CISA และ NSA แนะนำวิธีการแนวทาง ในการรักษาความปลอดภัยของ Cloud service

    NSA และหน่วยงานความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐาน (CISA) ได้เผยแพร่รายงาน 5 ฉบับ ซึ่งเป็นแนวทางปฏิบัติที่แนะนำ (best practices) ในการรักษาความปลอดภัยของระบบ Cloud Service

Cloud service เป็นที่นิยมอย่างมากสำหรับองค์กร เนื่องจากสามารถให้บริการเซิร์ฟเวอร์ พื้นที่เก็บข้อมูล และแอปพลิเคชันที่มีการจัดการ โดยที่ผู้ใช้งานไม่ต้องจัดการโครงสร้างพื้นฐานด้วยตนเอง โดย Cloud service เป็นที่นิยมในการใช้งานของทีมพัฒนาแอปพลิเคชันระดับองค์กรจำนวนมาก ทั้งเวอร์ชันภายในองค์กร และเวอร์ชันที่โฮสต์บนคลาวด์ ซึ่งช่วยลดภาระของผู้ดูแลระบบขององค์กร

    CISA และ NSA ได้เผยแพร่รายงาน 5 ฉบับ เกี่ยวกับวิธีการรักษาความปลอดภัยของ Cloud service โดยใช้แนวทางปฏิบัติที่มุ่งเน้นไปที่การในเรื่องของ การจัดการข้อมูลประจำตัว และการเข้าถึงข้อมูลประจำตัว, การจัดการ Key, การเข้ารหัสข้อมูลในระบบคลาวด์, การจัดการพื้นที่เก็บข้อมูลบนคลาวด์ และการลดความเสี่ยงจากผู้ให้บริการ

คำแนะนำทั้ง 5 รายการ และข้อสรุปแนวทางปฏิบัติในการรักษาความปลอดภัยของ Cloud service ของ NSA/CISA :

1. การใช้แนวทาง Secure Cloud Identity and Access Management [PDF]

    วัตถุประสงค์ของ cybersecurity information sheet (CSI) คือการอธิบายการจัดการข้อมูลประจำตัวบนคลาวด์ และเพื่อแนะนำแนวทางปฏิบัติที่องค์กรควรใช้เพื่อป้องกันภัยคุกคามในระบบคลาวด์ เช่น การจัดการข้อมูลประจำตัว และการเข้าถึง รวมถึงแนวทางปฏิบัติในการกำหนดค่า MFA การจัดเก็บข้อมูลประจำตัว และการแบ่งพาร์ติชันสิทธิ์ เพื่อให้ต้องใช้สิทธิ์หลายคนในการยกระดับสิทธิ์ หรือการดำเนินการที่มีความสำคัญ

2. การใช้แนวทาง Secure Cloud Key Management [PDF]

    วัตถุประสงค์ของ cybersecurity information sheet (CSI) คือการสรุปตัวเลือกการจัดการที่สำคัญตามปัจจัย และแนะนำแนวทางปฏิบัติที่ดีที่สุดที่ควรพิจารณา ด้วยการใช้ Key Management Solutions (KMS) บนคลาวด์ ซึ่งจำเป็นจะต้องทำความเข้าใจ และจัดทำเอกสารความรับผิดชอบด้านความปลอดภัยร่วมกัน

3. การใช้แนวทาง Network Segmentation and Encryption in Cloud Environment [PDF]

    วัตถุประสงค์ของ cybersecurity information sheet (CSI) คือการให้คำแนะนำสำหรับการนำหลักการไปใช้ใน cloud environment ซึ่งมีความแตกต่างจากเครือข่ายภายในองค์กร (on-prem) แม้ว่าเครือข่ายภายในองค์กรจำเป็นต้องใช้อุปกรณ์เพิ่มเติมเพื่อเปิดใช้งาน Zero-Trust แต่ Cloud Environment มีโครงสร้างพื้นฐาน และบริการที่จำเป็นสำหรับการใช้งาน Zero-Trust อยู่แล้ว รวมถึง CSI ดังกล่าวยังให้คำแนะนำในการเข้ารหัสข้อมูลระหว่างทาง และวิธีแบ่งกลุ่มบริการคลาวด์ให้เหมาะสมที่สุด เพื่อไม่ให้สื่อสารกันเว้นแต่จำเป็นต้องใช้งานเท่านั้น

4. การใช้แนวทาง Secure Data in the Cloud [PDF]

    วัตถุประสงค์ของ cybersecurity information sheet (CSI) คือการให้คำแนะนำสำหรับแนวทางในการเข้ารหัสข้อมูล, การรักษาความปลอดภัยข้อมูลจากการเข้าถึงโดยไม่ได้รับอนุญาต และการสร้างแผนการสำรองข้อมูล และการกู้คืนข้อมูล

5. การใช้แนวทาง Mitigate Risks from Managed Service Providers in Cloud Environment [PDF]

    วัตถุประสงค์ของ cybersecurity information sheet (CSI) คือการให้คำแนะนำเกี่ยวกับการรักษาความปลอดภัยบัญชีบริษัทที่ใช้โดย MSP การตรวจสอบกิจกรรมของพวกเขา และสิ่งที่ควรคำนึงถึงเมื่อเจรจาข้อตกลง (SLA)

 โดยปัจจุบันพบว่าผู้ไม่ประสงค์ดีได้พุ้งเป้าหมายการโจมตีไปยังพื้นที่ในการให้บริการ cloud service เนื่องจากมีแนวโน้มที่จะจัดเก็บข้อมูลอันมีค่า และสามารถใช้เพื่อเปลี่ยนเส้นทางไปยังเครือข่ายภายในของเป้าหมายได้

    ในปี 2021 Microsoft ได้เผยแพร่รายงานวิธีที่ผู้ไม่ประสงค์ดีชาวรัสเซีย ในชื่อ Nobelium ได้กำหนดเป้าหมายไปยัง cloud service และ MSP เพื่อกำหนดเป้าหมายไปยังลูกค้า downstream รวมถึงเครือข่ายภายในอีกด้วย

    รวมถึง Microsoft ได้เปิดตัวเครื่องมือ 'Untitled Goose Tool' เพื่อช่วยในการตรวจจับการโจมตีที่กำหนดเป้าหมายไปยัง Azure cloud service ในปี 2023 ที่สามารถป้องกันการถ่ายโอนข้อมูลจาก Azure Active Directory, Microsoft Azure และ Microsoft 365 environment

Ref: bleepingcomputer

CISA แจ้งเตือนช่องโหว่บนผลิตภัณฑ์ Microsoft Streaming เป็นช่องทางในการโจมตีเป้าหมาย

    หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์ของสหรัฐอเมริกา หรือ CISA สั่งให้หน่วยงาน US Federal Civilian Executive Branch (FCEB) ทำการป้องกันระบบเครือข่ายจากช่องโหว่ที่มีระดับความรุนแรงสูงใน Microsoft Streaming Service (MSKSSRV.SYS) ที่กำลังตกเป็นเป้าหมายในการโจมตี

    CVE-2023-29360 (คะแนน CVSS 8.4/10 ความรุนแรงระดับ High) เป็นช่องโหว่ Untrusted Pointer Dereference ซึ่งทำให้ผู้ไม่ประสงค์ดีที่เข้าถึงระบบได้ในระดับทั่วไปและได้รับสิทธิ์ผู้ดูแลบนระบบซึ่งการโจมตีไม่ค่อยมีความซับซ้อนเท่าไหร่นัก และไม่จำเป็นต้องมีการป้งกันใด ๆ จากเป้าหมาย

    ถูกค้นพบโดย Thomas Imbert ซึ่งพบช่องโหว่จาก Synactiv ใน Microsoft Streaming Service Proxy (MSKSSRV.SYS) และรายงานไปยัง Microsoft ผ่านทาง Zero Day Initiative ของ Trend Micro

    ทาง Microsoft ได้ออกอัปเดตเพื่อแก้ไขช่องโหว่ดังกล่าวแล้วใน Patch Tuesday เดือนมิถุนายน 2023 รวมถึงได้มีการเปิดเผยชุดสาธิตการโจมตีหรือ proof-of-concept (PoC) บน GitHub ใน ในวันที่ 24 กันยายน 2023

    ทั้งนี้ทาง CISA ไม่ได้ให้รายละเอียดเกี่ยวกับการโจมตีที่กำลังดำเนินการอยู่ แต่ยืนยันว่าไม่พบหลักฐานว่าช่องโหว่นี้ถูกใช้ในการโจมตีจาก ransomware โดยทาง CISA ได้เพิ่มช่องโหว่ดังกล่าวไปยัง Known Exploited Vulnerabilities Catalog (KEV) หรือรายการช่องโหว่ที่พบว่ากำลังถูกใช้ในการโจมตี และแจ้งเตือนว่า “ช่องโหว่ดังกล่าวเป็นช่องทางที่พบว่าถูกผู้ไม่ประสงค์ดีใช้โจมตีบ่อยครั้ง และก่อให้เกิดความเสี่ยงที่สำคัญต่อองค์กรของรัฐบาลกลาง”

    โดยองค์กรของรัฐบาลกลางต้องทำตามคำสั่งของ CISA ตามที่ได้รับคำสั่งจากคำสั่งการปฏิบัติงานที่มีผลผูกพัน (BOD 22-01) ที่ออกในเดือนพฤศจิกายน 2021 ซึ่งต้องเร่งทำการอัปเดตระบบ Windows เพื่อป้องกันช่องโหว่ดังกล่าวภายในวันที่ 21 มีนาคม 2024

    รวมถึงแม้ว่า KEV Catalog จะมุ่งเน้นไปที่การแจ้งเตือนหน่วยงานรัฐบาลกลางเกี่ยวกับช่องโหว่ที่ควรได้รับการแก้ไขโดยเร็วที่สุด แต่องค์กรเอกชนทั่วโลกก็ควรแก้ไขตามเช่นกัน เพื่อป้องกันการโจมตีจากช่องโหว่ดังกล่าว

การโจมตีด้วย malware ตั้งแต่เดือนสิงหาคม 2023

    Check Point บริษัทรักษาความปลอดภัยทางไซเบอร์สัญชาติอเมริกัน-อิสราเอล ได้ให้ข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ CVE-2023-29360 ว่าพบการโจมตีของมัลแวร์ในชื่อ Raspberry Robin ได้ใช้ช่องโหว่ดังกล่าวในการโจมตีมาตั้งแต่เดือนสิงหาคม 2023

    Raspberry Robin เป็นมัลแวร์ที่มีความสามารถของเวิร์ม ซึ่งถูกพบในเดือนกันยายน 2021 และแพร่กระจายผ่าน USB drives เป็นหลัก แม้ว่าจะไม่สามารถระบุได้ว่าผู้ไม่ประสงค์ดีกลุ่มใดเป็นผู้สร้างมัลแวร์ แต่ก็มีการเชื่อมโยงกับกลุ่มผู้ไม่ประสงค์ดีหลายกลุ่มรวมถึง EvilCorp และกลุ่ม Clop ransomware โดยทาง Microsoft ได้รายงานไว้ในเดือนกรกฎาคม 2022 ว่าตรวจพบมัลแวร์ Raspberry Robin บนเครือข่ายขององค์กรหลายร้อยแห่งจากภาคอุตสาหกรรมต่าง ๆ

    Raspberry Robin มีการพัฒนาอย่างต่อเนื่อง โดยนำกลยุทธ์ delivery ใหม่มาใช้ และเพิ่มฟีเจอร์ใหม่ ๆ รวมถึงการหลีกเลี่ยงการตรวจจับ โดยการทิ้งเพย์โหลดปลอมเพื่อทำให้นักวิจัยเข้าใจผิด

Ref : bleepingcomputer

วิศวกรของ Google ถูกจับได้ว่าขโมยความลับทางเทคโนโลยีปัญญาประดิษฐ์ให้กับบริษัทจีน

 

    กระทรวงยุติธรรมของสหรัฐอเมริกา( DoJ )ได้ประกาศดําเนินคดีกับอดีตวิศวกรซอฟต์แวร์ของ Google leon ding อายุ 38 ปี ซึ่งถูกกล่าวหาว่าขโมยความลับทางการค้าของ Google AI สําหรับบริษัทจีน โดยระบุข้อกล่าวหาว่า leon ding โจรกรรมข้อมูลที่เป็นกรรมสิทธิ์ของเทคโนโลยีปัญญาประดิษฐ์ของ Google และถ่ายโอนข้อมูลดังกล่าวไปยังบริษัท 2 แห่งในจีน

    ข้อมูลความลับที่ถูกโจรกรรมเกี่ยวข้องกับเทคโนโลยีที่สำคัญใน SuperComputing Data Centers ของ Google ซึ่งเป็นส่วนสำคัญในการพัฒนาของ Host และ AI Models ที่มีขนาดใหญ่ซึ่งสามารถประมวลผลภาษาที่ซับซ้อนและสร้างคำตอบอัจฉริยะได้

    ข้อกล่าวหาระบุว่า leon ding ขโมยข้อมูลทรัพย์สินทางปัญญาเกี่ยวกับแพลตฟอร์มฮาร์ดแวร์และซอฟต์แวร์ ซึ่งรวมถึง:

        1. โครงสร้างและฟังก์ชันของชิป GPU และ TPU และรวมถึงระบบการจัดการ

        2. ซอฟต์แวร์ที่ช่วยให้ชิปเหล่านี้ติดต่อสื่อสารข้อมูลและดำเนินงานงาน

        3. ระบบ Cluster Management System: CMS ได้รวมชิปหลายพันชิ้นเข้าด้วยกันเป็นซูเปอร์คอมพิวเตอร์เครื่องเดียวที่สามารถพัฒนาการเรียนรู้ของเครื่อง และเทคโนโลยีปัญญาประดิษฐ์ที่ล้ำสมัย

รายละเอียดการโจรกรรมข้อมูล

    กระทรวงยุติธรรมกล่าวว่า  leon  ding  เริ่มทํางานเป็นวิศวกรซอฟต์แวร์ที่  Google  ในปี  2019  และเริ่มอัปโหลดข้อมูลที่เป็นกรรมสิทธิ์ไปยังบัญชี  Google  Cloud  ส่วนตัวในวันที่  21  พฤษภาคม  2022  กระบวนการนี้ใช้เวลาเกือบหนึ่งปี  ส่งผลให้ไฟล์มากกว่า  500  ไฟล์ถูกโจรกรรม

    leon  ding  คัดลอกไฟล์ต้นฉบับของ  Google  ลงใน  Apple  Notes  บนแล็ปท็อปที่ออกโดย  Google  เพื่อซ่อนพฤติกรรมการใข้งานของตัวเอง และแปลงเป็นไฟล์  PDF  แล้วอัปโหลดไปยังบัญชี  Google  Cloud  ของตัวเอง

    ตามคําฟ้อง   leon  ding  ได้โอนเอกสารที่มีข้อมูลลับไปยังประเทศจีน โดยเฉพาะบริษัทปัญญาประดิษฐ์ที่เขาดํารงตําแหน่งประธานเจ้าหน้าที่ฝ่ายเทคโนโลยี และบริษัทที่สองที่เขาก่อตั้งชื่อ  Shanghai Intelligent Technology Co. , Ltd.

    leon  ding  ไม่ได้แจ้งให้  Google  ทราบถึงความสัมพันธ์ของเขากับบริษัทเหล่านี้ และไม่ได้เปิดเผยการเดินทางของเขาไปประเทศจีนเพื่อเข้าร่วมการประชุมนักลงทุน

    ในทางตรงกันข้าม  leon ding  ถูกกล่าวหาว่าขอให้เพื่อนร่วมงานบันทึกการเข้าทำงานของเขาเป็นประจำเพื่อให้ไม่ดูน่าสงสัย

    leon  ding  ถูกจับในวันที่  5  มีนาคม  พ.ศ.  2567  ที่แคลิฟอร์เนีย และตอนนี้เผชิญกับโทษสูงสุด  10  ปีจำคุกพร้อมค่าปรับสูงสุดถึง  250,000  ดอลลาร์สหรัฐ สำหรับแต่ละข้อหาการโจรกรรมข้อมูลเครื่องมือทางการค้าในแต่ละครั้ง รวมมูลค่า  1  ล้านดอลลาร์

Ref : bleepingcomputer

VMware แก้ไขช่องโหว่ที่มีความเสี่ยงร้ายแรงใน VMware ESXi Workstation และ Fusion

    VMware เปิดตัวการอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ Sandbox Escape ที่สำคัญในผลิตภัณฑ์ VMware ESXi, Workstation, Fusion และ Cloud Foundation ช่องโหว่ที่เกิดขึ้นนี้ทำให้ผู้ไม่ประสงค์ดีสามารถหลีกเลี่ยงการตรวจจับความปลอดภัยจากเครื่องเสมือน และเข้าถึงระบบปฏิบัติการ Host ได้

    ช่องโหว่นี้มีความเสี่ยงร้ายแรง เนื่องจากอาจทําให้ผู้โจมตีสามารถเข้าถึงระบบโฮสต์ที่ไม่ได้รับอนุญาตซึ่งมีการติดตั้งhypervisorหรือเข้าถึงเครื่องเสมือนอื่นๆที่รันบนโฮสต์เดียวกันเพื่อทําลายการแยก

    ประกาศระบุถึงช่องโหว่ทั้งสี่ CVE-2024-22252, CVE-2024-22253, CVE-2024-22254 และCVE-2024-22255ตามลําดับ CVSS v 3 มีรายการคะแนนตั้งแต่ 7.1 ถึง 9.3

ช่องโหว่ทั้งสี่ สามารถสรุปได้ดังนี้

    CVE-2024-22252 และ CVE-2024-22253 ช่องโหว่ Use-after-free ในตัวควบคุม USB รุ่น XHCI และ UHCI ที่มีผลต่อ Workstation, Fusion และ ESXi การโจมตีต้องใช้สิทธิ์ผู้ดูแลระบบในเครื่องเสมือนและอาจทำให้ผู้โจมตีดำเนินการเข้ารหัสเป็นกระบวนการ VMX ของเครื่องเสมือนบนโฮสต์ บน Workstation และ Fusion นี่อาจนำไปสู่การดำเนินการเข้ารหัสบนเครื่องโฮสต์

    CVE-2024-22254 ช่องโหว่สามารถใช้งานเขียนสิทธิ์บน ESXi ทำให้ผู้ไม่ประสงค์ดีมีสิทธิ์กระบวนการ VMX สามารถเขียนข้อมูลไปนอกขอบเขตหน่วยความจำที่กำหนดไว้ได้ (out-of-bounds write) ซึ่งอาจนำไปสู่การหลีกเลี่ยง sandbox

    CVE-2024-22255 การเปิดเผยข้อมูลช่องโหว่ว่าในตัวควบคุม USB รุ่น UHCI ที่มีผลต่อ ESXi, Workstation และ Fusion ช่องโหว่นี้อาจทำให้ผู้ไม่ประสงค์ดีมีสิทธิ์การเข้าถึงในระดับผู้ดูแลระบบในเครื่องเสมือน สามารถส่งออกข้อมูลสำคัญออกจากหน่วยความจำจากกระบวนการ VMX ได้

ผลิตภัณฑ์เวอร์ชันที่ได้รับผลกระทบ และเวอร์ชันที่ได้รับการแก้ไขจะแสดงอยู่ในตารางด้านล่าง

วิธีแก้ปัญหาเชิงปฏิบัติเพื่อลดช่องโหว่ CVE-2024-22252, CVE-2024-22253 และ CVE-2024-22255 คือการถอดตัวควบคุม USB ออกจากเครื่องเสมือนตามคำแนะนำของ VMware การดำเนินการนี้อาจส่งผลต่อการเชื่อมต่อแป้นพิมพ์ เมาส์ และแท่ง USB ในการกำหนดค่าบางอย่าง

VMware ได้ทำการแก้ไขด้านความปลอดภัยสำหรับ ESXi เวอร์ชันเก่า (6.7U3u), 6.5 (6.5U3v) และ VCF 3.x เนื่องจากความรุนแรงของช่องโหว่

 

 Ref : bleepingcomputer

 

การตั้งค่า SIP Server ทำงานร่วมกับ Firewall Fortigate

 ก่อนหน้านี้ เคยตั้งค่า Elastix ทำงานร่วมกับ Fortigate แต่ไม่สำเร็จ เลยใช้วิธีอื่น 

วันนี้พอดีเห็นมีการแนะนำการตั้งค่าเลยขอแชร์ไว้ครับ 

config firewall vip
    edit "VIP_wan-to-3cx"
        set extip "123.123.123.123"
        set mappedip "10.10.10.10"
        set extintf "any"
    next
end
config firewall ippool
    edit "IPPOOL_3cx"
        set startip 123.123.123.123
        set endip 123.123.123.123
    next
end
config firewall service custom
    edit "3CX HTTPS"
        set tcp-portrange 5001
    next
    edit "3CX HTTP"
        set tcp-portrange 5000
    next
    edit "3CX SIP"
        set helper disable
        set tcp-portrange 5061
        set udp-portrange 5060
    next
    edit "3CX STUN"
        set helper disable
        set tcp-portrange 5090
        set udp-portrange 5090
    next
    edit "3CX RTP"
        set helper disable
        set udp-portrange 9000-10999
    next
    edit "3CX WebRTC"
        set tcp-portrange 443
    next
    edit "3CX Server Test"
        set udp-portrange 3478
    next
    edit "3CX SMTP"
        set tcp-portrange 2528
    next
end
config firewall address
    edit "3cx-address"
        set subnet 10.10.10.10 255.255.255.255
    next
end
config firewall policy
    edit 0
        set srcintf "dmz"
        set dstintf "wan"
        set action accept
        set srcaddr "3cx-address"
        set dstaddr "all"
        set schedule "always"
        set service "3CX SIP" "3CX STUN" "3CX HTTP" "3CX HTTPS" "3CX RTP" "3CX WebRTC" "3CX Server Test" "3CX SMTP" "HTTP"
        set nat enable
        set fixedport enable
        set ippool enable
        set poolname "IPPOOL_3cx"
    next
    edit 0
        set srcintf "wan"
        set dstintf "dmz"
        set action accept
        set srcaddr "all"
        set dstaddr "VIP_wan-to-3cx"
        set schedule "always"
        set service "3CX STUN" "3CX WebRTC" "3CX HTTPS" "3CX RTP" "3CX SIP"
    next
end

https://blog.boll.ch/how-to-configure-the-fortigate-for-a-3cx-uc-system-with-sip-trunk/