En kritisk sikkerhedssårbarhed er netop blevet offentliggjort, og angribere tester den allerede i praksis. Det er essensen af en nylig rapport, der beskriver en ny zero-day-sårbarhed med udnyttelsesforsøg i gang, før en patch overhovedet er fuldt udrullet. For store virksomheder med dedikerede security operations centers er den slags hændelser forstyrrende, men håndterbare. For små og mellemstore virksomheder kan de være eksistentielle. Det er netop derfor, zero-day-sårbarhedsbeskyttelse for SMV'er er blevet en af de mest presserende, og mindst omtalte, prioriteter for mindre organisationer med slanke IT-teams.

Hvad gør zero-day-exploits særligt farlige for mindre virksomheder

En zero-day-sårbarhed er en fejl, der bliver offentlig, eller bliver aktivt udnyttet, før leverandøren har en rettelse klar, eller før den rettelse er blevet bredt udrullet. I det øjeblik angribere finder ud af, at et system er eksponeret, handler de hurtigt, ofte ved at automatisere scanninger på tværs af internettet for at finde enhver sårbar enhed, før forsvarere kan reagere. Større virksomheder har typisk sikkerhedsteams, der overvåger threat intelligence-feeds døgnet rundt og kan pushe nødberedskaber inden for få timer. Små og mellemstore virksomheder har sjældent den luksus. IT håndteres ofte af en enkelt generalist eller outsources til en managed provider, der jonglerer med snesevis af kunder. Det gab i overvågningskapacitet, ikke nogen teknisk svaghed i softwaren selv, er ofte det, der gør en zero-day-offentliggørelse til et faktisk brud for mindre organisationer.

Indsatsen er også anderledes. En stor virksomhed kan normalt absorbere et par dages forstyrrelse, mens den patcher systemer på en kontrolleret måde. En lille virksomhed med en håndfuld servere, et point-of-sale-system eller en kundedatabase har måske ikke indbygget redundans. Hvis ransomware eller datatyveri følger efter en zero-day-exploit, kan genopretningsomkostninger og omdømmeskader være forholdsmæssigt langt mere alvorlige for en virksomhed med begrænsede likvide reserver og ingen dedikeret incident response-stab.

Hvordan angribere udnytter patch-gabet, før rettelser er udrullet

Perioden mellem en sårbarhed bliver kendt, og en organisation faktisk anvender rettelsen, kaldes ofte patch-gabet, og det er her, størstedelen af den virkelige skade sker. Når en fejl er offentlig, hvad enten det er gennem en leverandørmeddelelse, en sikkerhedsforskers offentliggørelse eller lækket exploit-kode, reverse-engineerer angribere den hurtigt og begynder at scanne for eksponerede systemer. Automatiserede værktøjer betyder, at dette kan ske inden for dage, nogle gange timer.

Små virksomheder halter typisk bagud i dette vindue af nogle forudsigelige grunde: patches testes og udrulles ikke efter en fast tidsplan, kritiske systemer kan ikke tages offline i arbejdstiden, eller ingen er specifikt ansvarlig for at følge nye meddelelser. Fjernadgangsinfrastruktur, herunder VPN-gateways og remote desktop-tjenester, er et særligt attraktivt mål i dette vindue, fordi et enkelt kompromitteret indgangspunkt kan give angribere fodfæste i hele det interne netværk.

Praktisk afbødning: Segmentering, VPN-adgangskontrol og patch-workflows

Der er ingen måde fuldt ud at eliminere risikoen for zero-day-udnyttelse, men SMV'er kan mindske deres eksponeringsvindue betydeligt med nogle få konkrete tiltag. Netværkssegmentering er en af de mest effektive: at adskille kritiske systemer (finansielle data, kunderegistre, backups) fra almindelige kontornetværk betyder, at selv hvis angribere bryder ind i et segment, kan de ikke bevæge sig frit til alt andet.

VPN-konfiguration fortjener særlig opmærksomhed, da den ofte er hoveddøren til fjernarbejde. Virksomheder bør håndhæve multifaktorautentificering på alle VPN-konti, deaktivere ubrugte eller forældede protokoller, begrænse VPN-adgang til kun de brugere og enheder, der reelt har brug for det, og logge forbindelsesforsøg, så usædvanlig aktivitet hurtigt bliver synlig. En fejlkonfigureret eller overdrevent tilladende VPN kan forvandle en enkelt stjålet legitimationsoplysning til fuld netværksadgang, hvilket er præcis den slags lateral bevægelse, angribere er afhængige af efter at have udnyttet en zero-day.

På patch-siden har SMV'er gavn af at have en defineret, selv om den er simpel, patch-workflow: en udpeget person eller leverandør ansvarlig for at overvåge leverandørmeddelelser, en regel om at kritiske patches anvendes inden for et fastsat antal dage, og en fallback-plan (såsom midlertidigt at begrænse adgangen til en sårbar tjeneste) til situationer, hvor en patch endnu ikke er tilgængelig.

Opbygning af en incident response-plan, før den næste zero-day rammer

At vente, til et angreb er i gang, med at finde ud af, hvem der gør hvad, er en dyr fejl. En grundlæggende incident response-plan behøver ikke være omfattende: den bør identificere, hvem der først får besked, hvordan systemer isoleres fra netværket, hvor rene backups opbevares, og hvem der håndterer kommunikation med kunder eller myndigheder, hvis data er berørt. At teste denne plan blot én gang om året gennem en simpel tabletop-øvelse gør en enorm forskel, når en virkelig hændelse opstår under tidspres.

Hvad betyder det for dig

Hvis du driver IT for en lille virksomhed, er læren fra denne slags offentliggørelser ikke at gå i panik over en specifik fejl. Det er at anerkende, at mønstret, kritisk sårbarhed annonceret, angreb følger næsten øjeblikkeligt, vil gentage sig igen og igen. Din modstandsdygtighed afhænger mindre af nogen enkelt patch og mere af, hvor hurtigt du kan opdage eksponering og begrænse skade. At gennemgå din fjernadgangsopsætning nu, i stedet for efter et angreb, er den enkeltstående handling med størst effekt for de fleste mindre organisationer.

Vigtige pointer

  • Auditér din VPN- og fjernadgangskonfiguration nu: håndhæv MFA, begræns adgang efter rolle, og fjern ubrugte konti.
  • Segmentér dit netværk, så et enkelt kompromitteret system ikke eksponerer alt.
  • Tildel klart ejerskab for overvågning af leverandørers sikkerhedsmeddelelser og hurtig anvendelse af kritiske patches.
  • Udarbejd en simpel incident response-plan, og test den, før du får brug for den.

Zero-day-sårbarheder forsvinder ikke, og mindre virksomheder vil fortsat stå over for dem uden ressourcerne fra et stort enterprise-sikkerhedsteam. At styrke det grundlæggende, især sikkerheden omkring fjernadgang, giver dig en reel chance i det farlige vindue mellem offentliggørelse og patch.