Το Εθνικό Κέντρο Κυβερνοασφάλειας της Νορβηγίας (NCSC) συνιστά την αντικατάσταση των λύσεων SSL VPN/Web VPN με εναλλακτικές λύσεις λόγω της επανειλημμένης εκμετάλλευσης σχετικών τρωτών σημείων σε συσκευές αιχμής δικτύου για την παραβίαση εταιρικών δικτύων.
Δείτε επίσης: Αυστραλία: Η MediSecure υπέστη παραβίαση δεδομένων
Ο οργανισμός συνιστά να ολοκληρωθεί η μετάβαση έως το 2025, ενώ οι οργανισμοί που υπόκεινται στον «Νόμο για την Ασφάλεια» ή όσοι βρίσκονται σε υποδομές ζωτικής σημασίας θα πρέπει να υιοθετήσουν ασφαλέστερες εναλλακτικές λύσεις μέχρι το τέλος του 2024.
Η επίσημη σύσταση της Νορβηγίας για τους χρήστες των προϊόντων Secure Socket Layer Virtual Private Network (SSL VPN/WebVPN) είναι να μεταβούν σε Internet Protocol Security (IPsec) με Internet Key Exchange (IKEv2).
Το SSL VPN και το WebVPN παρέχουν ασφαλή απομακρυσμένη πρόσβαση σε ένα δίκτυο μέσω Διαδικτύου χρησιμοποιώντας πρωτόκολλα SSL/TLS, διασφαλίζοντας τη σύνδεση μεταξύ της συσκευής του χρήστη και του διακομιστή VPN χρησιμοποιώντας μια “σήραγγα κρυπτογράφησης“.
Το IPsec με το IKEv2 ασφαλίζει τις επικοινωνίες κρυπτογραφώντας και επαληθεύοντας κάθε πακέτο.
Ενώ ο οργανισμός κυβερνοασφάλειας της Νορβηγίας παραδέχεται ότι το IPsec με το IKEv2 δεν είναι απαλλαγμένο από ελαττώματα, πιστεύει ότι η μετάβαση σε αυτό θα μείωνε σημαντικά την επιφάνεια επίθεσης για περιστατικά ασφαλούς απομακρυσμένης πρόσβασης λόγω της μειωμένης ανοχής για σφάλματα διαμόρφωσης σε σύγκριση με το SSL VPN.
Δείτε ακόμα: Nissan North America: Παραβίαση δεδομένων επηρεάζει 53.000 υπαλλήλους
Τα προτεινόμενα μέτρα εφαρμογής περιλαμβάνουν:
- Επαναδιαμόρφωση υπαρχουσών λύσεων VPN ή αντικατάστασή τους
- Μετεγκατάσταση όλων των χρηστών και συστημάτων στο νέο πρωτόκολλο
- Απενεργοποίηση λειτουργικότητας SSL VPN και αποκλεισμός εισερχόμενης κυκλοφορίας TLS
- Χρήση ελέγχου ταυτότητας βάσει πιστοποιητικών
- Όπου δεν είναι δυνατές οι συνδέσεις IPsec, το NCSC προτείνει τη χρήση ευρυζωνικής σύνδεσης 5G.
Εν τω μεταξύ, το Εθνικό Κέντρο Κυβερνοασφάλειας της Νορβηγίας μοιράστηκε επίσης προσωρινά μέτρα για οργανισμούς των οποίων οι λύσεις SSL VPN δεν προσφέρουν την επιλογή IPsec με IKEv2 και χρειάζονται χρόνο για να προγραμματίσουν και να εκτελέσουν τη μετεγκατάσταση.
Αυτά περιλαμβάνουν την εφαρμογή κεντρικής καταγραφής δραστηριοτήτων VPN, αυστηρούς περιορισμούς γεωγραφικής περίφραξης και αποκλεισμό πρόσβασης από παρόχους VPN, κόμβους εξόδου Tor και παρόχους VPS.
Άλλες χώρες εκτός της Νορβηγίας έχουν επίσης προτείνει τη χρήση IPsec έναντι άλλων πρωτοκόλλων όπως το SSL VPN, συμπεριλαμβανομένων των ΗΠΑ και του Ηνωμένου Βασιλείου.
Δείτε επίσης: Santander: Παραβίαση δεδομένων πελατών και υπαλλήλων
Ποιες είναι οι καλύτερες πρακτικές για την ασφάλεια του δικτύου;
- Η χρήση ισχυρών και μοναδικών κωδικών πρόσβασης είναι θεμελιώδης για την ασφάλεια του δικτύου.
- Η τακτική ενημέρωση του λογισμικού και των συστημάτων είναι κρίσιμη για την προστασία από ευπάθειες.
- Η χρήση τείχους προστασίας (firewall) είναι απαραίτητη για την παρακολούθηση και τον έλεγχο της εισερχόμενης και εξερχόμενης κυκλοφορίας δικτύου, αποτρέποντας μη εξουσιοδοτημένη πρόσβαση.
- Η εκπαίδευση των υπαλλήλων σε θέματα ασφάλειας είναι επίσης ζωτικής σημασίας.
- Η τακτική δημιουργία αντιγράφων ασφαλείας (backup) των δεδομένων διασφαλίζει ότι, σε περίπτωση παραβίασης ή απώλειας δεδομένων, τα δεδομένα μπορούν να ανακτηθούν χωρίς σημαντική απώλεια.
Πηγή: bleepingcomputer
 συνιστά την αντικατάσταση των λύσεων SSL VPN/Web VPN με εναλλακτικές λύσεις.){kind=link}