Kriittinen tietoturvahaavoittuvuus on juuri tullut julki, ja hyökkääjät testaavat sitä jo käytännössä. Tämä on tuoreen raportin ydin: se kuvaa uutta nollapäivähaavoittuvuutta, jota yritetään hyödyntää jo ennen kuin korjaus on edes täysin käytössä. Suurille yrityksille, joilla on omat tietoturvakeskuksensa, tällainen tapahtuma on häiritsevä mutta hallittavissa. Pienille ja keskisuurille yrityksille se voi olla kohtalokas. Juuri siksi nollapäivähaavoittuvuuksien torjunta pk-yrityksissä on noussut yhdeksi kiireellisimmistä – ja vähiten keskustelluista – prioriteeteista pienille organisaatioille, joilla on kevyt IT-tiimi.

Mikä tekee nollapäivähyökkäyksistä erityisen vaarallisia pienemmille yrityksille

Nollapäivähaavoittuvuus on puute, joka tulee julkiseksi tai jota hyödynnetään aktiivisesti ennen kuin toimittajalla on korjaus valmiina tai ennen kuin korjaus on otettu laajasti käyttöön. Heti kun hyökkääjät saavat tietää järjestelmän olevan altis, he toimivat nopeasti ja usein automatisoivat skannauksia ympäri internetiä löytääkseen jokaisen haavoittuvan laitteen ennen kuin puolustajat ehtivät reagoida. Suuremmilla yrityksillä on tyypillisesti tietoturvatiimejä, jotka seuraavat uhkatietolähteitä ympäri vuorokauden ja voivat julkaista hätätoimenpiteitä muutaman tunnin kuluessa. Pienillä ja keskisuurilla yrityksillä on harvoin tätä ylellisyyttä. IT:stä huolehtii usein yksi yleisosaaja tai se on ulkoistettu palveluntarjoajalle, joka hoitaa kymmeniä asiakkaita. Tämä valvontakapasiteetin puute – ei mikään ohjelmiston tekninen heikkous itsessään – on usein se, mikä muuttaa nollapäiväpaljastuksen todelliseksi tietomurroksi pienemmissä organisaatioissa.

Myös panokset ovat erilaiset. Suuri yritys pystyy yleensä kestämään muutaman päivän häiriön korjatessaan järjestelmiä hallitusti. Pienellä yrityksellä, jolla on muutama palvelin, kassajärjestelmä tai asiakastietokanta, ei välttämättä ole sisäänrakennettua redundanssia. Jos kiristysohjelma tai tietovarkaus seuraa nollapäivähyökkäystä, palautumiskustannukset ja mainehaitta voivat olla suhteellisesti paljon vakavampia yritykselle, jolla on rajalliset rahavarat eikä omaa incident response -henkilöstöä.

Miten hyökkääjät hyödyntävät korjausaukkoa ennen korjausten käyttöönottoa

Ajanjaksoa haavoittuvuuden tulemisen tunnetuksi ja organisaation korjauksen todellisen käyttöönoton välillä kutsutaan usein korjausaukoksi, ja siinä tapahtuu suurin osa todellisesta vahingosta. Kun puute on julkinen – oli se sitten toimittajan tiedote, tietoturvatutkijan paljastus tai vuodettu hyökkäyskoodi – hyökkääjät purkavat sen nopeasti ja aloittavat altistuneiden järjestelmien skannauksen. Automaattiset työkalut tarkoittavat, että tämä voi tapahtua päivissä, joskus tunneissa.

Pienet yritykset jäävät tyypillisesti jälkeen tässä ikkunassa muutamista ennakoitavista syistä: korjauksia ei testata ja oteta käyttöön kiinteällä aikataululla, kriittisiä järjestelmiä ei voida ottaa pois käytöstä aukioloaikoina tai kukaan ei ole erityisesti vastuussa uusien tiedotteiden seuraamisesta. Etäkäyttöinfrastruktuuri, mukaan lukien VPN-yhdyskäytävät ja etätyöpöytäpalvelut, on erityisen houkutteleva kohde tässä ikkunassa, koska yksi vaarantunut sisääntulopiste voi antaa hyökkääjille jalansijan koko sisäverkkoon.

Käytännön lieventäminen: segmentointi, VPN-käyttöoikeuksien hallinta ja korjaustyönkulut

Nollapäivähyökkäysten riskiä ei voi täysin poistaa, mutta pk-yritykset voivat pienentää altistumisikkunaansa merkittävästi muutamilla konkreettisilla toimenpiteillä. Verkon segmentointi on yksi tehokkaimmista: kriittisten järjestelmien (talousdata, asiakastiedot, varmuuskopiot) erottaminen yleisistä toimistoverkoista tarkoittaa, että vaikka hyökkääjät murtautuisivat yhteen segmenttiin, he eivät voi liikkua vapaasti kaikkeen muuhun.

VPN-kokoonpano ansaitsee erityistä huomiota, koska se on usein etätyön etuovi. Yritysten tulisi ottaa käyttöön monivaiheinen todennus kaikilla VPN-tileillä, poistaa käytöstä käyttämättömät tai vanhentuneet protokollat, rajoittaa VPN-käyttö vain käyttäjiin ja laitteisiin, jotka todella tarvitsevat sitä, ja kirjata yhteydenottoyritykset, jotta poikkeava toiminta on nopeasti havaittavissa. Väärin konfiguroitu tai liian salliva VPN voi muuttaa yhden varastetun tunnistetiedon täydeksi verkkopääsyksi – juuri sellaiseksi lateraaliseksi liikkeeksi, johon hyökkääjät luottavat nollapäivähyökkäyksen jälkeen.

Korjauspuolella pk-yritykset hyötyvät määritellystä, vaikkakin yksinkertaisesta, korjaustyönkulusta: nimetty henkilö tai palveluntarjoaja, joka vastaa toimittajien tiedotteiden seuraamisesta, sääntö, jonka mukaan kriittiset korjaukset asennetaan tietyn päivämäärän kuluessa, ja varasuunnitelma (kuten haavoittuvan palvelun käytön väliaikainen rajoittaminen) tilanteisiin, joissa korjausta ei ole vielä saatavilla.

Incident response -suunnitelman rakentaminen ennen seuraavaa nollapäivää

Sen odottaminen, että hyökkäys on käynnissä, ennen kuin selvitetään kuka tekee mitä, on kallista virhe. Perustason incident response -suunnitelman ei tarvitse olla monimutkainen: siinä tulisi määrittää, kenelle ilmoitetaan ensin, miten järjestelmät eristetään verkosta, missä puhtaat varmuuskopiot säilytetään ja kuka hoitaa viestinnän asiakkaiden tai viranomaisten kanssa, jos tiedot vaarantuvat. Tämän suunnitelman testaaminen edes kerran vuodessa yksinkertaisen pöytäharjoituksen avulla tekee valtavan eron, kun todellinen tapahtuma sattuu aikapaineen alla.

Mitä tämä tarkoittaa sinulle

Jos vastaat pienyrityksen IT:stä, tämänkaltaisen paljastuksen opetus ei ole panikoida tietyn puutteen vuoksi. Vaan ymmärtää, että kaava – kriittinen haavoittuvuus julkistetaan, hyökkäykset seuraavat lähes välittömästi – toistuu yhä uudelleen. Resilienssisi riippuu vähemmän yksittäisestä korjauksesta ja enemmän siitä, kuinka nopeasti pystyt havaitsemaan altistumisen ja rajoittamaan vahinkoja. Etäkäyttöasetelmiesi tarkistaminen nyt – eikä vasta hyökkäyksen jälkeen – on yksittäinen vaikuttavin toimenpide, joka useimmilla pienemmillä organisaatioilla on käytettävissään.

Keskeiset opit

  • Tarkasta VPN- ja etäkäyttökokoonpanosi nyt: ota käyttöön MFA, rajoita käyttöoikeudet roolin mukaan ja poista käyttämättömät tilit.
  • Segmentoi verkkosi, jotta yksi vaarantunut järjestelmä ei paljasta kaikkea.
  • Nimeä selkeä vastuutaho toimittajien tietoturvatiedotteiden seuraamiseen ja kriittisten korjausten nopeaan asentamiseen.
  • Laadi yksinkertainen incident response -suunnitelma ja testaa sitä ennen kuin tarvitset sitä.

Nollapäivähaavoittuvuudet eivät ole katoamassa, ja pienemmät yritykset kohtaavat niitä jatkossakin ilman suuren yrityksen tietoturvatiimin resursseja. Perusasioiden vahvistaminen, erityisesti etäkäytön tietoturva, antaa sinulle todellisen taistelumahdollisuuden vaarallisessa ikkunassa paljastuksen ja korjauksen välillä.