我们从此次安全事件中汲取的经验

Christopher Burger首席信息安全官 | F5

上周，我们披露了一起重大安全事件，涉及一个技术高度复杂的国家级威胁行为者。作为一名首席信息安全官（CISO），我深知从合作伙伴处得知此类消息时的感受。我理解此事给客户带来的困难和干扰。对此，我们深表歉意，并承担全部责任。

过去一周，我们与数百位客户以及多位首席信息安全官进行了交流。感谢广大客户和安全社区在这一艰难时期给予我们的支持与协作。

我们致力于从此次事件中吸取教训，也清楚有些方面仍需改进。目前最重要的认识是：我们的控制措施并不均衡，有些方面较为有力，有些方面则存在不足。我们会做得更好。

公司各团队已迅速行动，采取协调一致的措施，致力于重建信任并持续提升安全标准。我们提高了资产清单和补丁管理的自动化水平，并加强了用于检测和响应的监控。我们正在增强整个基础设施和运营体系的零信任能力，并与CrowdStrike合作，为F5 BIG-IP提供高级端点可见性。事实上，我们已在公司边缘的BIG-IP设备上运行CrowdStrike EDR。我们还向客户提供同等的防护，用于保护其BIG-IP设备群。

我们将继续夜以继日地妥善处理此事，并在每一步都与客户密切合作。随着调查的持续推进以及对本次事件经验教训的总结，我们将分享相关成果，助力更广泛的安全社区提升整体安全能力。

为此，下面汇总了目前客户最常提出的问题，并提供相应的解答和指导：

威胁行为者访问了哪些类型的客户数据？

从我们的知识管理平台外泄的部分文件包含与少部分客户相关的信息。需要强调的是，目前仍无证据表明有人访问或外泄了我们的CRM、财务、支持案例管理或F5 iHealth系统中的数据。我们发现，受影响的客户数据主要是有关客户互动的内部备注，其中可能包括用于故障排除、功能开发和错误修复请求的信息。

我们仍在对这些文件进行详细审查。我们正在加快推进，同时也会投入必要时间，确保提供准确的信息。对于目前已确认数据受到影响的客户，我们已发出通知；随着掌握更多情况，我们将继续直接向客户提供最新信息。

被窃取的信息是否已在公开渠道或暗网上泄露？

我们尚未发现此次事件中被窃取的信息在公开渠道或暗网上传播，也未发现任何证据表明被访问的漏洞正遭到主动利用。

CISA针对该事件发布了紧急指令。客户是否需要担忧？

虽然我们尚未发现任何未披露的严重漏洞或远程代码执行漏洞，也未发现上周披露的漏洞遭到利用，但CISA的指令进一步强调了以下两点：（1）我们在披露信息中强烈建议客户尽快更新BIG-IP软件；（2）根据我们的配置指南，绝不能将管理界面暴露在公共互联网上，并且应始终通过适当的网络分段、网络隔离和访问控制加以保护。

我们在《季度安全通知》中公布的更新解决了威胁行为者所访问信息中存在的高严重性漏洞。此外，我们还在此处提供了更多资源，帮助客户强化和监控其F5环境。我们将继续与CISA及客户密切合作，确保相关信息清晰透明，并增强客户对我们产品的信心。

为什么没有更早披露该事件？

我们深知，及时沟通安全事件至关重要，因此一直努力以及时、负责、准确且便于采取行动的方式披露此次事件。我们也一直与执法部门和政府合作伙伴密切合作。

威胁行为者访问BIG-IP源代码会造成什么影响？

首先，我们没有证据表明软件供应链遭到篡改，包括源代码以及构建和发布流水线。网络安全研究公司NCC Group和IOActive通过独立审查验证了这一评估。为保持严格监督，我们将继续委托这两家公司开展持续分析。

其次，我们敦促客户尽快更新BIG-IP软件。新版本的下载量已达24,000次，这意味着相当多的客户正在推进更新软件的部署。我们还为客户提供了200多个定制版本。

未来几周内，我们还将推出漏洞赏金计划，进一步加强产品安全性。

如何开始在BIG-IP上使用CrowdStrike Falcon？

CrowdStrike Falcon Sensor和Overwatch Threat Hunting现已在BIG-IP Virtual Edition (VE)上开放抢先体验，后续还将在BIG-IP硬件系统上推出。F5客户可将CrowdStrike的Falcon Sensor直接嵌入F5 BIG-IP平台，并利用CrowdStrike Falcon Adversary OverWatch托管式威胁搜寻服务。两家公司正携手将自适应、AI驱动的安全能力扩展至网络边界，企业最关键的应用和API流量正是从这里进入。

F5将为符合条件的BIG-IP客户提供免费访问权限，有效期至2026年10月14日，帮助客户无需支付前期费用即可在网络层面立即采用AI原生安全和威胁搜寻功能。有意向的F5 BIG-IP客户可在此处了解详情并开始使用。

你们会发布更多补丁吗？近期是否还会发布其他版本？

我们计划继续按现有节奏发布BIG-IP更新和修复。我们将根据漏洞响应政策处理并披露所有漏洞。不过，目前根据对现有日志的调查，我们尚未发现任何未披露的严重漏洞或远程代码执行漏洞，也未获悉任何有关未披露F5漏洞正遭到主动利用的报告。

能否获取入侵指标（IOC）？

F5客户可按需获取IOC。客户可以提交MyF5支持案例，或直接联系F5支持团队或其客户团队，以获取IOC和威胁搜寻指南。

该威胁搜寻指南由CrowdStrike编写，并非专门针对F5。该指南旨在帮助您在自己的环境中搜寻相关威胁行为者。

BIG-IP的修复版本有哪些？

客户应安装的BIG-IP更新版本：

• BIG-IP 17.5.1.3
• BIG-IP 17.1.3
• BIG-IP 16.1.6.1
• BIG-IP 15.1.10.8

有关这些版本以及我们已修复漏洞的更多信息，请参阅10月的《季度安全通知》。

如果我们运行的是F5不再支持的生命周期终止（EOL）版本，该怎么办？

强烈建议将所有已停止生命周期（EOL）的软件版本升级到F5当前支持的版本，以便获得最新的安全更新和增强功能。

您可以直接联系 F5 支持团队 ，获取更新BIG-IP系统的帮助。

关于作者

Christopher Burger首席信息安全官 | F5

Chris Burger现任F5首席信息安全官，负责领导网络安全战略、计划和治理工作。 作为一名务实的网络安全领导者，Chris在安全事件响应、运营和工程领域拥有数十年经验。加入F5之前，他曾担任Slalom首任首席信息安全官，负责监督公司的安全战略和治理，以支持其全球业务与增长。在职业生涯中，Chris曾在金融服务和电信等受到严格监管的行业领导网络安全团队，并先后任职于Washington Mutual、Corbis、Clearwire和Russell Investments。

Christopher Burger 的更多博客文章