IA a redus timpul de răspuns la breșele cibernetice de la un an la o zi

Cisco a anunțat o breșă deja exploatată în ASA și FTD!

Viteza cu care o vulnerabilitate devine o amenințare activă a schimbat radical.

Timpul dintre publicarea unei breșe și primului atac cibernetic a scăzut de la aproximativ un an în 2021 la puțin peste o zi în 2026, conform datelor indicatorului Zero Day Clock, monitorizat de Sysdig.

Proiecția pentru 2027 indică o reducere suplimentară, până la doar o oră. Această accelerare este atribuită în mare măsură utilizării inteligenței artificiale, o concluzie susținută de TRU Solutions, o companie românească specializată în securitate cibernetică.

În ultima săptămână din octombrie, trei soluții utilizate de milioane de organizații au fost afectate de vulnerabilități critice, deja exploatate de atacatori.

Printre acestea se numără PHP, limbajul care susține aproximativ 70% din site-urile globale, precum și echipamentele Cisco și Ivanti, prin care angajații se conectă de la distanță la rețeaua companiei.

Toate cele trei produse au prezentat breșe care au fost activele de atacatori.

Pe data de 26 octombrie, agenția americană CISA a inclus breșa PHP2 Shell în lista vulnerabilităților exploatate activ.

Trei zile mai târziu, pe 29 octombrie, s-a confirmat că atacatorii combină această breșă cu o altă vulnerabilitate numită Fragnesia, obținând astfel control complet asupra serverului.

În paralel, au fost înregistrate atacuri cu ransomware pe firewall-urile Palo Alto. O singură cerere, fără necesitatea unei parole, este suficientă pentru preluarea unui site.

Pe 28 octombrie, Cisco a anunțat o vulnerabilitate în echipamentele ASA și FTD, care fusese deja exploatată.

Cum facem față acestei situații?

Un atacator, fără a folosi o parolă, poate reporni la nesfârșit echipamentul care gestionează conexiunea VPN a companiei, lăsând angajații care lucrează de la distanță fără acces.

La data de 30 octombrie, CISA a adăugat încă două breșe din echipamentele Ivanti Connect Secure pe aceeași listă. Acestea, utilizate împreună, permit acces total fără parolă și fură parolele de domeniu ale organizației. Multe firme care aplicaseră doar prima actualizare au rămas expuse.

Motivul fundamental al acestei accelerații este inteligența artificială, susține TRU Solutions. Deși breșele în PHP existau în cod de zeci de ani, ele erau prea complexe pentru a fi exploatate de un om. Modelele AI au coborât această barieră semnificativ. Tot în luna octombrie, un agent bazat pe AI a identificat în doar 3 ore și 49 de minute patru vulnerabilități necunoscute într-un program vechi care controlează echipamente industriale, una dintre ele având un scor de criticitate de 9,8 din 10.

Companiile întâmpină dificultăți în a ține pasul cu această nouă viteză. Din totalul de 167 milioane de instalări PHP numărate de Qualys, doar 0,1% au fost reparate în primele 12 ore după publicarea actualizării.

Testul de securitate se efectuează o dată pe an, conform cerințelor legale.

Aceasta înseamnă un an de liniște achiziționate cu o săptămână de verificare. Până acum, acest ritm a funcționat, deoarece atacatorii aveau aceleași limite ca noi: timp, personal și răbdare. Aceste limite au dispărut datorită AI-ului, explică Ciprian Pocovnicu, fondatorul TRU Solutions.

Pentru a face față acestei situații, TRU Solutions recomandă companiilor din România o serie de măsuri preventive esențiale. În primul rând, organizațiile trebuie să aibă o inventariere completă a serverelor, aplicațiilor și echipamentelor conectate la internet, inclusiv cele uitate; un firewall este, în esență, un calculator cu software propriu.

În al doilea rând, actualizările trebuie efectuate în zile, nu în luni, deoarece un ciclu de actualizare trimestrial înseamnă trei luni cu ușa deschisă. În al treilea rând, rețeaua trebuie segmentată: serverele și echipamentele critice nu trebuie să fie în aceeași rețea cu laptopurile de birou.

În al patrulea rând, testarea lunară de vulnerabilități este necesară atât pentru sistemele externe, cât și pentru rețeaua internă, având în vedere că majoritatea atacurilor provine din interior, de la o stație de lucru compromisă.

În al cincilea rând, monitorizarea infrastructurii și a sistemelor informatice trebuie să fie continuă, 24/7/365, deoarece un atac automat nu respectă programul de lucru. În al șaselea rând, dacă site-ul este găzduit la un furnizor terț, compania trebuie să solicite în scris confirmarea că actualizarea a fost aplicată, situație care afectează majoritatea site-urilor din România.

Pentru companiile supuse legislației NIS2, aceste măsuri devin obligatorii. Gestionarea breșelor este o cerință a OUG 155/2024, iar orice incident semnificativ trebuie notificat la DNSC în termen de 24 de ore. O defecțiune repetată a unei conexiuni VPN poate fi clasificată ca un astfel de incident. Prima amendă a fost aplicată pe data de 29 septembrie, în valoare de 50.000 de lei, ca urmare a nerespectării termenului de notificare.