CISA предупредила о глобальной активности против доступных из интернета устройств Fortinet. В сообщении фигурируют утёкшие данные примерно 74 000 устройств, включая межсетевые экраны и SSL VPN-шлюзы. Кампания получила название FortiBleed.
Почему простой reset не закрывает инцидент
Если сначала поменять пароль, но оставить активные сессии, старые токены или неизвестные административные аккаунты, злоумышленник может пережить ротацию. Edge-компрометацию нужно рассматривать как полноценный incident response: ограничить доступ, сохранить evidence, завершить сессии, отозвать токены и только затем менять секреты.
Правильный порядок действий
- Ограничить административный интерфейс allowlist-ом и убрать его из публичного доступа.
- Зафиксировать конфигурацию, список администраторов, активные сессии и журналы до очистки.
- Завершить SSL VPN и административные сессии, отозвать API-токены и сертификаты, которым нельзя доверять.
- Сменить локальные, LDAP/RADIUS и сервисные credentials, проверить повторное использование паролей.
- Обновить FortiOS и связанные компоненты до поддерживаемых версий.
- Проверить новые политики, маршруты, automation stitches, scheduled tasks и неожиданные изменения конфигурации.
Что контролировать после восстановления
Полезны алерты на административный вход с нового ASN, создание пользователей, экспорт конфигурации, изменение VPN-политик и внезапный рост исходящих соединений. Если журналы хранились только на самом устройстве, их доказательная ценность ограничена: критические edge-логи стоит отправлять на независимый collector.