O vulnerabilitate de securitate critică tocmai a ieșit la iveală, iar atacatorii o testează deja în mediul real. Aceasta este esența unui raport recent care descrie o nouă vulnerabilitate zero-day cu tentative de exploatare în curs chiar înainte ca un patch să fie implementat complet. Pentru marile întreprinderi cu centre dedicate de operațiuni de securitate, acest tip de eveniment este perturbator, dar gestionabil. Pentru întreprinderile mici și mijlocii, poate fi existențial. Exact de aceea protecția IMM-urilor împotriva vulnerabilităților zero-day a devenit una dintre cele mai urgente, și mai puțin discutate, priorități pentru organizațiile mai mici care se descurcă cu echipe IT reduse.

Ce face ca exploaturile zero-day să fie deosebit de periculoase pentru întreprinderile mai mici

O vulnerabilitate zero-day este o breșă care devine publică, sau este exploatată activ, înainte ca furnizorul să aibă un patch pregătit sau înainte ca acel patch să fie aplicat pe scară largă. În momentul în care atacatorii află că un sistem este expus, aceștia acționează rapid, adesea automatizând scanări pe internet pentru a găsi fiecare dispozitiv vulnerabil înainte ca apărătorii să poată reacționa. Companii mai mari au de obicei echipe de securitate care monitorizează fluxurile de informații despre amenințări non-stop și pot implementa măsuri de mitigare de urgență în câteva ore. Întreprinderile mici și mijlocii rareori au acest lux. IT-ul este adesea gestionat de un singur generalist, sau externalizat către un furnizor de servicii gestionate care jonglează cu zeci de clienți. Acest decalaj în capacitatea de monitorizare, nu vreo slăbiciune tehnică a software-ului în sine, este adesea ceea ce transformă o dezvăluire zero-day într-o breșă reală pentru organizațiile mai mici.

Miza este, de asemenea, diferită. O mare întreprindere poate de obicei absorbi câteva zile de perturbare în timp ce patchează sistemele într-un mod controlat. O afacere mică care rulează câteva servere, un sistem de punct de vânzare sau o bază de date cu clienți poate să nu aibă redundanță integrată. Dacă ransomware sau furtul de date urmează unui exploit zero-day, costurile de recuperare și daunele reputaționale pot fi proporțional mult mai severe pentru o companie cu rezerve limitate de numerar și fără personal dedicat de răspuns la incidente.

Cum exploatează atacatorii decalajul de patch-uri înainte ca remedierile să fie implementate

Perioada dintre momentul în care o vulnerabilitate devine cunoscută și momentul în care o organizație aplică efectiv remedierea este adesea numită decalaj de patch-uri, și acolo se produce majoritatea daunelor din lumea reală. Odată ce o breșă devine publică, fie printr-un aviz al furnizorului, o dezvăluire a unui cercetător în securitate sau cod de exploatare scurs, atacatorii o reverse-engineer-ează rapid și încep să scaneze pentru sisteme expuse. Instrumentele automatizate înseamnă că acest lucru se poate întâmpla în câteva zile, uneori ore.

Întreprinderile mici tind să rămână în urmă în această fereastră din câteva motive previzibile: patch-urile nu sunt testate și implementate după un program fix, sistemele critice nu pot fi scoase offline în timpul orelor de program, sau nimeni nu este responsabil în mod specific pentru urmărirea noilor avize. Infrastructura de acces la distanță, inclusiv gateway-urile VPN și serviciile de desktop la distanță, este o țintă deosebit de atractivă în această fereastră, deoarece un singur punct de intrare compromis poate oferi atacatorilor o poziție de acces în întreaga rețea internă.

Măsuri practice de atenuare: segmentare, controale de acces VPN și fluxuri de lucru pentru patch-uri

Nu există nicio modalitate de a elimina complet riscul exploatării zero-day, dar IMM-urile își pot reduce semnificativ fereastra de expunere cu câțiva pași concreți. Segmentarea rețelei este una dintre cele mai eficiente: separarea sistemelor critice (date financiare, înregistrări ale clienților, backup-uri) de rețelele generale de birou înseamnă că, chiar dacă atacatorii pătrund într-un segment, aceștia nu se pot deplasa liber către toate celelalte.

Configurarea VPN merită o atenție deosebită, deoarece este adesea ușa de intrare pentru munca la distanță. Afacerile ar trebui să impună autentificarea multi-factor pe toate conturile VPN, să dezactiveze protocoalele neutilizate sau moștenite, să restricționeze accesul VPN doar la utilizatorii și dispozitivele care au cu adevărat nevoie de el și să înregistreze tentativele de conexiune, astfel încât activitatea neobișnuită să fie vizibilă rapid. Un VPN configurat greșit sau prea permisiv poate transforma o singură acreditare furată în acces complet la rețea, exact tipul de mișcare laterală pe care se bazează atacatorii după exploatarea unei vulnerabilități zero-day.

Pe partea de patch-uri, IMM-urile beneficiază de un flux de lucru definit, chiar dacă simplu: o persoană sau un furnizor desemnat responsabil cu monitorizarea avizelor furnizorilor, o regulă conform căreia patch-urile critice se aplică într-un număr stabilit de zile și un plan de rezervă (cum ar fi restricționarea temporară a accesului la un serviciu vulnerabil) pentru situațiile în care un patch nu este încă disponibil.

Construirea unui plan de răspuns la incidente înainte de următorul zero-day

Așteptarea până când un atac este în curs pentru a-ți da seama cine face ce este o greșeală costisitoare. Un plan de bază de răspuns la incidente nu trebuie să fie elaborat: ar trebui să identifice cine este notificat primul, cum sunt izolate sistemele de rețea, unde sunt stocate backup-urile curate și cine gestionează comunicarea cu clienții sau autoritățile de reglementare dacă datele sunt afectate. Testarea acestui plan chiar și o dată pe an, printr-un simplu exercițiu de simulare, face o diferență enormă atunci când un eveniment real se produce sub presiunea timpului.

Ce înseamnă asta pentru tine

Dacă gestionezi IT-ul pentru o afacere mică, lecția din acest tip de dezvăluire nu este să intri în panică din cauza unei vulnerabilități specifice. Este să recunoști că tiparul, vulnerabilitate critică anunțată, atacuri care urmează aproape imediat, se va repeta iar și iar. Reziliența ta depinde mai puțin de orice patch individual și mai mult de cât de repede poți detecta expunerea și limita daunele. Revizuirea configurării accesului la distanță acum, mai degrabă decât după un atac, este singura acțiune cu cel mai mare impact disponibilă pentru majoritatea organizațiilor mai mici.

Concluzii cheie

  • Auditează-ți configurația VPN și de acces la distanță acum: impune MFA, limitează accesul în funcție de rol și elimină conturile neutilizate.
  • Segmentează-ți rețeaua astfel încât un singur sistem compromis să nu expună totul.
  • Atribuie responsabilitatea clară pentru urmărirea avizelor de securitate ale furnizorilor și aplicarea rapidă a patch-urilor critice.
  • Elaborează un plan simplu de răspuns la incidente și testează-l înainte de a avea nevoie de el.

Vulnerabilitățile zero-day nu dispar, iar întreprinderile mai mici se vor confrunta în continuare cu ele fără resursele unei echipe mari de securitate enterprise. Consolidarea elementelor de bază, în special securitatea accesului la distanță, îți oferă o șansă reală de luptă în acea fereastră periculoasă dintre dezvăluire și patch.