許多工程師在部署防火牆或 VPN 閘道器時，往往將其視為安全防禦的終點，認為只要設備在線，內部網路就是安全的。然而，近期被命名為 FortiBleed 的大規模攻擊行動揭示了一個殘酷的現實：如果邊界設備本身的帳號管理不當，它反而會成為攻擊者進入企業內網的最佳跳板。
這次事件中，全球有超過 8 萬台 FortiGate 設備被攻破。值得注意的是，這次攻擊並非依賴某個複雜的零日漏洞，而是利用了極其基礎的憑證管理疏失。
攻擊路徑與手法分析
這次攻擊採取的是一種高度自動化的兩階段循環模式。首先，攻擊者利用掃描工具在網際網路上搜尋所有暴露在公網的 Fortinet 登入端點。接著，他們使用自製工具進行 Credential Stuffing（憑證填充攻擊），也就是將從其他洩漏事件中取得的帳號密碼組合，大量嘗試登入這些設備。
一旦成功進入一台設備，攻擊者不會立即破壞系統，而是採取被動監控。他們會觀察通過該設備的網路流量，試圖攔截更多有效的憑證。這些新獲取的合法帳號會被回傳至攻擊者的資料庫，用來進一步攻擊更多設備，形成一個自我增長的惡意循環。
憑證洩漏的深層原因
根據數據分析，被攻破的帳號中，有超過六成是預設的管理員帳號或系統內建帳號。這反映出許多企業在部署設備後，完全沒有更改預設帳號名稱或更換出廠密碼。
除了預設帳號，另一項關鍵技術問題在於密碼雜湊演算法的升級滯後。在早期的 FortiOS 版本中，系統使用 SHA-256 搭配 Salt（鹽值）來儲存密碼雜湊。雖然較新版本（如 7.2.11、7.4.8 等）已引入更安全的 PBKDF2 演算法，但這裡存在一個工程實務上的陷阱：當管理員將系統升級到新版本時，舊有的密碼雜湊不會自動轉換。除非該管理員在升級後成功登入一次，否則系統仍會保留舊的 SHA-256 雜湊。這意味著許多企業即便更新了韌體，其密碼儲存機制依然處於較弱的狀態，容易被攻擊者破解。
工程實務防禦建議
針對這類針對邊界設備的憑證攻擊，單靠更新版本是不夠的，必須從管理流程與技術設定雙管齊下。
首先是帳號與身分驗證的強化。絕對禁止使用預設帳號，且必須強制執行 MFA（多因素驗證），尤其是針對對外開放的管理介面。建議採用抗釣魚的 MFA 機制，讓單純的密碼洩漏無法導致系統失守。
其次是密碼儲存機制的清理。管理員在升級系統後，應強制要求所有管理帳號重新登入或更改密碼，以確保系統將舊的 SHA-256 雜湊替換為 PBKDF2 演算法。
最後是縮小攻擊面。除非絕對必要，否則不應將管理介面直接暴露在公網上。建議將管理權限限制在特定的內部管理網段，或透過跳板機（Jump Server）存取。同時，應定期審查 VPN 與防火牆的登入日誌，尋找異常的登入嘗試或未經授權的配置變更。
這次 FortiBleed 事件再次提醒我們，安全設備本身也是需要被保護的對象。憑證重複使用與不良的密碼衛生習慣，在自動化工具的加持下，會讓企業的防禦力迅速崩潰。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。