Критична уязвимост в сигурността току-що стана публично известна и атакуващите вече я тестват в реални условия. Това е същината на скорошен доклад, описващ нова zero-day уязвимост с опити за експлоатация, започнали още преди да бъде напълно разпространена поправка. За големите предприятия със специализирани центрове за сигурност този вид събитие е смущаващо, но управляемо. За малките и средни бизнеси то може да бъде екзистенциално. Точно затова защитата на малките и средни бизнеси от zero-day уязвимости се превърна в един от най-неотложните и най-слабо обсъжданите приоритети за по-малките организации с ограничени IT екипи. ## Какво прави zero-day експлоатите особено опасни за по-малките бизнеси Zero-day уязвимост е недостатък, който става публично известен или бива активно експлоатиран, преди доставчикът да е готов с поправка или преди тази поправка да е широко приложена. В момента, в който атакуващите научат, че дадена система е уязвима, те действат бързо, често автоматизирайки сканирания в интернет, за да намерят всяко уязвимо устройство, преди защитниците да успеят да реагират. По-големите компании обикновено разполагат с екипи по сигурност, които наблюдават потоци от разузнавателна информация за заплахи денонощно и могат да наложат спешни мерки в рамките на часове. Малките и средни бизнеси рядко имат този лукс. IT често се управлява от един универсален специалист или е възложен на външен доставчик, който обслужва десетки клиенти. Именно тази липса на капацитет за наблюдение, а не някаква техническа слабост в самия софтуер, често превръща разкриването на zero-day уязвимост в реално нарушение за по-малките организации. Залогът също е различен. Голямото предприятие обикновено може да понесе няколко дни на смущения, докато поправя системите си по контролиран начин. Малък бизнес, работещ с няколко сървъра, система за продажби на точки или база данни с клиенти, може да не разполага с вградена излишък. Ако след zero-day експлоатация последват ransomware или кражба на данни, разходите за възстановяване и щетите върху репутацията могат да бъдат пропорционално много по-тежки за компания с ограничени финансови резерви и без специален екип за реагиране при инциденти. ## Как атакуващите експлоатират прозореца за поправки, преди да бъдат внедрени решения Периодът между това дадена уязвимост да стане известна и организацията действително да приложи поправката често се нарича прозорец за поправки и именно там се случва по-голямата част от реалните щети. След като даден недостатък стане публичен, било то чрез съобщение от доставчика, разкритие от изследовател по сигурността или изтекъл код за експлоатация, атакуващите бързо го реконструират и започват да сканират за уязвими системи. Автоматизираните инструменти означават, че това може да се случи в рамките на дни, понякога часове. Малките бизнеси обикновено изостават в този прозорец по няколко предвидими причини: поправките не се тестват и внедряват по фиксиран график, критичните системи не могат да бъдат спирани по време на работно време или никой не отговаря конкретно за проследяването на нови съобщения. Инфраструктурата за отдалечен достъп, включително VPN шлюзове и услуги за отдалечен работен плот, е особено привлекателна цел през този прозорец, тъй като една компрометирана входна точка може да даде на атакуващите опора в цялата вътрешна мрежа. ## Практични мерки: сегментиране, контрол на VPN достъпа и работни процеси за поправки Няма начин напълно да се елиминира рискът от zero-day експлоатация, но малките и средни бизнеси могат значително да намалят прозореца си на излагане с няколко конкретни стъпки. Сегментирането на мрежата е едно от най-ефективните: отделянето на критичните системи (финансови данни, клиентски записи, резервни копия) от общите офис мрежи означава, че дори ако атакуващите пробият един сегмент, те не могат да се движат свободно към всичко останало. Конфигурацията на VPN заслужава специално внимание, тъй като често е входната врата за отдалечена работа. Бизнесите трябва да наложат многофакторна автентикация за всички VPN акаунти, да деактивират неизползвани или остарели протоколи, да ограничат VPN достъпа само до потребителите и устройствата, които наистина се нуждаят от него, и да регистрират опитите за свързване, така че необичайната активност да бъде видима бързо. Неправилно конфигуриран или прекалено разрешителен VPN може да превърне един откраднат идентификационен документ в пълен достъп до мрежата, което е точно видът странично движение, на който атакуващите разчитат след експлоатиране на zero-day уязвимост. От страна на поправките малките и средни бизнеси се възползват от наличието на определен, дори и прост, работен процес за поправки: определено лице или доставчик, отговорен за наблюдението на съобщенията от доставчиците, правило, че критичните поправки се прилагат в рамките на определен брой дни, и план за действие при извънредни ситуации (като временно ограничаване на достъпа до уязвима услуга) за ситуации, в които поправката все още не е налична. ## Изграждане на план за реагиране при инциденти, преди да удари следващата zero-day уязвимост Да се чака, докато атаката започне, за да се реши кой какво прави, е скъпоструваща грешка. Един основен план за реагиране при инциденти не трябва да бъде сложен: той трябва да идентифицира кой бива уведомен първи, как системите се изолират от мрежата, къде се съхраняват чисти резервни копия и кой се занимава с комуникацията с клиенти или регулатори, ако данните са засегнати. Тестването на този план дори веднъж годишно чрез просто упражнение на маса прави огромна разлика, когато реално събитие се случи под натиск на време. ## Какво означава това за вас Ако управлявате IT за малък бизнес, поуката от този вид разкритие не е да изпадате в паника заради конкретен недостатък. А да осъзнаете, че моделът — обявяване на критична уязвимост, последвано почти веднага от атаки — ще се повтаря отново и отново. Вашата устойчивост зависи по-малко от която и да е отделна поправка и повече от това колко бързо можете да откриете излагането и да ограничите щетите. Прегледът на настройките ви за отдалечен достъп сега, а не след атака, е единичното действие с най-висок ефект, достъпно за повечето по-малки организации. ## Основни изводи - Одитирайте конфигурацията си за VPN и отдалечен достъп сега: наложете MFA, ограничете достъпа по роля и премахнете неизползваните акаунти. - Сегментирайте мрежата си, така че една компрометирана система да не излага всичко. - Определете ясна отговорност за проследяване на съобщенията за сигурност от доставчиците и бързо прилагане на критичните поправки. - Съставете прост план за реагиране при инциденти и го тествайте, преди да ви потрябва. Zero-day уязвимостите няма да изчезнат и по-малките бизнеси ще продължат да се сблъскват с тях без ресурсите на голям корпоративен екип по сигурност. Укрепването на основите, особено сигурността на отдалечения достъп, ви дава реален шанс в опасния прозорец между разкриването и поправката.