تستعرض هذه المقالة تقييمين أجراهما فريق الأحمر من CISA ضد منظمتين حيويتين للبنية التحتية، مع التركيز على النتائج الدفاعية المتباينة.
تقييمات فريق الأحمر من CISA تكشف ضعفًا في بنية تحتية حيوية
أصدرت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) نتائج تقييمين لفريق الأحمر أجريّا في وقت واحد ضد منظمتين حيويتين للبنية التحتية، حيث استخدمت الوكالة أساليب مماثلة بينما سجلت نتائج دفاعية مختلفة بشكل حاد.
الاختراق الكامل للمؤسستين
تم اختراق كلا المنظمتين على مستوى المجال، وتمكن فريق الأحمر أيضًا من الوصول إلى أنظمة الأعمال الحساسة (SBS) والموارد السحابية.
تم إصدار الاستشارة، التي تم تتبعها كـ AA26-237A وعنوانها “قصة منظمتين”، في 25 أغسطس 2026. حددت CISA الهدف الأول فقط كمنظمة في قطاع الخدمات الحكومية والمرافق، المشار إليها باسم المنظمة أ، والثانية ككيان في قطاع أنظمة المياه والصرف الصحي، المشار إليها باسم المنظمة ب.
استجابة الدفاعات
قالت CISA في الاستشارة: “أجرينا تقييمين لفريق الأحمر في وقت واحد باستخدام أساليب مماثلة ولكننا لاحظنا استجابات دفاعية مختلفة”.
في مواجهة المنظمة أ، حصل فريق الأحمر على الوصول الأولي بعد تحديد تطبيق ويب يحتوي على بيانات اعتماد افتراضية لعدة حسابات مدمجة، مما سمح له بإرسال رسائل تصيد من عنوان داخلي والوصول إلى أربع محطات عمل.
ثم قام بترقية الامتيازات من خلال استغلال حصة حساب الآلة الافتراضية جنبًا إلى جنب مع نموذج خدمات الشهادات في Active Directory (AD CS) غير المهيأ، وهو نفس نوع استغلال نموذج الشهادة الذي تم الكشف عنه مؤخرًا والذي يسمى Certighost.
استمر الفريق في الوصول إلى ثلاث أنظمة أعمال حساسة باستخدام بيانات اعتماد مخزنة بنص واضح، بما في ذلك ملفات تكوين قاعدة البيانات المفككة ومفاتيح الوصول الثابتة لـ Amazon Web Services (AWS) التي تم تعيينها لتبقى صالحة إلى الأبد.
في السحابة، سرق رمز التحديث الرئيسي واستغل تطبيقات Entra ID التي تحمل أذونات مرتفعة لقراءة بريد الفريق الأمني والتحقق مما إذا كان المدافعون على علم بالنشاط.
لم تكتشف المنظمة أ أيًا من ذلك. قالت CISA إن الآلاف من التنبيهات الإيجابية الكاذبة من العمليات التجارية العادية، العديد منها مصنفة بارتفاع شدة، غطت التنبيهات التي أنشأها فريق الأحمر، وأن المنظمة كانت تدير عدة مراكز عمليات أمنية (SOCs) وأدوات نقطة النهاية دون رؤية مشتركة بينها.
كما كانت السلطات المحدودة للتحليل وعدم وجود إجراءات تصعيد، وتم تجاهل تنبيه حقيقي مرتبط بنشاط فريق الأحمر على خادم إدارة تكوين نظام (SCCM) كتنبيه إيجابي كاذب بعد أن لم يتمكن المدافعون من تحديد مالك النظام.
نقاط الضعف الرئيسية
أشارت CISA إلى النقاط الضعيفة التالية باعتبارها العوامل الرئيسية التي مكنت من الاختراق:
- حصة حساب الآلة تركت على الوضع الافتراضي، مما يسمح لأي مستخدم نطاق بإضافة حسابات آلات.
- نماذج شهادات AD CS كانت غير مهيأة، مما يسمح بطلبات الشهادات لأي مستخدم (ESC1).
- بيانات الاعتماد النصية الواضحة لحسابات الخدمة وقواعد البيانات المخزنة على الأنظمة القابلة للوصول.
- مفاتيح الوصول السحابية الثابتة المعينة لتبقى صالحة إلى الأبد، دون وجود إلغاء رموز.
- تطبيقات مفرطة الأذونات في Entra ID قادرة على قراءة البريد عبر جميع المستخدمين.
استجابة المنظمة ب
بينما كانت المنظمة ب، التي تعرضت لنفس نمط الهجوم، تحكي قصة مختلفة. اكتشف مركز العمليات الأمنية (SOC) الخاص بها الحمولات الأولية للتصيد مع تنفيذ كل منها وعزل المحطات المتأثرة في غضون 2 إلى 20 دقيقة، مما قطع اتصالات القيادة والتحكم (C2) قبل أن يتمكن الاختراق من الانتشار.
نظرًا لأن تلك القاعدة تم قطعها، نفذ عملاء CISA الموثوقون في المنظمة حمولات فريق الأحمر على مضيف غير مميز لتكرار الوصول الذي كان ستحصل عليه الفريق، مما حول المشاركة إلى نموذج افتراض الاختراق.
من هناك، وجد الفريق نفس المشاكل الأساسية، بما في ذلك بيانات الاعتماد النصية الواضحة لحساب خدمة نطاق في ملف تكوين SCCM الذي يحمل حقوقًا على وحدة تحكم النطاق، والتي استخدمها لتنفيذ هجوم DCSync واسترجاع سر krbtgt.
كما وصل الفريق إلى مضيف حصين في منطقة تكنولوجيا التشغيل (OT) للمنظمة ب، ولكن المضيف منع الوصول إلى الإنترنت، لذا لم يتم إنشاء قناة C2، ولم يدخل الفريق أنظمة OT نفسها.
نسبت CISA الفجوة بين النتيجتين إلى الأشخاص والعمليات التي تدير الأدوات، بدلاً من الأدوات نفسها.
قالت الوكالة: “أدوات الكشف فعالة فقط بقدر فعالية الأشخاص والعمليات والإجراءات التي تدعمها”.
تسلط هذه النتائج الضوء على أهمية الأشخاص والعمليات في فعالية أدوات الأمن السيبراني، مما يبرز الحاجة إلى تحسين استجابة الدفاعات الأمنية.
