讓零信任架構崩壞的最大危機來臨：存取閘道不安全！

2024 年初資安組織 MITRE 證實，駭客透過 iVanti 零時差漏洞入侵了該組織 NERVE 的網路環境，濫用 NERVE 的網路環境，並成功植入後門程式，侵佔內部用於研究以及實驗的資源。緊接著國家資通安全研究院 (National Institute of Cyber Security) 發布的國際資安政策法制觀測週報也提出，美國 CISA 針對 Ivanti Connect Secure 及 Ivanti Policy Secure 之安全漏洞，發布緊急指令 (Emergency Directive24-01)，要求聯邦機關應於美東時間本年度 1 月 22 日前，依指定之方式完成包含：系統更新、既有憑證刪除、置換密碼及金鑰，以及於該指令發布後一周內，向 CISA 提交前漏洞所涉及之系統、設備清單及處理狀況說明。

CVE 漏洞與存取閘道的安全性，又再次成為熱門議題，而最近爆發的幾個資安漏洞主要影響存取閘道，並對企業在零信任架構的依賴上構成嚴重威脅。

零信任架構概念的倡議由美國 NIST 機構發佈文件至今，我國數位發展部也於 2023 年推動金融企業及政府相關單位的零信任架構發展，包含了身份識別、設備鑑識以及信任推斷等三大面向。期能透過「永不信任、始終驗證」達到高安全要求。CVE 在資訊安全領域中擔任關鍵角色，它是一個廣泛認可的安全漏洞資料庫，為安全專家提供關鍵的漏洞信息。安全團隊依據CVE提供的數據，精確調整防護策略，確保所有的系統存取和請求都符合當前最高的安全標準。這種策略的動態更新是實現持續安全保障的核心。

CVE 的漏洞發佈與處理對於零信任的執行至關重要，它也是企業機關在面對日益複雜的網路安全環境防護上的重大課題。管理者端透過與維運服務供應團隊建立有效溝通的管道及橋樑外，資安服務供應商必須即時獲取、分析並提供 CVE 漏洞資訊，企業機關能夠提前了解最新的安全威脅，進而提升整體的威脅感知能力。建立一個系統化的機制來識別、管理和修補漏洞，才能有效提升穩固安全的防護力與營運基石。

2024 年以來資安產品的 CVE 漏洞越來越頻繁，尤以存取閘道資安漏洞最為嚴重。存取閘道在維護系統安全、管理存取和保護資料等扮演基礎網路元件的角色，因此任何存取閘道的資安漏洞都將導致由 Internet 未經授權的存取、資料外洩、植入惡意軟體，並進一步在內部網路擴大攻擊範圍，導致業務中斷和聲譽受損等嚴重影響，所以存取閘道已躍升為零信任資安架構下最基礎的關鍵控制點。

美國 CISA 及美國國防部 (DoD) 將零信任架構分為五大支柱，機關在實施上依據的具體目標，分別是 Identity、Device、Networks、Applications & Workloads 以及 Data。其中身份識別 (identity) 最基礎的作業就必須在存取閘道端有非常多的資安政策部署，包含 MFA 多因子認證、防止釣魚入侵、身份認證盤點、閘道器與後端 SSO 整合、閘道器設備本身資安強度等，在在顯示存取閘道器這個關鍵的網路資安位置是整個零信任架構基礎中的基礎。

借鏡美國政府及企業的案例，建議台灣所有企業及政府機關單位，立即清查所有存取閘口的資安設備 CVE 漏洞與修補狀態，包含所有 SSL-VPN、遠端登入認證設備、MFA 認證流程、登入認證政策檢視以及所有 SSO (single-Sign-On) 流程檢視。

針對強化網路存取閘道的安全性並實踐完整的零信任架構安全，F5 建議可以從三大方面進行架構以及資安流程的檢視，包括存取閘道端的高安全維護外，在網路架構以及應用服務面向也該全面提供靈活、高效的安全方案，才能應對未來的威脅挑戰。

一、存取端應用服務的現代化身份驗證：F5 BIG-IP APM 提供零信任應用存取，支援多雲 App 的部署，透過多樣的存取用例包括 SSL VPN 和特權用戶存取 (PUA) 與可視性，強化靈活部署選項與故障排除功能。

二、網路基礎架構保護：SSL Orchestration 單一平台可實現最大程度的靈活性，無需更改架構，消除資安盲點，保護網路基礎設備。提供 SSL/TLS 加密流量的可視性，支援基於政策的管理和流量引導到第三方安全設備，例如防火牆、入侵防禦系統 (IPS)、反惡意軟體、資料遺失防護 (DLP) 和取證工具。它提供了廣泛的 SSL 加解密編排分析，您可以根據指定的時間範圍輕鬆跨多個維度進行自訂。

三、應用服務安全性，建立 API 攻擊防禦機制：Web 應用服務攻擊是排名第一的資料洩露來源，透過 F5 可保護應用程式，實現零信任，透過 Advanced WAF 方案行為分析、持續監控應用程式壓力偵測並減輕攻擊，提供應用程式層 DoS 保護，防止常見漏洞和利用，例如 OWASP Top 10 或 SQL/PHP 注入。全面可觀測性、AI/ML 支援的動態發現、豐富的視覺化和全面的保護來簡化 API 安全性，以降低風險和複雜性，同時保持可擴展且有彈性的應用程式和 API 安全態勢。更多詳細資訊請聯繫 twinfo@f5.com。