Kritična sigurnosna ranjivost upravo je izašla na vidjelo, a napadači je već testiraju u stvarnom svijetu. To je suština nedavnog izvješća koje opisuje novu zero-day ranjivost s pokušajima iskorištavanja u tijeku čak i prije nego što je zakrpa u potpunosti objavljena. Za velika poduzeća s namjenskim centrima za sigurnosne operacije, ovakav je događaj ometajuć, ali njime se može upravljati. Za mala i srednja poduzeća može biti egzistencijalan. Upravo je zato zaštita MSP-ova od zero-day ranjivosti postala jedan od najhitnijih, a najmanje raspravljanih prioriteta za manje organizacije koje vode skromne IT timove.

Što zero-day napade čini posebno opasnima za manja poduzeća

Zero-day ranjivost je nedostatak koji postaje javan ili se aktivno iskorištava prije nego što proizvođač ima spremnu zakrpu ili prije nego što je ta zakrpa široko primijenjena. U trenutku kada napadači saznaju da je sustav izložen, djeluju brzo, često automatizirajući skeniranje cijelog interneta kako bi pronašli svaki ranjivi uređaj prije nego što branitelji mogu reagirati. Veće tvrtke obično imaju sigurnosne timove koji 24 sata dnevno prate izvore obavještajnih podataka o prijetnjama i mogu pokrenuti hitne mjere ublažavanja u roku od nekoliko sati. Mala i srednja poduzeća rijetko imaju taj luksuz. IT-om se često bavi jedan generalist ili je prepušten vanjskom pružatelju usluga koji žonglira s desecima klijenata. Upravo taj nedostatak kapaciteta za nadzor, a ne bilo kakva tehnička slabost u samom softveru, često pretvara objavu zero-day ranjivosti u stvarni sigurnosni incident za manje organizacije.

Ulog je također drugačiji. Veliko poduzeće obično može podnijeti nekoliko dana prekida dok kontrolirano zakrpava sustave. Malo poduzeće koje vodi nekoliko poslužitelja, sustav naplate ili bazu podataka kupaca možda nema ugrađenu redundanciju. Ako nakon iskorištavanja zero-day ranjivosti uslijedi ransomware ili krađa podataka, troškovi oporavka i šteta za reputaciju mogu biti proporcionalno daleko ozbiljniji za tvrtku s ograničenim novčanim rezervama i bez namjenskog osoblja za odgovor na incidente.

Kako napadači iskorištavaju jaz u zakrpama prije nego što se zakrpe primijene

Razdoblje između trenutka kada ranjivost postane poznata i trenutka kada organizacija stvarno primijeni zakrpu često se naziva jaz u zakrpama i upravo se tu događa većina štete u stvarnom svijetu. Jednom kada ranjivost postane javna, bilo putem savjeta proizvođača, objave sigurnosnog istraživača ili procurena koda za iskorištavanje, napadači je brzo obrnuto inženjere i počinju skenirati izložene sustave. Automatizirani alati znače da se to može dogoditi u roku od nekoliko dana, ponekad i sati.

Mala poduzeća obično zaostaju u tom vremenskom okviru iz nekoliko predvidivih razloga: zakrpe se ne testiraju i ne primjenjuju prema fiksnom rasporedu, kritični sustavi ne mogu se isključiti tijekom radnog vremena ili nitko nije izričito odgovoran za praćenje novih savjeta. Infrastruktura za daljinski pristup, uključujući VPN pristupnike i usluge udaljenog radnog stola, posebno je privlačna meta tijekom tog razdoblja jer jedna kompromitirana ulazna točka može napadačima dati uporište u cijeloj internoj mreži.

Praktično ublažavanje: segmentacija, kontrole VPN pristupa i tijekovi rada sa zakrpama

Ne postoji način da se rizik od iskorištavanja zero-day ranjivosti potpuno eliminira, ali MSP-ovi mogu značajno smanjiti svoj prozor izloženosti s nekoliko konkretnih koraka. Segmentacija mreže jedna je od najučinkovitijih: odvajanje kritičnih sustava (financijski podaci, evidencija kupaca, sigurnosne kopije) od općih uredskih mreža znači da čak i ako napadači probiju jedan segment, ne mogu se slobodno kretati prema svemu ostalom.

Konfiguracija VPN-a zaslužuje posebnu pozornost jer je često glavni ulaz za rad na daljinu. Poduzeća bi trebala provoditi višefaktorsku autentifikaciju na svim VPN računima, onemogućiti nekorištene ili zastarjele protokole, ograničiti VPN pristup samo na korisnike i uređaje kojima je stvarno potreban te bilježiti pokušaje povezivanja kako bi neobična aktivnost bila brzo vidljiva. Pogrešno konfiguriran ili previše permisivan VPN može jedan ukradeni akreditiv pretvoriti u potpuni pristup mreži, upravo onu vrstu bočnog kretanja na koju se napadači oslanjaju nakon iskorištavanja zero-day ranjivosti.

Na strani zakrpa, MSP-ovi imaju koristi od definiranog, čak i ako jednostavnog, tijeka rada sa zakrpama: imenovana osoba ili pružatelj usluga odgovoran za praćenje savjeta proizvođača, pravilo da se kritične zakrpe primjenjuju u zadanom broju dana i rezervni plan (poput privremenog ograničavanja pristupa ranjivoj usluzi) za situacije kada zakrpa još nije dostupna.

Izrada plana odgovora na incidente prije nego što udari sljedeći zero-day

Čekanje da napad započne kako bi se shvatilo tko što radi skupa je pogreška. Osnovni plan odgovora na incidente ne mora biti razrađen: trebao bi identificirati koga se prvo obavještava, kako se sustavi izoliraju od mreže, gdje se čuvaju čiste sigurnosne kopije i tko upravlja komunikacijom s kupcima ili regulatorima ako su podaci pogođeni. Testiranje tog plana čak i jednom godišnje, kroz jednostavnu simulacijsku vježbu, čini ogromnu razliku kada se stvarni događaj dogodi pod vremenskim pritiskom.

Što to znači za vas

Ako vodite IT za malo poduzeće, pouka iz ovakve objave nije panika zbog određene ranjivosti. Riječ je o prepoznavanju da će se obrazac, objavljena kritična ranjivost, napadi koji slijede gotovo odmah, ponavljati iznova i iznova. Vaša otpornost manje ovisi o bilo kojoj pojedinačnoj zakrpi, a više o tome koliko brzo možete otkriti izloženost i ograničiti štetu. Pregled vaše postavke daljinskog pristupa sada, a ne nakon napada, jedina je akcija s najvećim učinkom dostupna većini manjih organizacija.

Ključni zaključci

  • Revidirajte svoju VPN i konfiguraciju daljinskog pristupa sada: provedite MFA, ograničite pristup prema ulozi i uklonite nekorištene račune.
  • Segmentirajte svoju mrežu kako jedan kompromitirani sustav ne bi izložio sve.
  • Dodijelite jasno vlasništvo za praćenje sigurnosnih savjeta proizvođača i brzu primjenu kritičnih zakrpa.
  • Sastavite jednostavan plan odgovora na incidente i testirajte ga prije nego što vam zatreba.

Zero-day ranjivosti neće nestati, a manja poduzeća nastavit će se suočavati s njima bez resursa velikog korporativnog sigurnosnog tima. Jačanje osnova, posebno sigurnosti daljinskog pristupa, daje vam stvarnu priliku u tom opasnom razdoblju između objave i zakrpe.