IT 세계의 눈은 다시 한번 새로운 제로데이 익스플로잇의 뉴스를 깨는 데 초점을 맞추고 있습니다. 이번에는 Windows Print Spooler에 영향을 미칩니다. 대부분의 보고는 실수로 익스플로잇 코드가 게시되는 오류의 원인에 중점을 두었지만, 사고는 우리에게 더 많은 것을 말해 줍니다.
보안 리더와 IT 상사는 주의해야 합니다. 보유하고 있는 자산과 그 상태를 이해하는 것은 공격 대상을 줄이고 사이버 복원력을 개선하며 사고 대응을 가속화하는 첫 번째 단계입니다.
이 짧은 데모를 시청하여 Tanium이 PrintNightmare 취약성을 식별하고 해결하는 방법을 알아보십시오.
https://youtu.be/m8cP2HhT48w
지금까지의 이야기는
이 이야기는 Microsoft의 6월 패치 화요일부터 시작되며, 이 기간 동안 Microsoft는 Windows Print Spooler: CVE-2021-1675에서 권한 취약성의 높은 상승으로 처음 설명한 것에 대한 수정 사항을 발표했습니다.
이후 Microsoft는 RCE(원격 코드 실행)도 활성화할 수 있음을 발견한 후 취약성을 중요로 재분류했습니다. 1주일 후, 6월 28일중국 보안 벤더 QiAnXin은 CVE-2021-1675년에 로컬 권한 에스컬레이션과 원격 코드 실행을 위한 익스플로잇을 엔지니어링했다고 발표하여 작업을 보여주는 비디오를 게시했습니다.
안타깝게도 Shenzhen에 본사를 둔 Sangfor Technologies의 연구자들은 이 뉴스를 잘못 해석했습니다. 버그가 Print Spooler에서 발견한 중요한 결함과 동일하다고 가정하고, 원래 8월에 Black Hat USA에서 데뷔했기 때문에 자체 개념 증명 익스플로잇을 공개하기로 결정했습니다. 논리는 간단했습니다. 버그가 이미 Microsoft에 의해 패치되었기 때문에(그들이 생각했기 때문에), 어떤 해가 있습니까?
앞으로 며칠 내에 해당 질문에 대한 답변을 찾게 될 것입니다. 이 익스플로잇을 통해 인증된 원격 공격자는 도메인 컨트롤러를 포함하여 Print Spooler 서비스가 활성화된 모든 시스템에서 높은 권한으로 코드를 실행할 수 있습니다. 이는 잠재적으로 심각한 영향을 미칠 수 있습니다. 공격자에 대해 우리가 하는 일을 알면, 익스플로잇이 이제 노출된 시스템에 대해 사용하려는 의도를 가진 사람들의 손에 달려 있다는 사실을 확신할 수 있습니다.
조직에 미치는 영향
이 사고를 완화하기 위한 조언은 매우 간단합니다. 조직은 Print Spooler를 실행하는 모든 시스템을 찾고 도메인 컨트롤러 역할을 설치한 다음 필요하지 않은 도메인 컨트롤러에서 서비스를 비활성화해야 합니다. 패치를 사용할 수 있게 되면 가능한 한 빨리 영향을 받는 모든 엔드포인트에 패치를 적용해야 합니다.
하지만 여기에 더 큰 그림이 있습니다. 엔드포인트, 워크로드, 구성 및 패치 상태에 대한 가시성이 없는 한, 지속적인 소방 모드에 있게 됩니다. 예를 들어, 많은 조직에서는 Print Spooler와 같은 서비스와 애플리케이션이 중요한 인프라에서 실행되고 있지만, 이러한 인프라에는 있어서는 안 됩니다.
종종 발생한 일은 IT가 별도의 전용 서비스로 확장하는 대신에 자체적으로 서버와 VM의 수를 통합하려고 시도했다는 것입니다. 이는 중요 인프라가 현재 분리되어야 하는 여러 서비스를 실행하고 있기 때문에 유지 관리할 장치가 적고 공격 표면이 더 넓다는 것을 의미합니다. 동일한 IT 팀은 엔드포인트에 대한 가시성이 없는 경우 위험 노출을 인식하지 못할 수 있습니다.
이로 인해 동시에 해결해야 하는 여러 가지 중요한 문제가 발생하여 사고 대응이 지연될 수 있습니다. 다시 말해, 지속적인 스프린트의 문제는 더 이상 빠르게 할 수 없다는 것입니다. 따라서 항상 좋은 사이버 위생 에 중점을 두어야 합니다. 이러한 엔드포인트를 패치하고, 해당 시스템을 강화하며, 필요한 경우 네트워크 액세스를 줄이고, 규정 준수를 보장합니다.
이것이 공격 대상을 줄이고 조직에 영향을 미칠 수 있는 다른 PrintNight의 가능성을 최소화하는 방법입니다.
사전 예방
연구 이력이 없는 사람은 반복할 수 없습니다. 따라서 이 기회를 사용하여 실행 계획을 검토하고 배운 교훈을 통합하십시오. 여기에는 다음 사항을 확인하는 것이 포함될 수 있습니다.
- 강화 표준이 최고 수준인지 확인합니다. 예를 들어, 프린트 스풀러와 관련된 문제를 본 것은 이번이 처음이 아닙니다.
- 시스템 온보딩, 강화 및 지속적인 규정 준수 프로세스를 통해 강화 표준이 충족되고 있는지 확인
- 제3자 위험의 경우, 접촉할 수 없는 조직의 제3자 자산을 방화벽으로 차단합니다
좋은 소식은 Tanium이 엔드포인트 자산에 대한 중요한 질문에 답변하는 데 도움이 되도록 설계되었다는 것입니다. 그런 다음 이 정보를 사용하여 속도와 규모에 따라 복구 작업을 수행할 수 있습니다.
문제에 대해 알게 되는 즉시 현재 환경이 구성된 방법을 거의 실시간으로 확인하고 적절하게 변경할 수 있습니다. 이 모든 것이 몇 주가 아닌 몇 분 만에 이루어집니다. 또한 Tanium은 모범 사례 준수에서 벗어나는 경우에도 플래그를 지정할 수 있습니다.
소유한 것이 무엇인지, 구성한 방법 및 실행 중인 것이 무엇인지 모를 경우 보안을 유지할 수 없습니다. 따라서 PrintNightmare가 수정되면 Tanium의 무료 위험 평가로 환경을 확인하십시오. 지금 가입하십시오.
