CVE-2021-27877

IMMEDIATE ACTIONS:

1. Identify all Veritas Backup Exec Agent installations across your infrastructure using asset discovery tools

2. Isolate affected Backup Exec servers from untrusted networks immediately

3. Implement network segmentation to restrict access to Backup Exec Agent ports (typically 6101-6110)

4. Enable enhanced logging and monitoring on all Backup Exec systems



PATCHING GUIDANCE:

1. Apply Veritas Backup Exec patches immediately (version 20.1 and later contain fixes)

2. Prioritize patching based on criticality: backup servers > backup agents > management consoles

3. Test patches in non-production environment first

4. Schedule patching during maintenance windows with backup redundancy in place



COMPENSATING CONTROLS (if patching delayed):

1. Implement firewall rules to restrict Backup Exec Agent access to authorized backup servers only

2. Deploy network-based intrusion detection signatures for Backup Exec authentication bypass attempts

3. Disable SHA authentication scheme if alternative authentication methods available

4. Implement VPN/IPSec encryption for all Backup Exec communications

5. Monitor for suspicious authentication attempts and failed connections



DETECTION RULES:

1. Monitor for multiple failed authentication attempts to Backup Exec Agent ports

2. Alert on unexpected connections to Backup Exec Agent from non-backup infrastructure

3. Track authentication method changes from SHA to other schemes

4. Monitor for unusual backup job modifications or deletions

5. Implement SIEM rules to detect lateral movement post-authentication bypass

الإجراءات الفورية:

1. تحديد جميع تثبيتات وكيل Veritas Backup Exec عبر البنية التحتية باستخدام أدوات اكتشاف الأصول

2. عزل خوادم Backup Exec المتأثرة عن الشبكات غير الموثوقة فوراً

3. تطبيق تقسيم الشبكة لتقييد الوصول إلى منافذ وكيل Backup Exec (عادة 6101-6110)

4. تفعيل السجلات المحسنة والمراقبة على جميع أنظمة Backup Exec



إرشادات التصحيح:

1. تطبيق تصحيحات Veritas Backup Exec فوراً (الإصدار 20.1 والإصدارات الأحدث تحتوي على إصلاحات)

2. أولويات التصحيح بناءً على الأهمية: خوادم النسخ الاحتياطية > وكلاء النسخ الاحتياطية > أجهزة الإدارة

3. اختبار التصحيحات في بيئة غير الإنتاج أولاً

4. جدولة التصحيح خلال نوافذ الصيانة مع وجود تكرار للنسخ الاحتياطية



الضوابط البديلة (إذا تأخر التصحيح):

1. تطبيق قواعد جدار الحماية لتقييد وصول وكيل Backup Exec إلى خوادم النسخ الاحتياطية المصرح بها فقط

2. نشر توقيعات الكشف عن الاختراقات القائمة على الشبكة لمحاولات تجاوز مصادقة Backup Exec

3. تعطيل مخطط مصادقة SHA إذا كانت طرق المصادقة البديلة متاحة

4. تطبيق تشفير VPN/IPSec لجميع اتصالات Backup Exec

5. مراقبة محاولات المصادقة المريبة والاتصالات الفاشلة



قواعد الكشف:

1. مراقبة محاولات المصادقة الفاشلة المتعددة لمنافذ وكيل Backup Exec

2. تنبيهات الاتصالات غير المتوقعة بوكيل Backup Exec من البنية التحتية غير الاحتياطية

3. تتبع تغييرات طريقة المصادقة من SHA إلى أنظمة أخرى

4. مراقبة تعديلات أو حذف مهام النسخ الاحتياطية غير العادية

5. تطبيق قواعد SIEM للكشف عن الحركة الجانبية بعد تجاوز المصادقة