事例S=1:500S=1:100
米 CISA への不正アクセス：Ivanti Connect Secure 経由の侵入
CISA が Ivanti Connect Secure の悪用について緊急指令を出した数日後、CISA 自身の Ivanti Connect Secure にも Web シェルが設置された。
1 概要
2024年1月19日、CISA は Ivanti Connect Secure の広範な悪用について緊急指令を出した。1月23日から26日にかけて、攻撃者は化学施設のセキュリティ評価ツール（CSAT）で使う CISA 自身の Ivanti Connect Secure 機器に Web シェルを設置した。CISA は2つのシステムを停止した。データが持ち出された証拠は見つかっていない。
推定原因: CISA が Ivanti Connect Secure の悪用について緊急指令を出した数日後、CISA 自身の Ivanti Connect Secure にも Web シェルが設置された。
出典: CISA（米国） Chemical Security Assessment Tool (CSAT) Ivanti Notification
機器は CISA 自身の Ivanti Connect Secure。CISA は自らへの攻撃に使われた CVE を明らかにしていない。表示している CVE は緊急指令 ED 24-01 の対象である。
S=1:100 2 事実情報
2.1 侵入口
CISA は、2024年1月23日から26日にかけて、CSAT の Ivanti Connect Secure 機器に悪意のある攻撃者が高度な Web シェルを設置したと公表した。
出典: CISA（米国） Chemical Security Assessment Tool (CSAT) Ivanti Notification
- 製品
- Ivanti Connect Secure
- CVE
- CVE-2023-46805, CVE-2024-21887
2.2 侵入後
この種の Web シェルは、コマンドの実行とファイルの書き込みに使える。CISA は CSAT の調査・評価データや利用者アカウントに不正アクセスされた可能性があるとしたが、持ち出しの証拠は見つかっていない。
2.3 被害
2つのシステムを停止した。連邦の「重大インシデント」の基準に該当した。
2.4 経過表
| 時刻 | 主体 | 出来事 | 出典 |
|---|---|---|---|
| 2024-01-19 | CISA | Ivanti Connect Secure と Policy Secure について緊急指令 ED 24-01 を発出。 | CISA（米国） |
| 2024-01-23 | 侵入者 | 1月23日から26日にかけて、CISA の Ivanti 機器に Web シェルを設置。 | CISA（米国） |
| 2024-01-26 | CISA | CSAT の Ivanti Connect Secure 機器に影響する不審な活動を特定。 | CISA（米国） |
| 2024-03 | CISA | 報道に侵入を認め、2つのシステムを停止したと説明。 | Cybersecurity Dive |
S=1:100 3 分析
| 項目 | 判断 | 出典 |
|---|---|---|
| 2024年1月23日から26日に、Ivanti 機器へ Web シェルが設置された。 | 記載 | CISA（米国） |
| 影響は2つのシステムに限られ、それらは停止された。 | 記載 | Cybersecurity Dive |
| CISA の機器にどの脆弱性が使われたか、攻撃者は誰か。 | 不明 | Cybersecurity Dive |
S=1:100 4 結論
CISA は、自らが緊急指令で対応を求めた Ivanti の悪用が広がる中で、自身の Ivanti Connect Secure に Web シェルを設置されたとしている。CVE と攻撃者は明らかにしていない。
S=1:100 5 再発防止策
提言・実施の主体: CISA 緊急指令 ED 24-01
- Ivanti Connect Secure と Policy Secure にベンダーの緩和策を直ちに適用する。
- 対象の機器をすべて切り離し、戻す前に工場出荷状態に初期化する。
出典: CISA（米国） ED 24-01: Mitigate Ivanti Connect Secure and Ivanti Policy Secure Vulnerabilities (Supplemental Direction V2)
出典
出典: CISA（米国） Chemical Security Assessment Tool (CSAT) Ivanti NotificationCISA（米国） ED 24-01: Mitigate Ivanti Connect Secure and Ivanti Policy Secure Vulnerabilities (Supplemental Direction V2)Cybersecurity Dive CISA attacked in Ivanti vulnerabilities exploit rush