SonicWall SMA 1000 : pourquoi patcher une appliance compromise ne suffit pas toujours

Faits, analyse et incertitudes

L'essentiel des deux notices

Pourquoi une appliance d'accès distant est une cible de choix

Une passerelle d'accès distant occupe une position sans équivalent dans une infrastructure. Elle est, par conception, joignable depuis Internet, puisque c'est sa fonction. Elle détient les moyens d'authentifier les utilisateurs et de leur ouvrir un chemin vers le réseau interne. Et elle est souvent traitée comme un équipement, c'est-à-dire comme une boîte que l'on met à jour, plutôt que comme un serveur que l'on surveille.

• Elle est exposée en permanence, sans possibilité de la retirer d'Internet sans couper les accès distants
• Elle concentre des identifiants d'utilisateurs, des sessions actives et des secrets d'authentification à usage unique
• Elle porte des certificats et des éléments cryptographiques qui servent à établir la confiance
• Elle ouvre un chemin vers le réseau interne, ce qui fait d'elle un point de passage plutôt qu'une destination
• Elle est souvent fermée : pas d'agent de détection installable, peu de visibilité sur les processus, journalisation limitée
• Elle est rarement incluse dans le périmètre de supervision au même titre qu'un serveur

Ce dernier point est décisif. Sur un serveur classique, un implant se heurte à un agent de détection, à un inventaire de processus et à une remontée de journaux. Sur une appliance, l'administrateur dispose d'une interface d'administration et de ce que l'éditeur a bien voulu exposer. La détection d'une persistance y est donc difficile, ce qui explique que l'éditeur lui-même oriente vers son support technique pour l'évaluation.

Patch, éradication et reconstruction : trois notions différentes

La confusion entre ces trois opérations est la cause la plus fréquente des compromissions qui se prolongent après un incident traité. Chacune répond à une question distincte, et aucune ne répond aux questions des deux autres.

La persistance ne passe pas par la vulnérabilité

Un attaquant utilise une vulnérabilité pour entrer, puis s'en détache aussitôt. Il installe un moyen de revenir qui ne dépend plus d'elle : un compte créé, une clé ajoutée, une tâche planifiée, un composant modifié, un jeton dérobé. Le correctif ferme la porte d'entrée ; il ne touche à aucun de ces moyens. C'est pourquoi SonicWall ne se contente pas de demander une mise à jour.

Les secrets sortis ne reviennent pas

Une appliance compromise a pu livrer des identifiants d'utilisateurs, des sessions en cours et des secrets de génération de codes à usage unique. C'est la raison pour laquelle l'éditeur demande explicitement de changer tous les mots de passe et de réinitialiser les jetons TOTP : un second facteur dont la graine a été copiée n'est plus un second facteur, il est une formalité que l'attaquant sait accomplir.

La reconstruction est une décision, pas un échec

Réinstaller une appliance est coûteux et interrompt le service. C'est aussi, sur un équipement fermé, la seule opération qui rétablisse une base connue. La question à trancher n'est pas « suis-je sûr d'avoir été compromis ? » mais « suis-je capable de démontrer que je ne l'ai pas été ? ». Lorsque la seconde réponse est non et que l'exploitation est confirmée à l'échelle du produit, la reconstruction devient l'option raisonnable.

Conduite à tenir

1. Déterminer la version exacte en service

   Y compris sur les appliances de secours et les instances virtuelles laissées en place après une migration.

2. Appliquer le correctif de l'éditeur

   Versions 12.4.3-03526 ou 12.5.0-02952 selon la branche. C'est la première étape, pas la dernière.

3. Solliciter une évaluation de compromission auprès de l'éditeur

   SonicWall oriente explicitement vers son support technique, qui détient les indicateurs non publiés. Sur un équipement fermé, c'est le seul moyen d'obtenir une réponse documentée.

4. Examiner ce qui est observable depuis l'extérieur

   Journaux d'authentification centralisés, journaux du reverse proxy ou du pare-feu en amont, trafic sortant de l'appliance vers des destinations inhabituelles. Ces éléments échappent à un attaquant présent sur la machine.

5. En cas d'indicateur, reconstruire plutôt que nettoyer

   Réinstallation complète, puis reconfiguration à partir d'une référence relue, et non d'une sauvegarde postérieure à la période d'exposition.

6. Renouveler les secrets, dans l'ordre

   Mots de passe administrateurs, puis mots de passe utilisateurs, puis jetons TOTP, puis certificats et éléments cryptographiques détenus par l'appliance.

7. Réexaminer le réseau interne

   Une passerelle d'accès distant est un point de passage. Si elle a été compromise, la question suivante porte sur ce qui a été atteint derrière elle : comptes d'annuaire, serveurs joignables, mouvements latéraux.