Bulletin d'alerte du CERT-FR

Solutions

Les recommandations suivantes sont listées par ordre de priorité.

• isoler totalement la machine concernée du réseau, vis-à-vis d'Internet comme du réseau interne, afin de limiter les risques de latéralisation ;
• en cas d'utilisation d'une appliance virtuelle, réaliser un instantané du système de fichier et de la mémoire vive ;
• si possible, éviter d'éteindre la machine afin de conserver les traces nécessaires aux investigations ;
• mettre sous séquestre les journaux collectés ;
• procéder à l’analyse des serveurs afin d’identifier une possible compromission à l’aide des indicateurs de compromission publiés par Volexity [1] ;
• l'éditeur recommande d'exécuter les versions externes de son script Integrity Check Tool (ICT)[2][3] ;
  
  • le CERT-FR rappelle que l’exécution de ce script nécessite un accès physique à l'équipement et peut causer une interruption de service, ce dont l'utilisation dans les contextes à haute disponibilité doit tenir compte ;
• en cas de compromission :
  • signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur votre système d'information [4] ;
  • effectuer une remise à la configuration de sortie d'usine (Factory Reset) [5] ;
    • le CERT-FR rappelle que certaines menaces peuvent persister à une réinitialisation, ce dont l'utilisation dans les contextes sensibles doit tenir compte ;
  • procéder à une montée de version du micrologiciel (firmware) si le correctif est disponible ;
  • considérer les secrets stockés sur l'équipement, ou y ayant transité en clair, comme compromis. Les actions suivantes sont dès lors nécessaires :
    • réinitialiser les secrets liés au LDAP ou à l'Active Directory, si configuré.
      • le CERT-FR a connaissance de latéralisation utilisant ces secrets.
    • révoquer et réémettre tous les certificats présents sur les équipements affectés :
      • certificats utilisés pour les machines et/ou pour l’authentification utilisateur (coté client et serveur) ;
      • certificats de signature de code et les certificats TLS pour l’interface exposée.
    • réinitialiser le mot de passe d'administration ;
    • réinitialiser les clés d’API stockées sur l’équipement ;
    • réinitialiser les mots de passe de tout compte local défini sur la passerelle, y compris les comptes de service utilisés dans la configuration liée aux serveurs d’authentification ;
    • révoquer l'ensemble des moyens d'authentification (tickets Kerberos...) des comptes de services utilisés.
    • réinitialiser les authentifications des serveurs de licence.
  • Une fois la machine isolée et les collectes réalisées, conduire une recherche de latéralisation sur votre système d'information depuis l'équipement compromis, notamment :
    • en recherchant les indicateurs de compromission décrits plus bas dans cette alerte ;
    • en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement ;
    • puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion.
• En cas d'absence de compromission :
  • procéder à une montée de version du micrologiciel (firmware) si le correctif est disponible ;
  • si aucune mise à jour correctrice n'est disponible, l'équipement est à risque de compromission; contactez le service d'assistance Ivanti et, dans la mesure du possible, déconnectez l'équipement d'Internet.
  • surveiller l'activité des comptes et des services liés à l'équipement, notamment le compte de service LDAP ou Active Directory, si celui a été configuré.