یافته‌های تست‌های نفوذ: ۸۸ درصد از آسیب‌پذیری‌های بحرانی خارج از پوشش توصیه‌های رسمی سازندگان هستند

داده‌های جدید نشان می‌دهد که ۸۸ درصد از نقاط ضعف بحرانی (Critical) و با شدت بالا (High) که در تست‌های حمله واقعی بر محیط‌های سازمانی در سال جاری شناسایی شده‌اند، از طریق توصیه‌های سازندگان (Vendor Advisories) یا سایر منابع خارجی قابل شناسایی نبوده‌اند.

این آمار که توسط شرکت Armadin (استارتاپ امنیت تهاجمی متعلق به کوین مندیا، مؤسس Mandiant) منتشر شده، بر اساس حملات مبتنی بر هوش مصنوعی علیه سیستم‌های زنده مشتریان این شرکت استخراج شده است.

بیشترین یافته‌های بحرانی فراتر از توصیه‌ها و ورود به سیستم بودند

بر اساس این گزارش، نقص‌های موجود در نرم‌افزارهای نوشته شده توسط خودِ سازمان‌ها، ۶۷ درصد از یافته‌های بحرانی و ۷۸ درصد از یافته‌های با شدت بالا را تشکیل می‌دادند که توصیه‌های سازندگان قادر به پوشش آن‌ها نبودند. همچنین، محصولات سازندگان که به روش‌های غیر استاندارد و خارج از توصیه‌های رسمی مستقر شده بودند (مانند قرارگیری کنسول‌های مدیریتی در معرض اینترنت)، ۲۴ درصد و ۲۲ درصد از این موارد را شامل می‌شدند.

۹ درصد از یافته‌های بحرانی و کمتر از ۱ درصد از یافته‌های با شدت بالا، مربوط به آسیب‌پذیری‌های زیرو دِی (Zero-Day) بودند که توسط تیم Armadin کشف شدند؛ از جمله یک مورد در پلتفرم مدیریت هویت که سازنده آن تقریباً چهار ماه طول کشید تا توصیه‌ای در مورد آن منتشر کند.

نکته قابل توجه دیگر این است که نزدیک به ۷۰ درصد از یافته‌های بحرانی و با شدت بالا، در سطح حمله بدون احراز هویت (Unauthenticated Attack Surface) قرار داشتند. از زنجیره‌های حمله (Attack Chains) مستند شده، ۸۲ درصد بدون نیاز به اعتبارنامه (Credentials) آغاز شده بودند و در ۵۶ درصد از آن‌ها، حتی پس از شروع، هیچ رمز عبور یا کلیدی ارائه نشده است.

حساب‌های سرویس (Service Accounts) مسیرهای حمله را گسترش می‌دهند

تقریباً نیمی از زنجیره‌های حمله‌ای که بدون احراز هویت شروع شده بودند، به اعتبارنامه‌های افشا شده متکی بودند که ۷۱ درصد آن‌ها متعلق به اپلیکیشن‌ها یا حساب‌های سرویس (Service Accounts) بودند تا کاربران انسانی. نزدیک به ۹۰ درصد این اعتبارنامه‌ها بدون نیاز به استخراج پیچیده، در مخازن کد (Repositories)، فایل‌های پیکربندی، بک‌آپ‌ها، لاگ‌ها یا تنظیمات ابری قابل دسترسی بودند.

در یک مورد عملیاتی، تیم Armadin با استفاده از یک حساب دامنه با سطح دسترسی پایین و بهره‌گیری از یک نقص در نرم‌افزار پشتیبان‌گیری، موفق به خواندن اعتبارنامه‌های موجود شد. این امر منجر به دسترسی به سرور مدیریت Hypervisor و در نهایت دسترسی به هش‌های Domain Administrator از طریق بک‌آپ کنترلر دامنه شد.

برای رفع این یافته‌های شدید، در ۵۱ درصد موارد نیاز به اصلاح کد اپلیکیشن، در ۴۳ درصد موارد تغییر تنظیمات یا سیاست‌ها (Policy) و در ۳۲ درصد موارد چرخش اعتبارنامه‌های افشا شده (Credential Rotation) وجود داشت.