使用Cloudflare One消除VPN漏洞
内容提要
美国CISA发布紧急指令要求修复Ivanti产品的漏洞，同时断开与机构网络的连接。Cloudflare的SASE平台提供更好的解决方案。
延伸解读
漏洞利用的连锁效应
攻击者通过串联两个未知漏洞（CVE-2023-46805和CVE-2024-21887）实现了未经认证的远程代码执行，从而获得对Ivanti设备的几乎完全控制。这种漏洞利用方式不仅绕过了身份验证，还允许攻击者执行任意命令，进而收集VPN用户凭证、修改文件、部署Web Shell，并建立反向隧道以维持持久访问。这凸显了单一漏洞可能引发的连锁风险，尤其是在安全设备本身成为攻击目标时。
传统安全模型的根本缺陷
此次事件暴露了“城堡与护城河”安全模型的脆弱性。在该模型中，VPN设备作为护城河负责认证和授权，但一旦攻击者控制了护城河本身，就能肆意访问内部资源。此外，设备管理员拥有内部访问权限，且认证用户通常拥有广泛的网络访问权，这为攻击者的横向移动提供了便利。这种设计缺陷使得攻击者能够轻易扩大战果，而防御方则难以快速恢复控制。
零信任原则的实际应用
Cloudflare One平台基于零信任原则，特别是最小权限原则，确保用户仅能访问其角色所需的资源。即使账户被攻破，攻击者也无法获得广泛的网络级访问权限，从而限制了横向移动的范围。同时，Cloudflare One不向外部提供系统内部访问权限，使得攻击者无法像针对Ivanti设备那样发起类似攻击。这种架构从设计上降低了安全设备被控制后的潜在影响。
Q&A
CISA发布的紧急指令主要针对什么产品的漏洞？
CISA发布的紧急指令主要针对Ivanti Connect Secure和Ivanti Policy Secure的漏洞。
攻击者是如何利用Ivanti产品的漏洞进行攻击的？
攻击者通过两个未知漏洞实现未经认证的远程代码执行，获取对设备的几乎完全控制。
Cloudflare的SASE平台如何提高安全性？
Cloudflare的SASE平台采用零信任原则，限制用户访问权限，降低攻击者的横向移动风险。
CISA指令要求联邦机构在多长时间内采取缓解措施？
CISA指令要求联邦机构在三天内采取缓解措施。
传统的安全模式存在哪些风险？
传统的“城堡与护城河”安全模式存在风险，攻击者可以控制安全设备本身。
如果受到CISA指令影响，Cloudflare能提供什么帮助？
Cloudflare提供帮助以现代化或替换现有VPN解决方案。
