Citrix NetScaler 遭大規模密碼噴灑攻擊

Citrix NetScaler 近期成為駭客攻擊目標。德國聯邦資訊安全辦公室（BSI）表示，已收到來自多個關鍵基礎設施部門及國際合作夥伴的相關通報。與一般暴力破解不同，密碼噴灑攻擊採用大範圍、低強度的方式，透過在多個帳號上嘗試少量常見密碼，以規避帳戶鎖定機制。

攻擊特徵與技術細節

根據 Citrix 的技術分析，此波攻擊主要針對預先設定的 nFactor 認證端點，攻擊者特別關注 /vpn/index.html 等舊版認證入口。攻擊者採用分散式 IP 架構發動攻擊，每個來源 IP 僅發送有限次數的認證請求，藉由動態 IP 池規避傳統的 IP 封鎖機制。

據外媒報導，自 11 月起，許多用戶開始遭遇針對Citrix NetScaler 裝置的暴力破解攻擊。有用戶回報遭受高達 20,000 到 100 萬次的破解嘗試。在測試帳號的選擇，攻擊者使用了包含系統管理帳號如 admin、administrator，服務帳號如 veeam、sqlservice，以及部門帳號如 finance、sales 等常見組合。

緩解措施

Citrix 建議管理員採取全面的防護措施，首先應調整認證架構，將認證流程由原有的 LDAP 驗證改為先進行多因素認證（MFA）。在 FQDN 限制策略方面，管理員可透過 responder policy 限制只接受特定網域名稱的認證請求。對於端點安全，則應停用未使用的認證端點，並實施進階的存取控制措施。

在 WAF 配置方面，啟用信譽過濾機制並設置自訂規則以識別異常認證模式至關重要。管理員可配置 appfw profile，啟用 SQL 注入和跨站腳本攻擊防護，進一步提升安全性。

監控與即時應變

建立有效的監控機制對於及時發現攻擊至關重要。管理員應追蹤正常時段的認證流量模式，建立基線並設置適當的異常偵測閾值。在日誌分析方面，重點關注 Gateway Insights 中的認證失敗模式、Active Directory 安全日誌，以及 NetScaler 系統日誌中的認證相關事件。

即時警報系統應著重於異常認證行為的識別，包括突發的認證失敗、來自異常 IP 範圍的請求，以及特定帳號的高頻率認證嘗試。這些預警機制能協助管理員及時發現並處理潛在的攻擊行為。

長期安全建議

Citrix 特別強調，使用 13.0 以上版本韌體的設備能獲得最完整的防護能力。企業應進行全面的版本更新評估，同時審查現有的認證流程，確認安全基線配置是否符合最新建議，並準備完善的緊急應變計畫。

使用 Citrix Gateway Service 的用戶雖不受此波攻擊影響，但仍建議保持警覺，定期檢視安全配置。此事件也再次突顯了邊緣網路設備安全的重要性，企業應持續關注相關威脅情報，及時更新防護措施，確保企業網路安全。

本文轉載自bleepingcomputer。