FortiBleed legt fast 74.000 Anmeldeinformationen und Forderungen zur Stärkung der Sicherheit im Umfang vor

Das Leck, das als "FortiBleed" bekannt ist - mit fast 74.000 Anmeldeinformationen, die mit exponierten Fortinet-Geräten verbunden sind - zeigt wieder, dass Sicherheitsbeamte wissen, aber oft unterschätzen: Perimeter-Infrastruktur bleibt ein primäres und kostengünstiges Ziel für Angreifer. Die von der Forscherin Volodymyr Diachenko berichtete und von mehreren Geheimdiensten analysierte Erkenntnis umfasst Benutzer, E-Mails und Passwörter in flachen Texten, die mit Firewalls und VPN-Verbindungstüren von Organisationen auf der ganzen Welt verbunden sind, von großen Herstellern bis hin zu kritischen Infrastrukturbetreibern.

Die Bedrohung ist nicht theoretisch: CISA warnte, dass schädliche Akteure verübte Anmeldeinformationen verwendet haben, um auf Fortinet-Geräte im Internet zuzugreifen, und forderte dringende Maßnahmen zur Minderung.

Wie bei früheren Ereignissen mit Netzwerkgeräten sind die praktischen Auswirkungen zwei: legitimer Fernzugriff für Angreifer (z.B. über SSL VPN) und Möglichkeit der lateralen Bewegung innerhalb von Unternehmensnetzwerken. Sobald ein administratives Konto von einer Firewall erhalten wurde, können Routen geändert werden, Tunnel geöffnet, Konfigurationen exportiert oder Persistenz implementiert, die Betrug, Daten Exfiltration oder Ransomware Bereitstellung erleichtert.

Was werden Sie jetzt tun (obere Priorität): sich verpflichten und enthalten). Wenn Sie FortiGate oder andere exponierte Fortinet-Ausrüstungen verwalten, wenden Sie sofort die von den Behörden empfohlenen Maßnahmen an: Vervollständigen Sie alle aktiven SSL-VPN- und Verwaltungssitzungen; zwingen Sie die Wiederherstellung aller betroffenen Passwörter und Schlüssel; widerrufen oder drehen Sie zugehörige Zertifikate und Geheimnisse. Darüber hinaus ermöglicht es phishing-resistente Multifaktor-Authentifizierungsmechanismen (FIDO2, OAUTH / PKI-Zertifikate oder Hardware-Tokens) und rezitiert alte Sitzungen und persistente Token.

Forschung und Erkennung: protokollieren als Prioritätsvorfälle jeden Beginn der Verwaltungssitzung außerhalb der üblichen Zeit, Änderungen der Gerätekonfiguration, neu hinzugefügte Firewall-Regeln oder die Erstellung neuer Verwaltungskonten. Überprüfen Sie das VPN-Log, die Authentifizierung und das Management, korrelieren Sie sie mit EDR / SIEM-Quellen, um nach verdächtigen Befehlen und Seitenbewegungssignalen zu suchen. Nehmen Sie an, dass, wenn die Anmeldeinformationen gültig waren, könnten sie verwendet worden sein, um Rücktüren zu verlassen; Persistenzsuche durchführen und Backups und exportierte Konfigurationen überprüfen.

Heiße und kalte Risikominderung: Kurzfristig beschränkt sie den Zugriff auf Management-Schnittstellen auf interne Netzwerke oder Verwaltungs-Leaps (Basis / Sprung-Hosts) und wendet Zugriffskontrolllisten an, um autorisierte IPs zu begrenzen. Mittel- und langfristig eliminiert sie die direkte Belichtung von der Managementebene ins Internet, segmentiert kritische Funktionen, härtet die Passwortrichtlinien aus und speichert administrative Anmeldeinformationen mit modernen Schlüsselderivatalgorithmen (z.B. PBKDF2 wie von der CISA-Benachrichtigung empfohlen). Es überprüft und beseitigt nicht autorisierte Konten oder mit übermäßigen Privilegien.

Tools und Verifikation: Mehrere Firmen haben Versorgungs- und Ressourcen veröffentlicht, um die Auswirkungen zu überprüfen. Wenn Sie schnell überprüfen möchten, ob Ihr Org auf dem Datensatz erscheint, Hudson Rock ein Suchtool zur Verfügung gestellt, und die CISA selbst hält eine Warnung mit Maßnahmen und Kontext, die wichtig ist, um Aktionen zu priorisieren: Hudson Rock FortiBleed Gutschein und CISA offizieller Alarm.

Vertraut nicht den Erscheinungen. Experten haben überprüft, dass viele der Einträge auf dem Datensatz den Geräten entsprechen, die im Internet angeschlossen und verwaltet werden. Die genaue Quelle des Dumpings bleibt unbestätigt: Es kann Konfigurationen exportiert, auf schlecht geschützten Servern gespeichert oder nach Ausnutzung bereits bekannter Schwachstellen ausgetragen werden. Aus diesem Grund, zusätzlich zur sofortigen Minderung, es streichelt die Geräte und überprüft den Katalog von Fehlern in Fortinet (CISA unterhält eine Liste von CVE in der Natur ausgenutzt), um sicherzustellen, dass es keine offenen Vektoren zur Wiederherstellung von Anmeldeinformationen oder Kontrolle.

Strukturelle Lehren: Dieser Vorfall erinnert an die Notwendigkeit, ein Sicherheitsmodell anzuwenden, das die Abhängigkeit von statischen Anmeldeinformationen reduziert: weniger Management, das dem öffentlichen Internet ausgesetzt ist; phishing-resistentes MFA; Rotation von Geheimnissen und Zertifikaten; kontinuierliche Überwachung; und regelmäßige Angriffs- und Antwortsimulationsübungen (Früh- und Angriffssimulation) zur Validierung von Erkennungen und Verfahren. Vorbereitung und Gestaltung in Schichten bleiben die beste Verteidigung gegen diese Art von großen Lecks von Anmeldeinformationen.

Wenn Ihre Organisation Zeichen des Engagements erkennt oder auf jeder öffentlichen Liste erscheint, handelt es sich mit der höchsten Priorität und koordiniert mit Lieferanten, Partnern und Regulierungsbehörden entsprechend der Empfindlichkeit der Umwelt. Bewahren Sie interne Kommunikation auf Eindämmung und Vermittlung und dokumentieren Sie alle Aktionen für forensische Unterstützung und Compliance. Die Internet-Exposition von FortiGate ist nicht mehr nur eine schlechte Praxis: 2026 kann es eine offene Tür zu wirkungsstarken Intrusionen bedeuten.