on sekiz ay öteye planlanmış bir değiştirme projesi, ya da göç penceresini kabul etmeyen bir düzenleyici. Bu meşru bir pozisyondur — ama mühendisliklendirilmiş olmalı, takvim kazası değil.

Savunulabilir bir EOL sınırlama paketi:

• Önce internet erişimini kaldırın. Varlığı savunulamaz satırdan çıkaran tek değişiklik budur. Uzaktan satıcı erişimi zorunluysa, adlı onaylayan, süre limitli ve kaydedilen bir aracılık edilen oturum üzerinden gider — sonsuza dek açık bırakılmış bir firewall deliği üzerinden değil.
• Arayüzü bağlayın, sonra segmente edin. Yönetim dedicated bir VLAN'da, varsayılan route yok, kullanıcı segmentlerinden doğu-batı erişim yok. Switch ve firewall'da icra edin, belgede değil.
• Tek kontrollü erişim yolu. Kişi bazlı kimlik doğrulama, oturum loglaması ve allowlist'lenmiş protokol ile sertleştirilmiş bir jump host. Yönetim VLAN'ında olup yalnızca o host üzerinden erişilen bir şey ile, yönetim VLAN'ındaki her şeye açık bir şey farklı risklerdir.
• Kimlik bilgisi problemini bölün. Paylaşılan local administrator hesabı yok; cihaz destekliyorsa kişiye özel adlandırılmış hesaplar, sırlar rotasyonlu vault'ta; satıcı destek hesabı ya kaldırılır ya da her kullanımdan sonra değiştireceğiniz bir parola verilir.
• Elindeki yetkiyi küçültün. Filonun tamamına politika dağıtabiliyorsa, hâlâ buna ihtiyacı olup olmadığını sorun. Artık güvenli olduğuna güvenmediğiniz bir cihazda salt-okur izleme ve manuel değişiklik pencereleri gerçek bir seçenektir.
• Sadece erişilebilirliği değil, yönetim aksiyonlarını izleyin. Bir konfigürasyon değişikliği, yeni bir yerel kullanıcı, firmware sürüm alanının değişmesi ya da değişiklik penceresi dışına yapılan politika dağıtımı; başka hiçbir şekilde sömürülmesini tespit edemediğiniz bir cihazda yüksek sinyalli veridir. Bu logları cihazdan dışarı taşıyın, çünkü cihaz yamanamaz ve muhtemelen güvenilir değil.
• Konfigürasyon yedeklerini koruyun. Politika export'ları kimlik bilgisi, anahtar ve envanterinizin haritasını içerir. Çevrimdışı okunabilir olmaları, varlığın emekliye ayrılmasından sonra bile maruziyet değerinin yaşadığı anlamına gelir.
• Emeklilik planını bir sayfaya tarihle koyun. Onaylı bütçe kalemi, göç yaklaşımı, çift çalıştırma penceresi ve o güne kadar yerinde kalacak telafi edici kontroller. Bunu hem denetçi hem CISO kabul eder. Hiçbiri sessizliği kabul etmez.

Satıcıyla Konuşma

EOL duyuruları bir müzakeredir ve kuruluşların çoğu müzakerede olduğunu fark etmez.

Uzatılmış destek sözleşmeleri satın alınabilir ve sıklıkla olayın maliyetinden ucuzdur. Satın almadan önce tam olarak neyi kapsadığını belirleyin: yalnızca güvenlik düzeltmeleri mi, her hata mı; mevcut sürüm mü son iki sürüm mü; ve appliance'ın içindeki üçüncü parti bileşenler (web sunucusu, veritabanı, çekirdek, TLS kütüphanesi) kapsamda mı. Cihazın kendi kodunu ama içindeki OpenSSL'i yamalamayan bir ESD, okunduğundan daha dar bir sözdür.

Ayrıca ürünün gerçekten desteksiz mi yoksa yalnızca bakımsız mı olduğunu belirleyin, çünkü fark önemlidir. Bu ay yayınlanan bir hata için düzeltmesi olmayan ama firmware'i hâlâ bütünlük kontrolüyle güncelleme alan ve halefi aynı konfigürasyonu çalıştıran bir cihaz bir göç konusudur. Son binary'si dört yıl önce derlenmiş ve imzalama anahtarının korunduğu artık garanti edilemeyen bir cihaz ise bir tehlikedir; doğru plan savunma değil değiştirmedir.

Satın alma şablonlarına eklemeye değer bir madde: satıcı, genel kullanıma açık sürümden itibaren ay cinsinden belirtilen bir güvenlik düzeltme destek penceresini ve destek sonu tarihini en az on iki ay önce yayımlamayı taahhüt eder. EOL'un sürpriz bir bulgu olarak gelmesini durdurmanın tek yolu budur.

Hızlı Karar Tablosu

Sık Sorulan Sorular

Ömrünü doldurmuş bir cihaz raporlanabilir bir zafiyet midir?

Tek başına hayır — "ömrünü doldurdu" bir yaşam döngüsü durumudur, kusur değildir, tartışılır. Erişilebilirlik olarak raporlandığında bulguya dönüşür: varlık X'ten erişilebilir, satıcısı bu sürümdeki hataları gidermeyeceğini beyan etmiş, Y'nin kimlik bilgilerini tutuyor ve eksik yamanın yerine geçen hiçbir şey yok. Bu versiyonun bir tekrarı, bir etkisi ve bir düzeltme yolu vardır; yani tartışılır değil, eyleme geçirilir.

Uzatılmış destek mi alalım, cihazı mı değiştirelim?

Değiştirin; yeter ki değiştirme işlemi daha fazla risk taşımasın. Uzatılmış destek göründüğünden dar bir vaat satın alır: sıklıkla yalnızca satıcının kendi kodu, işletim sistemi, web sunucusu, veritabanı ya da TLS yığını değil; ve sıklıkla sizin sürümünüz değil yalnızca mevcut sürüm. İmzalamadan önce kapsam maddelerini okuyun. Faydalı soru "bu yıl hangisi ucuz" değil, "hangisi bu varlığı kalıcı olarak internetten erişilebilir sütunundan çıkarır".

Bilmediğimiz EOL varlıkları nasıl buluruz?

Dışarıdan içeriye çalışıp mutabakat yapın. Kendi kamuya açık aralıklarınızın sürekli taranması, port yerine sertifika/banner/asset hash ile parmak izi çıkarılması, ardından IP-CMDB mutabakatı — devralma hostname'leri hiçbir şeyle eşleşmez. Sonra finans testi: destek sözleşmesi kaydı ile varlık kaydını diff edin. İki listenin arasındaki boşluk sizin EOL envanterinizdir ve hiçbir keşif ajanından daha güvenilir sonuç verir.

Yamalı ama dışa açık bir yönetim konsolu yine yüksek risk sayılır mı?

Evet, çoğunlukla aynı önemdedir. Yama güncelliği sömürülebilirliği adresler; toplama problemi adreslemez. Tamamen yamalı bir konsol filo kimlik bilgilerini tutuyor, ona erişebilen her ağ segmentinden kimlik doğrulama kabul ediyor ve cihazlar arasında paylaşılan bir yerel yönetici parolası kullanıyorsa hâlâ tek nokta tam başarısızlıktır. Erişim tablosu ve elindeki yetki, CVE'lerin kapanmış olması kadar önemlidir.

Bir değerlendirici minimum hangi kanıtları istemeli?

Dört şey. Varlık başına adlı sahibi olan bir EOL kaydı. Varlık başına "içsel" gibi bir etiketle değil gerçek ağ yollarıyla ifade edilmiş bir erişilebilirlik beyanı. Yerinde olan telafi edici kontroller ve bunların nasıl icra edildiği — politika metni değil konfigürasyon. Ve bütçesi olan, tarihli bir emeklilik veya göç planı. Dördü belgelenmiş yamanamaz bir varlık yönetilmiş bir risktir. Hiçbiri olmayan aynı varlık ise bulgudur.

Sonraki Adım

Eresus Security dışa erişilebilir varlıkları haritalar, hangilerinin yamanmamış değil yamanamaz olduğunu ayırır ve her birini bir backlog maddesi yerine bir erişilebilirlik-telafi-kontrolü kararına dönüştürür. Bu kanıtın nasıl göründüğünü görmek için dış saldırı yüzeyi ve kırmızı takım operasyonları sayfalarımıza, devraldığınız envanteri konuşmak için ise bize ulaşın.