Gli occhi del mondo dell’informatica sono nuovamente puntati sulle ultime notizie relative a un nuovo exploit zero-day. In questa occasione, il problema riguarda lo spooler di stampa di Windows . Sebbene gran parte della cronaca si sia concentrata sulla serie di errori che ha portato alla pubblicazione accidentale del codice di exploit, l’incidente ha molto altro da dirci.
I responsabili della sicurezza e i dirigenti del settore IT dovrebbero prenderne atto. Comprendere quali risorse si possiedono e qual è il loro stato è il primo passo per ridurre la superficie di attacco, migliorare la resilienza informatica e accelerare la risposta agli incidenti.
La invitiamo a guardare questa breve dimostrazione per scoprire in che modo “ Tanium ” è in grado di identificare e risolvere la vulnerabilità PrintNightmare.
https://youtu.be/m8cP2HhT48w
La storia fino ad ora
La vicenda ha inizio con l’aggiornamento di sicurezza di giugno di Microsoft ( Microsoft), pubblicato martedì Patch , nel corso del quale è stata rilasciata una correzione per quella che era stata inizialmente descritta come una vulnerabilità ad alto livello di gravità relativa all’elevazione dei privilegi nello spooler di Windowsstamp: CVE-2021-1675.
Microsoft ha successivamente riclassificato la vulnerabilità come critica dopo aver scoperto che essa poteva anche consentire l’esecuzione di codice da remoto (RCE). Una settimana dopo, il 28 giugno, l’azienda cinese specializzata in sicurezza QiAnXin ha annunciato di aver sviluppato un exploit che consentiva sia l’escalation dei privilegi in locale sia l’esecuzione di codice in remoto nella vulnerabilità CVE-2021-1675, pubblicando un video che ne dimostrava il funzionamento.
Purtroppo, i ricercatori della Sangfor Technologies, con sede a Shenzhen, hanno interpretato erroneamente questa notizia. Partendo dal presupposto che il bug fosse lo stesso di una vulnerabilità critica che avevano individuato nello spooler di stampa, hanno deciso di rendere pubblico il proprio exploit proof-of-concept — che, in origine, avrebbe dovuto essere presentato al Black Hat USA nel mese di agosto. La logica era semplice: dato che il bug era già stato corretto da Microsoft (o almeno così credevano), che male c’era?
Probabilmente scopriremo la risposta a questa domanda nei prossimi giorni. La vulnerabilità consente a un aggressore remoto e autenticato di eseguire codice con privilegi elevati su qualsiasi macchina su cui sia abilitato il servizio Print Spooler, compresi i controller di dominio. Ciò potrebbe comportare un impatto potenzialmente grave. Considerando ciò che sappiamo sugli autori delle minacce, potete star certi che l’exploit sia ormai nelle mani di coloro che intendono utilizzarlo contro qualsiasi sistema vulnerabile.
Cosa comporta ciò per la vostra organizzazione
I consigli per mitigare questo incidente sono piuttosto semplici. Le organizzazioni devono individuare tutti i computer su cui è in esecuzione il servizio "Print Spooler" e su cui è installato il ruolo di controller di dominio, per poi disabilitare il servizio su tutti i controller di dominio che non ne necessitano. Quando viene resa disponibile una patch, è necessario applicarla a tutti gli endpoint interessati il prima possibile.
Tuttavia, occorre considerare il quadro più ampio. Se non disponete di una visione d’insieme dei vostri endpoint, dei carichi di lavoro, delle configurazioni e dello stato delle patch, vi troverete costantemente a dover affrontare situazioni di emergenza. Ad esempio, molte organizzazioni dispongono di servizi e applicazioni, come lo spooler di stampa, in esecuzione su infrastrutture critiche, dove semplicemente non dovrebbero trovarsi.
Spesso ciò che è accaduto è che il reparto IT ha cercato di ridurre il numero di server e macchine virtuali presenti nel proprio parco tecnologico, anziché ampliarne la capacità con servizi dedicati separati. Ciò comporta un minor numero di dispositivi da gestire e una superficie di attacco più ampia, poiché la loro infrastruttura critica ora ospita diversi servizi che dovrebbero essere separati. Gli stessi team IT potrebbero non essere consapevoli della propria esposizione al rischio qualora non dispongano di visibilità sugli endpoint.
Ciò può comportare l’insorgere di molteplici problemi critici che devono essere risolti contemporaneamente, il che ritarda la risposta agli incidenti. Per dirla in altro modo: il problema di correre sempre a tutta velocità è che semplicemente non si può andare più veloce di così. Pertanto, l’attenzione dovrebbe sempre concentrarsi innanzitutto su una buona igiene informatica . Applicare le patch a tali endpoint, rafforzare la sicurezza di tali sistemi, limitare l’accesso alla rete ove necessario — e garantire la conformità.
Questo è il modo per ridurre la superficie di attacco e minimizzare il rischio che un altro attacco di tipo PrintNightmare abbia ripercussioni sulla vostra organizzazione.
Adottare un approccio proattivo
Chi non studia la storia è destinato a ripeterla. Cogliete quindi questa opportunità per rivedere i vostri piani d’azione e integrarvi gli insegnamenti tratti dall’esperienza. Ciò potrebbe comportare la verifica di:
- Per verificare se i Suoi standard di sicurezza siano all’altezza. Non è la prima volta che si verificano problemi con lo spooler di stampa, ad esempio
- I processi di implementazione, rafforzamento della sicurezza e conformità continua del Suo sistema, al fine di verificare se gli standard di rafforzamento della sicurezza vengono rispettati o meno
- Per quanto riguarda i rischi legati a soggetti terzi, configurate un firewall su tutte le risorse di soggetti terzi presenti nella vostra organizzazione su cui non avete alcun controllo
La buona notizia è che il sito Tanium è stato concepito per aiutarLa a rispondere alle domande fondamentali relative al Suo patrimonio endpoint . Grazie a tali informazioni, potrete quindi adottare misure correttive — con rapidità e su larga scala.
Non appena viene segnalato un problema, è possibile verificare, quasi in tempo reale, come è configurato l’ambiente attuale e apportare le modifiche del caso. Tutto questo in pochi minuti anziché in settimane. Tanium può inoltre segnalare eventuali deviazioni rispetto alle migliori pratiche di conformità.
Se non sapete cosa possedete, come è configurato e quali applicazioni vi girano sopra, non potete garantirne la sicurezza. Pertanto, una volta risolto il problema di PrintNightmare, vi invitiamo a verificare il vostro ambiente utilizzando la valutazione gratuita dei rischi offerta d Tanium all’indirizzo. Iscrivetevi oggi stesso.
