Krytyczna luka w zabezpieczeniach właśnie ujrzała światło dzienne, a atakujący już testują ją w warunkach rzeczywistych. To sedno niedawnego raportu opisującego nową lukę zero-day, której próby eksploatacji trwają, zanim poprawka została w pełni wdrożona. Dla dużych przedsiębiorstw z dedykowanymi centrami operacji bezpieczeństwa tego typu zdarzenie jest uciążliwe, ale możliwe do opanowania. Dla małych i średnich firm może być egzystencjalne. Właśnie dlatego ochrona MŚP przed lukami zero-day stała się jednym z najpilniejszych, a zarazem najrzadziej omawianych priorytetów dla mniejszych organizacji zatrudniających nieliczne zespoły IT.

Co sprawia, że exploity zero-day są szczególnie niebezpieczne dla mniejszych firm

Luka zero-day to podatność, która staje się publiczna lub jest aktywnie eksploatowana, zanim dostawca przygotuje poprawkę lub zanim ta poprawka zostanie powszechnie zastosowana. W momencie, gdy atakujący dowiedzą się, że system jest narażony, działają szybko, często automatyzując skanowanie całego internetu w poszukiwaniu każdego podatnego urządzenia, zanim obrońcy zdążą zareagować. Większe firmy zazwyczaj mają zespoły bezpieczeństwa, które monitorują źródła danych o zagrożeniach przez całą dobę i mogą wdrożyć awaryjne środki zaradcze w ciągu kilku godzin. Małe i średnie firmy rzadko mają ten luksus. IT jest często obsługiwane przez jednego specjalistę ogólnego lub zlecone zewnętrznemu dostawcy usług zarządzanych, który obsługuje dziesiątki klientów. Ta luka w zdolności monitorowania, a nie jakakolwiek słabość techniczna samego oprogramowania, jest często tym, co zamienia ujawnienie luki zero-day w rzeczywiste naruszenie bezpieczeństwa w mniejszych organizacjach.

Stawka jest również inna. Duże przedsiębiorstwo może zazwyczaj przetrwać kilka dni zakłóceń, łatając systemy w kontrolowany sposób. Mała firma obsługująca kilka serwerów, system punktów sprzedaży lub bazę danych klientów może nie mieć wbudowanej redundancji. Jeśli po exploicie zero-day nastąpi atak ransomware lub kradzież danych, koszty odzyskiwania i szkody wizerunkowe mogą być proporcjonalnie znacznie poważniejsze dla firmy o ograniczonych rezerwach gotówkowych i bez dedykowanego personelu ds. reagowania na incydenty.

Jak atakujący wykorzystują lukę w łataniu, zanim poprawki zostaną wdrożone

Okres między ujawnieniem podatności a faktycznym zastosowaniem poprawki przez organizację jest często nazywany luką w łataniu (patch gap) i to właśnie tam dochodzi do większości rzeczywistych szkód. Gdy luka staje się publiczna, czy to poprzez biuletyn dostawcy, ujawnienie przez badacza bezpieczeństwa, czy wyciek kodu exploita, atakujący szybko ją reverse-engineeringują i rozpoczynają skanowanie w poszukiwaniu narażonych systemów. Zautomatyzowane narzędzia sprawiają, że może to nastąpić w ciągu dni, czasem godzin.

Małe firmy mają tendencję do pozostawania w tyle w tym oknie z kilku przewidywalnych powodów: poprawki nie są testowane i wdrażane według ustalonego harmonogramu, krytyczne systemy nie mogą być wyłączane w godzinach pracy lub nikt nie jest konkretnie odpowiedzialny za śledzenie nowych biuletynów. Infrastruktura dostępu zdalnego, w tym bramy VPN i usługi pulpitu zdalnego, jest szczególnie atrakcyjnym celem w tym oknie, ponieważ jeden skompromitowany punkt wejścia może dać atakującym przyczółek w całej wewnętrznej sieci.

Praktyczne środki zaradcze: segmentacja, kontrola dostępu VPN i przepływy pracy związane z łatami

Nie ma sposobu, aby całkowicie wyeliminować ryzyko eksploatacji zero-day, ale MŚP mogą znacznie zmniejszyć swoje okno ekspozycji za pomocą kilku konkretnych kroków. Segmentacja sieci jest jednym z najskuteczniejszych: oddzielenie krytycznych systemów (dane finansowe, dokumentacja klientów, kopie zapasowe) od ogólnych sieci biurowych oznacza, że nawet jeśli atakujący naruszą jeden segment, nie mogą swobodnie przemieszczać się do wszystkiego innego.

Konfiguracja VPN zasługuje na szczególną uwagę, ponieważ często stanowi front door dla pracy zdalnej. Firmy powinny wymuszać uwierzytelnianie wieloskładnikowe na wszystkich kontach VPN, wyłączać nieużywane lub przestarzałe protokoły, ograniczać dostęp VPN tylko do użytkowników i urządzeń, które naprawdę go potrzebują, oraz rejestrować próby połączeń, aby nietypowa aktywność była szybko widoczna. Błędnie skonfigurowany lub nadmiernie permisywny VPN może zamienić jedno skradzione poświadczenie w pełny dostęp do sieci, co jest dokładnie tym rodzajem ruchu bocznego, na którym polegają atakujący po wykorzystaniu luki zero-day.

Po stronie łatania MŚP korzystają z posiadania zdefiniowanego, nawet jeśli prostego, przepływu pracy związanego z łatami: wyznaczonej osoby lub dostawcy odpowiedzialnego za monitorowanie biuletynów dostawców, zasady, że krytyczne poprawki są stosowane w określonej liczbie dni, oraz planu awaryjnego (takiego jak tymczasowe ograniczenie dostępu do podatnej usługi) na sytuacje, gdy poprawka nie jest jeszcze dostępna.

Budowanie planu reagowania na incydenty, zanim nadejdzie następny zero-day

Czekanie, aż atak będzie w toku, aby ustalić, kto co robi, to kosztowny błąd. Podstawowy plan reagowania na incydenty nie musi być rozbudowany: powinien określać, kto jest powiadamiany pierwszy, jak systemy są izolowane od sieci, gdzie przechowywane są czyste kopie zapasowe i kto zajmuje się komunikacją z klientami lub regulatorami, jeśli dane zostaną naruszone. Testowanie tego planu nawet raz w roku, poprzez proste ćwiczenie tabletop, robi ogromną różnicę, gdy prawdziwe zdarzenie ma miejsce pod presją czasu.

Co to oznacza dla Ciebie

Jeśli zarządzasz IT w małej firmie, lekcja z tego rodzaju ujawnienia nie polega na panice z powodu konkretnej luki. Chodzi o rozpoznanie, że wzorzec — ogłoszenie krytycznej podatności, ataki następujące niemal natychmiast — będzie się powtarzał raz za razem. Twoja odporność zależy mniej od pojedynczej poprawki, a bardziej od tego, jak szybko możesz wykryć ekspozycję i ograniczyć szkody. Przegląd konfiguracji dostępu zdalnego teraz, a nie po ataku, to pojedyncze działanie o największej dźwigni dostępne dla większości mniejszych organizacji.

Kluczowe wnioski

  • Przejrzyj teraz swoją konfigurację VPN i dostępu zdalnego: wymuszaj MFA, ogranicz dostęp według ról i usuń nieużywane konta.
  • Segmentuj swoją sieć, aby pojedynczy skompromitowany system nie ujawniał wszystkiego.
  • Przypisz wyraźną odpowiedzialność za śledzenie biuletynów bezpieczeństwa dostawców i szybkie stosowanie krytycznych poprawek.
  • Przygotuj prosty plan reagowania na incydenty i przetestuj go, zanim będzie potrzebny.

Luki zero-day nie znikną, a mniejsze firmy będą nadal się z nimi mierzyć bez zasobów dużego zespołu bezpieczeństwa przedsiębiorstwa. Wzmocnienie podstaw, zwłaszcza bezpieczeństwa dostępu zdalnego, daje realną szansę na walkę w tym niebezpiecznym oknie między ujawnieniem a poprawką.