По сообщению heise online, американское ведомство по безопасности CISA предупреждает о продолжающихся атаках на уязвимости в продуктах Fortinet и в BeyondTrust Remote Support. Как сообщается, эти уязвимости уже используются на практике и представляют не только теоретический риск. В краткой заметке нет подробностей, например о затронутых версиях.

Почему к таким предупреждениям стоит относиться серьёзно

Продукты Fortinet в компаниях часто стоят в ключевых точках сети, например в роли межсетевого экрана или точки доступа для удалённой работы. BeyondTrust Remote Support — это программа для удалённого обслуживания: с её помощью команды поддержки управляют компьютерами и серверами на расстоянии.

Оба типа продуктов обладают широкими правами и часто доступны из интернета. Поэтому они привлекательны для злоумышленников. Если уязвимость удаётся использовать, это может стать точкой входа во внутреннюю сеть. Получится ли это в конкретном случае и насколько далеко можно зайти, зависит от самой уязвимости и от конфигурации.

Если такое ведомство, как CISA, предупреждает об активных атаках, это сигнал действовать срочно. Планировать обновления на обычное окно обслуживания тогда уже недостаточно.

Что могут проверить администраторы

Следующие шаги — общие рекомендации, они не заменяют указаний производителей:

  • Выяснить, что есть в наличии: какие устройства Fortinet и какие установки BeyondTrust используются и какой у них версия?
  • Прочитать указания производителей: в сообщениях производителей о безопасности и в уведомлениях CISA указаны затронутые версии и подходящие обновления.
  • Расставить приоритеты для обновлений: доступные патчи для систем, достижимых из интернета, следует установить в первую очередь.
  • Ограничить доступ: интерфейсы администрирования и службы удалённого обслуживания должны быть доступны только с необходимых адресов. Если патч нельзя установить сразу, могут помочь временные меры, которые называет производитель.
  • Проанализировать журналы: необычные входы в систему, новые учётные записи или неожиданные соединения могут указывать на уже состоявшуюся атаку.

Именно последний пункт легко забыть. Обновление закрывает уязвимость, но не удаляет автоматически доступ, который злоумышленники создали раньше.

Оценка

Сообщение heise online написано кратко. Поэтому тем, кто использует затронутые продукты, стоит обратиться к первоисточникам — материалам производителей и CISA, — чтобы выяснить, затронуты ли их собственные системы.