În acest material discutăm despre FortiBleed, un incident de securitate care afectează dispozitivele FortiGate.
De curând, specialiștii în securitate cibernetică au semnalat un nou incident major care implică infrastructuri Fortinet, unul dintre cei mai utilizați furnizori de soluții de securitate pentru rețele enterprise. Evenimentul a fost denumit informal „FortiBleed” și a atras rapid atenția datorită volumului mare de date expuse și a numărului semnificativ de organizații potențial afectate.
Deși Fortinet a subliniat că nu este vorba despre o vulnerabilitate nouă de tip zero-day, investigațiile independente indică faptul că incidentul are la bază o combinație de credențiale compromise anterior și practici slabe de securizare a accesului la echipamente expuse online.
Scurgerea de date a fost raportată de cercetători în securitate și preluată de mai multe publicații internaționale, fiind descrisă ca una dintre cele mai extinse expuneri de credențiale pentru echipamente de tip firewall și VPN din ultimii ani.
Ce este incidentul „FortiBleed”
Potrivit analizelor publicate de cercetători în securitate, „FortiBleed” reprezintă un set agregat de date care include credențiale de autentificare, configurații și informații asociate unor dispozitive Fortinet expuse pe internet.
Datele ar putea viza zeci de mii de echipamente FortiGate la nivel global, inclusiv VPN-uri și interfețe de administrare. Unele rapoarte indică faptul că numărul sistemelor afectate ar putea depăși 70.000 de instanțe, răspândite în peste 190 de țări.
Metoda de compromitere nu ar indica o singură vulnerabilitate critică, ci mai degrabă o combinație de atacuri de tip credential stuffing, brute-force și reutilizare a parolelor expuse în breșe anterioare. În multe cazuri, accesul ar fi fost posibil din cauza lipsei de rotație a parolelor sau a expunerii directe a interfețelor administrative în internetul public.
În paralel, cercetătorii au observat activitate susținută de scanare automată a infrastructurilor expuse, urmată de încercări repetate de autentificare folosind baze de date cu parole compromise anterior.
Impactul asupra organizațiilor
Analizele preliminare indică faptul că incidentul ar putea avea un impact semnificativ asupra companiilor care folosesc echipamente Fortinet fără politici stricte de securizare.
În scenarii confirmate sau suspectate, atacatorii ar putea obține acces la interfețe de administrare ale firewall-urilor, conexiuni VPN utilizate de angajați și configurații de rețea interne.
În unele cazuri, acest tip de acces poate permite mișcare laterală în infrastructura internă, crescând riscul de exfiltrare de date sau instalare de malware.
Măsuri de securizare recomandate pentru companii
Activarea autentificării multifactor (MFA)
Autentificarea multifactor este considerată una dintre cele mai eficiente metode de protecție împotriva accesului neautorizat. Chiar dacă un atacator obține o parolă validă, accesul rămâne blocat fără al doilea factor de autentificare.
În cazul echipamentelor Fortinet sau al accesului VPN, MFA adaugă un strat suplimentar de verificare, cum ar fi un cod generat pe telefon sau o aplicație dedicată. Acest lucru reduce semnificativ riscul compromiterii conturilor administrative.
Organizațiile care nu au implementat încă MFA sunt expuse unui risc crescut, mai ales în contextul atacurilor bazate pe credențiale furate sau reutilizate din alte breșe de securitate.
Utilizarea SSO cu furnizori de identitate securizați
Single Sign-On (SSO) permite utilizatorilor să acceseze mai multe aplicații printr-o singură autentificare centralizată. Acest lucru reduce numărul de parole gestionate individual și implicit riscul asociat acestora.
Prin integrarea cu furnizori de identitate precum Azure AD sau alte soluții enterprise, companiile pot aplica politici de securitate consistente la nivelul întregii organizații. Accesul poate fi condiționat de factori suplimentari precum locația sau dispozitivul utilizat.
În plus, SSO facilitează dezactivarea rapidă a accesului în cazul unui angajat compromis sau al unei plecări din companie, reducând fereastra de expunere.
Politică strictă de expirare și rotație a parolelor
Politicile de expirare a parolelor contribuie la limitarea duratei de viață a credențialelor compromise. Schimbarea periodică a parolelor reduce șansele ca acestea să fie utilizate în atacuri ulterioare.
Pentru conturile administrative și cele cu acces privilegiat, rotația parolelor trebuie să fie mai frecventă și mai strict monitorizată. Aceste conturi reprezintă ținte prioritare pentru atacatori.
De asemenea, este recomandată evitarea reutilizării parolelor și implementarea unor reguli de complexitate ridicată, pentru a crește rezistența în fața atacurilor de tip brute-force.
Reducerea expunerii interfețelor administrative
Interfețele de administrare ale echipamentelor de securitate nu ar trebui expuse direct pe internet. Accesul public crește semnificativ suprafața de atac și facilitează scanarea automată de către atacatori.
O soluție recomandată este limitarea accesului prin IP allowlisting sau acces exclusiv prin rețele interne sau VPN dedicate. Astfel, doar dispozitivele autorizate pot ajunge la panourile de administrare.
În plus, izolarea acestor interfețe reduce riscul de exploatare în cazul în care credențialele sunt compromise sau interceptate.
Monitorizarea activă a jurnalelor de securitate
Monitorizarea logurilor permite detectarea timpurie a activităților suspecte, cum ar fi încercări repetate de autentificare sau acces din locații neobișnuite. Aceste semnale pot indica o tentativă de compromitere.
Sistemele de tip SIEM pot corela evenimentele de securitate din mai multe surse, oferind o imagine mai clară asupra posibilelor atacuri în desfășurare. Acest lucru ajută echipele de securitate să reacționeze rapid.
Fără monitorizare activă, multe atacuri pot rămâne nedetectate perioade lungi, permițând atacatorilor să se stabilească în rețea și să extindă accesul obținut inițial.
Blocarea accesului din exterior și utilizarea exclusivă a VPN
O măsură esențială de securitate este blocarea completă a accesului la interfețele de administrare din internetul public. Expunerea acestor servicii crește semnificativ riscul de atacuri automate și tentative de autentificare neautorizată.
Accesul administrativ ar trebui permis exclusiv prin rețele private securizate, de tip VPN. În acest mod, doar utilizatorii autentificați și conectați la infrastructura internă pot interacționa cu echipamentele critice.
Această separare între accesul intern și cel extern reduce considerabil suprafața de atac și limitează expunerea infrastructurii la scanări și exploatări provenite din internet.
Concluzie
Incidentul „FortiBleed” evidențiază încă o dată vulnerabilitatea infrastructurilor de tip edge, precum firewall-urile și gateway-urile VPN, în fața atacurilor moderne. Chiar și în lipsa unei vulnerabilități software critice, combinarea unor practici slabe de securitate poate duce la expuneri semnificative.
Pentru organizații, concluzia principală este necesitatea adoptării unui model de securitate bazat pe autentificare puternică, control strict al accesului și monitorizare continuă. Prevenția rămâne cea mai eficientă formă de protecție!
Dacă aveți nevoie de ajutor pentru implementarea securității în companie, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.
