أدوات الحماية نفسها صارت هدفًا: دروس من هجمات سيسكو وNextcloud

قرأت اليوم ثلاثة أخبار أمنية، وبدت لي كأنها فصول من قصة واحدة. الأجهزة والخدمات التي نضعها لحمايتنا، والبريد الذي نثق به، والتطبيقات الإضافية التي نثبتها لتسهيل العمل، كلها أصبحت أهدافًا مباشرة. وأرى أن هذا يستحق وقفة، خصوصًا لمن يدير تقنية شركة في الإمارات أو الخليج.

ماذا حدث؟

بحسب The Hacker News، حذرت سيسكو في نشرة أمنية من هجمات نشطة تستغل ثغرة حرجة في Cisco Secure Email Gateway. الثغرة تسمح لمرسل لا يملك أي حساب بكتابة ملفات على نظام تشغيل الجهاز، وذلك برسالة تحمل مرفقًا مصممًا لهذا الغرض. وإذا نجح الهجوم فقد يصل المهاجم إلى تنفيذ أوامر بصلاحيات الجذر. والجهاز في الأصل يفلتر بريد المؤسسة من الرسائل المزعجة والبرمجيات الخبيثة، أي أنه الحارس الذي يقف عند الباب.

وفي خبر آخر نشره The Hacker News أيضًا، استغل مهاجمون ثغرة في تطبيق اختياري لـ Nextcloud اسمه Collabora Online - Built-in CODE Server، وزرعوا ما يسمى web shells على الخوادم. هذا الملف الصغير ينفذ أي أمر يصله عبر طلب ويب، بصلاحيات حساب خادم الويب. وقد أبلغ ثلاثة مديري أنظمة عن المشكلة على GitHub، وسُجل أول هجوم في العاشر من سبتمبر.

أما الخبر الثالث فأقل قتامة. أعلنت مايكروسوفت مع Health-ISAC ومركز JC3 الياباني وتحالف من شركات القطاع الخاص، منها Cloudflare وOracle وProofpoint وResecurity وTRM Labs، تعطيل ثلاث أدوات تصيد هي CoGUI وHaozi وIron Man System. وذكر The Hacker News أنها مرتبطة بأكثر من مليار رسالة احتيالية.

لماذا يهمنا في الخليج؟

كثير من الشركات عندنا، الصغيرة والمتوسطة خصوصًا، تعتمد على بوابات بريد مستضافة داخليًا أو على خوادم ملفات خاصة مثل Nextcloud للحفاظ على بياناتها داخل حدودها. وهذا خيار مفهوم، بل أحترمه. لكن الاستضافة الذاتية تعني أن التحديثات والمراقبة مسؤوليتك أنت، وليس مزوّدًا بعيدًا.

والنقطة الأخطر عندي أن البريد هو أول ما يلمسه العالم الخارجي من شركتك. أي شخص في أي مكان يستطيع أن يرسل إليك رسالة، وفي حالة سيسكو لا يحتاج المهاجم إلى حساب ولا إلى كلمة مرور. ومن جهة أخرى، يبقى التصيد أرخص طريق للمحتالين، وأدواته الجاهزة تمنح أي شخص قدرة على الوصول إلى أعداد هائلة من الضحايا.

ماذا أنصح أن تفعل؟

• راجع نشرة سيسكو الأمنية فورًا إن كنت تشغل Secure Email Gateway، وطبّق ما تطلبه الشركة من تحديثات أو إجراءات تخفيف. لا تنتظر الدورة الشهرية المعتادة للتحديثات، فالهجمات نشطة بالفعل.
• اجرد تطبيقات Nextcloud المثبتة لديك. إن كنت تستخدم Collabora Online - Built-in CODE Server فتابع تحذيرات المطورين، وإن لم تكن بحاجة إليه فأزله. كل تطبيق إضافي هو سطح هجوم إضافي.
• افحص الخوادم بحثًا عن ملفات غريبة في مجلدات الويب وعن سلوك غير معتاد. وجود web shell يعني أن الخادم لم يعد خادمك وحدك. وبما أن أول هجوم مسجل كان في سبتمبر، فالفحص يجب أن يغطي ما قبل اليوم وليس اليوم فقط.
• قلل التعرض للإنترنت. لا تفتح لوحات الإدارة للعالم، واجعل الوصول إليها عبر شبكة خاصة أو VPN مع التحقق بخطوتين.
• درّب الموظفين على التصيد بأمثلة واقعية، فالتحالف الذي عطّل تلك الأدوات لن يوقف كل الأدوات الأخرى.

رأيي الصريح

أكثر ما يزعجني في هذه الأخبار هو الشعور الزائف بالأمان. كثيرون يظنون أن شراء جهاز حماية مكلف يعني انتهاء المشكلة، ثم ينسونه في الزاوية بلا تحديث ولا مراجعة. الجهاز نفسه برنامج يحتوي على أخطاء، وقد يتحول من درع إلى بوابة مفتوحة، ولهذا يجب أن تعامله كأي خادم حساس آخر.

وفي المقابل، أرى خبر مايكروسوفت مشجعًا. حين تتعاون شركات منافسة مع جهات متخصصة في قطاع الصحة وجهات من اليابان لتعطيل أدوات الإجرام الرقمي، فهذا يذكّرنا بأن الدفاع الجماعي ممكن. وأتمنى أن نرى مثله في منطقتنا، بتبادل أوسع للمعلومات بين الشركات والجهات المعنية بالأمن السيبراني.

نصيحتي الأخيرة: اجلس هذا الأسبوع مع فريقك، ودوّن كل جهاز وتطبيق يستقبل بيانات من الخارج، ومن المسؤول عن تحديثه، ومتى حُدّث آخر مرة. هذه ساعة واحدة قد توفر عليك أسابيع من الأزمات.