Alle federale Amerikaanse overheidsinstanties die van een Pulse Connect Secure (PCS) vpn-server gebruikmaken hebben drie dagen de tijd gekregen om mitigatiemaatregelen door te voeren. Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security heeft federale overheidsinstanties hier via noodinstructies toe opgedragen.

Aanleiding voor de nieuwste "Emergency Directive" zijn vier actief aangevallen kwetsbaarheden in Pulse Connect Secure (PCS) vpn-servers, waaronder een zerodaylek waarvoor nog geen beveiligingsupdate beschikbaar is. Via de kwetsbaarheden kunnen aanvallers op afstand kwetsbare servers overnemen. Het CISA stelt dat het actief misbruik van de beveiligingslekken in Pulse Connect Secure-oplossingen heeft gezien.

Volgens de overheidsinstantie vormen aanvallen op de vpn-servers een onacceptabel risico voor de federale overheid en moeten er daarom noodmaatregelen worden getroffen. Alle federale Amerikaanse overheidsinstanties moeten voor 17.00 uur vrijdagmiddag aanstaande al hun Pulse Connect Secure vpn-servers in kaart hebben gebracht.

Tevens moet op alle servers de Pulse Connect Secure Integrity Tool zijn uitgevoerd. Deze tool controleert de integriteit van de vpn-server. Bij de waargenomen aanvallen hebben aanvallers namelijk bestanden en scripts van het systeem aangepast. Wanneer de tool geen aanpassingen waarneemt moet de door Pulse Secure geadviseerde mitigatie worden doorgevoerd en is het nodig de tool elke 24 uur uit te voeren totdat er een beveiligingsupdate beschikbaar is gesteld.

Wanneer de tool wel aanpassingen of nieuwe bestanden op de server aantreft moet de machine direct worden losgekoppeld van het netwerk, maar mag die niet worden uitgezet. Vervolgens moet er melding bij Pulse Secure worden gemaakt zodat het bedrijf kan helpen bij het maken van een forensisch image van de besmette server. Hierna moet er contact met het CISA worden opgenomen. Zodra Pulse Secure beveiligingsupdates beschikbaar heeft, wat voor begin mei gepland staat, moeten die binnen 48 uur op alle vpn-servers bij de federale Amerikaanse overheid zijn geïnstalleerd.