ได้รับแจ้งอีกครั้งเพื่อแก้ไขช่องโหว่ที่สำคัญอีกรายการหนึ่งคำสั่งของสัปดาห์ที่แล้วให้รายละเอียดเกี่ยวกับปัญหาหลักที่อาจเกิดขึ้นกับซอฟต์แวร์เครือข่ายส่วนตัวเสมือนจาก Pulse Secure CISA ให้เวลาหน่วยงานจนถึงวันที่ 23 เมษายนในการระบุอินสแตนซ์ทั้งหมดของซอฟต์แวร์และเรียกใช้ Pulse Connect Secure Integrity Tool ตามคำสั่งล่าสุดนี้ CISA ได้แจ้งให้หน่วยงานแก้ไขเซิร์ฟเวอร์ Microsoft Exchangeในเดือนมีนาคม และแก้ไขช่องโหว่ SolarWindsในเดือนธันวาคม
การฝึกซ้อมดับเพลิงประเภทนี้กลายเป็นเรื่องธรรมดาเกิน
ไปสำหรับหน่วยงานและทุกธุรกิจ เนื่องจากภัยคุกคามทางไซเบอร์ดูเหมือนจะเพิ่มขึ้น โดยเฉพาะอย่างยิ่งกับบริษัทที่มีฐานการติดตั้งทั่วโลก
CX Exchange ของ Federal News Network: เข้าร่วมกับเราในช่วงบ่ายสองวันที่ 26 และ 27 เมษายน ซึ่งเราจะสำรวจเทคโนโลยี นโยบาย และกระบวนการที่สนับสนุนความพยายามของหน่วยงานในการให้บริการสาธารณะ ธุรกิจ และเจ้าหน้าที่ของรัฐอย่างมีประสิทธิภาพมากขึ้น
“ในการคิดแบบผู้โจมตี พวกเขามุ่งไปที่ Microsoft Windows เพราะทุกคนมี Windows ตอนนี้พวกเขากำลังพูดว่าใครมีส่วนแบ่งการตลาดที่ใหญ่ที่สุดของโครงสร้างพื้นฐานหรือผลิตภัณฑ์ และไปไล่ตามพวกเขากันเถอะ” จอห์น เพสกาโทเร ผู้อำนวยการของ SANS กล่าว “ด้วยการใช้ประโยชน์เพียงครั้งเดียว พวกเขาสามารถเข้าถึง 70% ของเครือข่ายได้ นั่นคือเป้าหมายใหญ่ ServiceNow เป็นอีกบริการหนึ่งที่เราได้รับการเตือน”
ฐานการติดตั้งขนาดใหญ่รวมกับการพึ่งพาเทคโนโลยีที่มากขึ้น โดยเฉพาะซอฟต์แวร์ หมายความว่าหน่วยงานไม่จำเป็นต้องเผชิญกับการโจมตีทางไซเบอร์มากขึ้น แต่โอกาสที่จะเกิดอันตรายร้ายแรงนั้นสูงกว่ามาก โดยเฉพาะอย่างยิ่งเมื่อหน่วยงานต่างๆ ส่งต่ออุปกรณ์ที่เชื่อมต่อและอินเทอร์เน็ตของสิ่งต่างๆ เซ็นเซอร์หรือระบบควบคุมที่เชื่อมต่อกับเครือข่ายหรืออินเทอร์เน็ตสาธารณะ
Pescatore และผู้เชี่ยวชาญด้านไซเบอร์อื่น ๆ เห็นพ้องกันว่าภัยคุกคามทางไซเบอร์ในปัจจุบันไม่ได้เลวร้ายไปกว่าที่เคยเป็นมา แต่ด้วยการโจมตีห่วงโซ่อุปทานที่เพิ่มขึ้นอย่างรวดเร็ว ประกอบกับการแพร่ระบาดที่บังคับให้พนักงานทำงานจากที่บ้าน CISA และหัวหน้าเจ้าหน้าที่รักษาความปลอดภัยข้อมูลของหน่วยงานดูเหมือนจะ มีการแจ้งเตือนสูงอย่างต่อเนื่อง
John Banghart เป็นผู้อำนวยการอาวุโสด้านการจัดการความเสี่ยงด้านเทคโนโลยี
ที่ Venable และอดีตผู้อำนวยการสภาความมั่นคงแห่งชาติด้านความปลอดภัยทางไซเบอร์ของรัฐบาลกลางในช่วงการบริหารของประธานาธิบดี Barack Obama (เครดิตภาพ: พระประธาน)
“ความเปราะบางได้รับและจะยังคงเป็นปัญหาที่ยืนยาวต่อไป ไม่มีช่องโหว่มากไปกว่าเมื่อก่อน แต่มีซอฟต์แวร์มากขึ้น และเมื่อเราพึ่งพาช่องโหว่ดังกล่าวมากขึ้นเรื่อยๆ ช่องโหว่เหล่านั้นก็แพร่กระจายเป็นวงกว้างมากขึ้น Solarwinds เป็นตัวอย่างที่สมบูรณ์แบบที่ช่องโหว่เดียวทำให้เกิดการเปิดเผยจำนวนมาก” John Banghart ผู้อำนวยการอาวุโสด้านการจัดการความเสี่ยงด้านเทคโนโลยีของ Venable และอดีตผู้อำนวยการสภาความมั่นคงแห่งชาติด้านความปลอดภัยทางไซเบอร์ของรัฐบาลกลางในช่วงการบริหารของประธานาธิบดี Barack Obama กล่าว “เราเห็นสิ่งเดียวกันกับช่องโหว่ Heartbleed ในปี 2014 นั่นเป็นครั้งแรกที่รัฐบาลและทุกคนจริงๆ ต้องคิดถึงการโจมตีด้านความปลอดภัยทางไซเบอร์ในระดับนี้ เรารู้ว่ามีช่องโหว่ แต่เราไม่รู้ว่าใครเป็นหรือไม่เป็นจุดอ่อน”
Banghart กล่าวว่า CISA อยู่ในสถานะที่ดีกว่าในปี 2014 โดยมีอำนาจในการสแกนเครือข่ายหน่วยงานพลเรือนและออกคำสั่ง ในขณะเดียวกัน ข้อมูลเชิงลึกของหน่วยงานเกี่ยวกับเครือข่ายหน่วยงานพลเรือนยังคงมีจำกัด
“DHS มีประสิทธิภาพมากกว่าในการจดจำและแบ่งปันช่องโหว่และวิธีการแก้ไข แต่ปัจจุบันแนวทางปฏิบัติเดียวของพวกเขาในตอนนี้คือแนวทางแบบ ‘hair on fire’ ซึ่งพวกเขาผลักดันคำสั่งนี้และจัดอันดับให้อยู่ในระดับสูง เพราะพวกเขาไม่รู้ว่าหน่วยงานที่เปราะบางเป็นอย่างไร ดังนั้นพวกเขาจึงต้องผลักดันออกไปเพราะมันรุนแรงและทุกคนก็เป็นเช่นนั้น ในสถานการณ์ที่แย่กว่านี้” เขากล่าว “นั่นคือเหตุผลที่เราต้องใช้ความพยายามอย่างมากในการเข้าถึงปัญหาพื้นฐานว่าใครคือผู้อ่อนแอและใครไม่ใช่ และผลกระทบที่อาจเกิดขึ้นคืออะไร เราต้องสามารถให้คะแนนด้วยวิธีที่เหมาะสมยิ่งขึ้นและเหมาะสมกับองค์กรที่เฉพาะเจาะจงมากขึ้น เรามีระบบการให้คะแนนที่แตกต่างกันมากมายในปัจจุบัน และปัญหาไม่ได้เกิดกับรัฐบาลสหรัฐฯ เท่านั้น แต่เป็นปัญหาทั่วทั้งอินเทอร์เน็ตด้วย”
Banghart กล่าวว่าเขากำลังจัดตั้งกลุ่มบริษัทเอกชนและผู้เชี่ยวชาญอื่น ๆ เพื่อจัดทำระบบการให้คะแนนช่องโหว่ที่เป็นมาตรฐานใหม่
“เป้าหมายของเราคือการช่วยให้แน่ใจว่าองค์กรผู้ใช้ปลายทางมีความสามารถในการมีอิทธิพลต่อมาตรฐานที่พวกเขาพึ่งพา หากคุณดูที่ฐานข้อมูล Common Vulnerabilities and Exposures หรือ Common Vulnerability Scoring System (CVSS) จำนวนมาก งานส่วนใหญ่ดำเนินการโดยนักวิชาการและผู้ขายเครื่องมือรักษาความปลอดภัยและเจ้าหน้าที่ของรัฐ แต่ภาคส่วนสำคัญอื่นๆ เราจะแน่ใจได้อย่างไรว่าพวกเขาได้รับข้อมูลที่มีค่าและมีความหมาย” เขาพูดว่า. “เราต้องการระบบการให้คะแนนที่ดี
credit : ฝากถอนไม่มีขั้นต่ำ
