CISA приказала немедленно удалить устаревшие маршрутизаторы из федеральных сетей США

Новая директива против критических нарушений безопасности

Агентство США по кибербезопасности и защите инфраструктуры (англ.СНГА) издал строгий Обязательная эксплуатационная директива (БПК 26-02)который требует от федеральных гражданских агентств выявлять и удалять из своих сетей любые «периферийные» устройства, которые больше не поддерживаются их производителями. Маршрутизаторы, межсетевые экраны, VPN-шлюзы и сетевые коммутаторы, жизненный цикл которых истек (Прекращение поддержки – EOS).

Почему устаревшее оборудование — золотая жила для хакеров

Согласно анализу CISA, периферийные устройства стали предпочтительной точкой входа для передовых группировок, поддерживаемых государством (таких как китайская Вольт Тайфун). Для этого есть несколько причин:

Отсутствие патчей: Устройства в статусе EOS не получают обновлений для вновь обнаруженных критических уязвимостей;
Прямое воздействие: эти устройства находятся на границе сети и часто доступны напрямую из общедоступного Интернета;
Высокие привилегии: после компрометации они позволяют злоумышленникам перемещаться (боковое перемещение) по внутренней инфраструктуре.

Строгие сроки реализации

Директива устанавливает четкий график, которого агентства должны придерживаться, чтобы минимизировать риски:

Немедленно: Обновите программное обеспечение поддерживаемых устройств до последних версий;
До 3 месяцев: Подготовка подробной инвентаризации всех устройств EOS;
До 12 месяцев: Удаление оборудования, срок службы которого истек до выдачи заказа;
До 18 месяцев: Полная замена всех устаревших компонентов новыми, поддерживаемыми производителем.

Обращение к частному сектору

Хотя приказ имеет юридическую силу только для субъектов федерации, И.Д. директор CISA Мадху Готумукала подчеркнул, что бизнес и критически важная инфраструктура должны последовать этому примеру. «Устаревшим устройствам нет места в корпоративных сетях«, заявил он, добавив, что «еИзменение кибергигиены начинается с ликвидации технологий, которые производители больше не защищают.«.

По мнению экспертов, которых приводит Регистр и ТехРадарЭтот шаг является частью более широкой стратегии США по решению проблемы «технического долга» — накопления старых технологий, которые становятся системной слабостью национальной безопасности.