Ivanti obtiene bajas calificaciones por su respuesta a incidentes cibernéticos

Esto es lo que está claro sobre la postura actual de ciberseguridad de los dispositivos VPN de Ivanti: han sido en gran medida vulnerables a los ciberataques y los actores de amenazas son conscientes de las posibilidades. Depende de los equipos cibernéticos de las empresas decidir qué sigue.

En lo que va de 2024, Ivanti ha descubierto cinco vulnerabilidades de VPN, la mayoría de las cuales fueron explotadas como de día cero; dos de las cuales se divulgaron públicamente semanas antes de que los parches estuvieran disponibles. Algunos críticos, como el investigador de ciberseguridad Jake Williams, ven la avalancha de vulnerabilidades de Ivanti y la lenta respuesta de la empresa a los incidentes como una amenaza existencial para la empresa.

Williams culpa a años de negligencia en materia de codificación segura y pruebas de seguridad por los problemas actuales de Ivanti. Para recuperarse, Williams dice que Ivanti necesitaría superar esta deuda técnica y recuperar de alguna manera la confianza de sus clientes. Williams añade que Ivanti no puede realizar esta tarea.

«No entiendo cómo Ivanti puede sobrevivir como marca de firewall empresarial», le dice Williams a Dark Reading, un sentimiento que ha repetido numerosas veces en las redes sociales.

Una visión más generosa de la reciente serie de revelaciones de día cero es que es una señal positiva de que Ivanti esté analizando detenidamente su ciberseguridad.

«Ivanti profundiza en sus propios productos para encontrar, corregir y revelar vulnerabilidades, y eso merece algo de crédito», afirmó John Gallagher, vicepresidente de Viakoo Labs.

Cuando se le contactó para hacer comentarios, Ivanti refirió Dark Reading al 8 de febrero. Entrada de blog con respecto a su reciente revelación.

Los problemas de Ivanti afectan a los equipos cibernéticos

En última instancia, los equipos de ciberseguridad empresarial deben elegir entre aplicar parches o… Sigue los consejos de CISA Para desconectar completamente los dispositivos VPN de Ivanti. También deberás explicar la decisión a tus superiores.

La aplicación de parches es una respuesta razonable, pero el cronograma de parches de Ivanti se retrasó para las dos vulnerabilidades de día cero antes mencionadas anunciadas el 10 de enero (CVE-2024-21887 y CVE-2023-46805). Después de todo, estos eran todos bajo explotación activa 20 días sin parche antes de recibir parches el 30 de enero. Pero trajeron aún más malas noticias: también se incluyó la actualización de Ivanti Corrige dos errores adicionales no publicados anteriormente. (CVE-2024-21888 y CVE-2024-21893), el último de los cuales también ha sido explotado activamente en la naturaleza.

Eso fue suficiente para que CISA ordenara a las agencias federales que desconectaran los productos Ivanti de sus sistemas el 1 de febrero.

El 9 de febrero se anunció una quinta vulnerabilidad de Ivanti, CVE-2024-22024. Por último, Ivanti acreditado watchTowr con el descubrimiento, aunque inicialmente se afirmó que equipos internos habían encontrado el error, lo que provocó cierta confusión entre los cazadores de errores.

La confianza en las prácticas de seguridad de Ivanti se ve aún más socavada por el hecho de que los primeros errores del 10 de enero estaban originalmente programados para ser corregidos el 22 de enero, pero Ivanti ha pospuesto la fecha de lanzamiento al 30 de enero.

«El software para estos dispositivos debe desarrollarse con la misma seriedad que requiere esta amenaza», afirmó John Bambenek, presidente de Bambenek Consulting. «Cuando lanzas programas de parches de día cero, debes cumplir esos objetivos, especialmente en una situación como esta».

Mientras tanto, los persistentes fallos de Ivanti han atraído a hordas de ciberdelincuentes, entre ellos Actores de amenazas patrocinados por el estado chino. Y el investigador cibernético “Shadowserver” Pitor Kijewski confirmó a Dark Reading que hay al menos 47 IP intentando explotar la mayor parte hasta la fecha. Error recientemente descubierto en Ivanti VPN.

Aquí también hay cierta confusión: en respuesta al informe de Shadowserver, Ivanti emitió la siguiente declaración a Dark Reading: «No tenemos evidencia de que CVE-2024-22024 haya sido explotado en la naturaleza».

Gallagher de Viakoo otorga a Ivanti bajas calificaciones por su respuesta a incidentes hasta el momento.

«La recuperación de Ivantis debe abordar tanto los aspectos técnicos de estos ataques como el daño a la confianza y la reputación que causan», afirma. «Tropezaron gravemente en ambos frentes».

Ivanti promete corregir errores, los clientes tengan cuidado

En una alerta del 8 de febrero sobre las últimas fallas de Connect Secure y Policy Secure Gateways, Ivanti aseguró a los clientes que actualmente está realizando una revisión completa de su código.

«Nuestro equipo ha estado trabajando las 24 horas del día para revisar intensamente todo el código y se centra únicamente en encontrar una solución completa a los problemas que afectan a Ivanti Connect Secure (anteriormente Pulse Connect Secure), Ivanti Policy Secure y ZTA-Gateway», dijo la compañía. .

A medida que aumentan los problemas de ciberseguridad de Ivanti, los equipos cibernéticos están aprendiendo que el parche reactivo de los dispositivos de borde por sí solo no es suficiente, dijo Patrick Tiquet, vicepresidente de seguridad y arquitectura de Keeper Security.

«Es imperativo que los proveedores den prioridad a la identificación y resolución de problemas dentro de sus soluciones», afirma Tiquet. «Pero las empresas deberían realizar periódicamente pruebas de penetración de sus propios productos y servicios para encontrar vulnerabilidades de forma proactiva antes de que alguien más lo haga».

Sólo el tiempo dirá si Ivanti podrá recuperar a sus clientes ya perdidos y tranquilizar a los que se quedaron. Pero Bambanek aconseja a los equipos de seguridad corporativa que se mantengan cautelosos mientras tanto.

«Si fuera CISO, evitaría Ivanti durante unos años hasta que volvieran a demostrar su valía», añade.